☰

pam_lastlog.so 的非活动选项不起作用

tag-icon • tag-icon linux pam pci-dss
pam_lastlog.so 的非活动选项不起作用

我正在尝试设置我的系统以在 10 天后锁定不活动的用户。我使用的是 CentOS 6.x，查看 RHEL 手册后，我发现了以下内容：

To lock out an account after 10 days of inactivity, add, as root,
the following line to the auth section of the /etc/pam.d/login file:
auth  required  pam_lastlog.so inactive=10

所以，这是我的 /etc/pam.d/login：

#%PAM-1.0
auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
auth       include      system-auth
auth       required     pam_lastlog.so inactive=10
account    required     pam_nologin.so
account    include      system-auth
password   include      system-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_console.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      system-auth
-session   optional     pam_ck_connector.so

我以用户身份通过​​ ssh 登录并注销。

之后我将时间设置为 1 年后，以 root 身份在 TTY1 上登录：

# date --set "...."
# hwclock --systohc

我甚至重新启动了虚拟机，但是，当它恢复时，我仍然可以通过 ssh 以用户身份登录。

知道我在这里做错了什么吗？

答案1

我甚至重新启动了虚拟机，但是，当它恢复时，我仍然可以通过 ssh 以用户身份登录。

苹果和橘子。您正在编辑login文件，但您正在针对执行测试sshd。 sshd 守护程序直接使用服务名称调用 PAM 库sshd，因此使用同名文件。

如果您不知道该login文件映射到实际的身份验证尝试命令名为 login (由你的 getty 调用)，man login是推荐的阅读材料。

相关内容