在Linux系统中，密码策略是保障系统安全的重要防线，合理的密码规则能够有效防止未授权访问和暴力破解攻击，Linux系统通常通过PAM（Pluggable Authentication Modules）模块和/etc/login.defs、/etc/security/pwquality.conf等配置文件来管理密码策略，管理员可根据实际需求调整这些规则,以实现不同安全等级的密码管理。
密码复杂度要求
密码复杂度是密码策略的核心内容，Linux系统通过pwquality模块强制执行复杂度规则，默认情况下，密码需满足以下基本条件：
- 最小长度：通常要求至少8个字符，可通过
minlen参数调整，建议设置为12位以上以增强安全性。 - 字符类型组合：要求包含大写字母、小写字母、数字及特殊字符中的至少三种，具体可通过
minclass参数配置，例如minclass=3表示至少包含三种字符类型。 - 连续字符限制：禁止使用连续相同字符（如”aaa”）或连续键盘字符（如”123″、”qwe”），可通过
repeat和gecoscheck参数启用。 - 常见密码禁止：系统会内置一个弱密码字典，禁止使用常见字符串（如”password”、”123456″）作为密码，管理员可通过
badnames文件自定义禁止使用的密码列表。
密码历史记录
为防止用户重复使用旧密码，Linux系统支持密码历史记录功能，通过/etc/login.defs文件中的PASS_MAX_DAYS和PASS_MIN_DAYS参数，可分别设置密码的最大有效期和最小使用期限，设置PASS_MAX_DAYS=90要求用户每90天更换一次密码，PASS_MIN_DAYS=7则禁止用户在7天内重复使用旧密码。/etc/security/opasswd文件会记录用户历史密码，默认保存最近使用的5次密码，可通过remember参数调整记录数量。
密码过期策略
密码过期策略是定期强制用户更新密码的重要机制，管理员可通过chage命令为单个用户设置密码过期规则，
chage -M 90 username：设置密码90天后过期；chage -W 7 username：在密码过期前7天开始发送警告提示；chage -I 3 username：密码过期后3天锁定账户，需管理员解锁。
对于批量用户，可修改/etc/login.defs中的PASS_WARN_AGE参数，统一设置密码过期前的警告天数，默认为7天。
账户锁定机制
为应对暴力破解攻击，Linux系统支持账户锁定策略，通过pam_tally2模块，可记录用户登录失败次数，当失败次数超过阈值时自动锁定账户，在/etc/pam.d/system-auth文件中添加以下配置：
auth required pam_tally2.so deny=5 unlock_time=1800 表示用户连续登录失败5次后，账户将被锁定30分钟（1800秒），管理员可通过pam_tally2 --user username --reset手动解锁账户。
特殊账户密码管理
Linux系统中的root账户和普通账户需采取差异化密码策略，root账户应设置更长、更复杂的密码，并禁用远程登录（通过/etc/ssh/sshd_config中的PermitRootLogin no实现），对于普通用户，可采用基于角色的密码策略，例如为sudo用户设置更高复杂度要求，而普通用户可适当放宽规则（如允许短密码，但需启用双因素认证作为补充）。
密码策略审计与优化
定期审计密码策略的有效性是保障安全的关键步骤，管理员可通过lastb命令查看登录失败日志，分析暴力破解行为；使用pwck和grpck命令检查密码文件完整性；结合fail2ban工具自动封禁恶意IP地址，建议每季度评估密码策略，根据最新威胁情报调整复杂度要求和锁定阈值，平衡安全性与用户体验。
通过综合运用上述密码规则，Linux系统能够构建多层次的密码防护体系，有效降低账户被盗风险，管理员需根据业务场景灵活配置策略，并定期更新安全规则,以应对不断变化的网络安全威胁。
