não é possível bloquear uma conta RHEL não raiz usando o módulo PAM pam_tally2.so

Question

Eu tenho o RHEL 5.5 e faço a alteração abaixo no arquivo /etc/pam.d/system-auth :

    auth        required      pam_env.so 
    auth        required      pam_tally2.so deny=3 onerr=fail
    auth        sufficient    pam_unix.so nullok try_first_pass
    auth        requisite     pam_succeed_if.so uid >= 500 quiet
    auth        required      pam_deny.so


    account     required      pam_tally2.so
    account     required      pam_unix.so nullok try_first_pass
    account     sufficient    pam_succeed_if.so uid < 500 quiet
    account     required      pam_permit.so

Mas isso não funciona como esperado. Depois de alguns logins com falha, vejo a mensagem account locked , mas ela ainda pede senha depois disso, e mesmo se eu colocar a senha correta, ela mostra o seguinte:

[student@server3 ~]$ su - testuser
Your account is locked. Maximum amount of failed attempts was reached.
Password: 
su: incorrect password

Mas, como usuário root , ainda consigo fazer login no usuário:

[root@server3 ~]# su - testuser
[testuser@server3 ~]$ 

que informa que o usuário não está realmente bloqueado. Não está correto? O que estou fazendo de errado ?

    

Answer 1

Nada de errado, esse é o comportamento esperado. Como root, você ignora a autenticação.

Nem todo mundo tem acesso root, espero ...