银河麒麟V10桌面(020)系统安全加固-账户登录失败锁定

一、账户登录失败锁定

1. 加固说明

为防止遭受恶意暴力破解，设置账户登录尝试次数并进行锁定，有效保护账户的安全。

2. 加固准备

/etc/pam.d/common-auth文件是Linux系统中PAM（Pluggable Authentication Modules，可插拔认证模块）认证系统的一个重要配置文件。该文件主要用于定义系统中应用程序或服务的身份验证配置，因此账户锁定策略可以通过修改此配置文件实现。配置文件中包含了多个模块及其参数，这些模块和参数共同决定了系统如何验证用户的身份。以下是一些常见的模块及其参数解读：

• pam_unix.so模块

pam_unix.so是PAM中最常用的模块之一，它用于基于本地/etc/passwd和/etc/shadow文件的身份验证。
	常用参数：
	nullok：允许空密码。
	nullok_secure：则禁止通过远程登录的方式进行无密码登录，但可以在本地无密码登录。
    try_first_pass：尝试使用先前模块（如pam_unix.so用于密码更改时）提供的密码，而不是提示用户输入新密码。
    use_first_pass：类似于try_first_pass，但如果先前模块没有提供密码，则不会提示	用户。
	unlock_time：这个参数指定了账号被锁定后的恢复时间，即账号锁定的时长。当账号被锁定后，用户需要等待这个时长过后才能再次尝试登录。这个参数的值通常以秒为单位，例如unlock_time=600表示账号锁定时间为10分钟。
	root_unlock_time：仅针对root用户单独设置的解锁时间。
	pwquality：检查新密码是否符合管理员定义的策略要求。如果密码不符合要求，系统将拒绝接受该密码，并可能向用户提供有关密码策略的反馈。

• pam_deny.so模块

pam_deny.so模块总是拒绝身份验证请求。它通常用于测试或禁用某个服务。
	常用参数：
    无特殊参数，通常仅用于拒绝所有身份验证请求