Usando o PAM, como é definido o número mínimo de dias entre as alterações de senha?

Question

No meu sistema Amazon Linux (derivado do RHEL), dentro do /etc/login.defs, defini o número mínimo de dias entre as mudanças de senha para 1 dia: PASS_MIN_DAYS 1 .

Eu pensei que deveria estar fazendo isso com arquivos de configuração do PAM em /etc/pam.d/. No entanto, não consigo encontrar nenhuma documentação para isso. Existe uma maneira de controlar quando as senhas podem ser alteradas usando o PAM, e o que é isso, por favor?

    

Answer 1

Definindo a política de senha específica do usuário:

Uma opção é modificar a política de senha do usuário - usando o comando lchage .

O comando abaixo definirá o número mínimo de dias necessários entre as alterações da pasword.

lchage --mindays=<days> <username>

Abaixo, o comando pode ser usado para ver a política atual

lchage --list <username>

Política comum para todos os usuários:

Para definir uma política de senhas comum a todos os usuários no sistema, você precisa editar a variável PASS_MIN_DAYS no arquivo /etc/login.defs .

root@ubuntu:~# grep PASS_MIN_DAYS /etc/login.defs 
#   PASS_MIN_DAYS   Minimum number of days allowed between password changes.
PASS_MIN_DAYS   1

A listagem acima do grep mostra o mínimo de # dias necessários entre as alterações de senha é 1.

Se o usuário tentar redefinir a senha antes do número mínimo de dias, ele receberá o erro listado abaixo.

$ passwd
Changing password for test.
(current) UNIX password: 
You must wait longer to change your password
passwd: Authentication token manipulation error
passwd: password unchanged

Ao criar um usuário, a política definida em /etc/login.defs será aplicável ao usuário que está sendo criado. Novamente, o comando lchage --list pode ser usado para ver a política atual.

    

Answer 2

Você levanta uma questão interessante. De acordo com a página de manual login.defs, o parâmetro pass_min_days só é aplicado ao usuário na criação da conta, portanto, as alterações em /etc/pam.d seriam preferíveis para consistência. No entanto, de acordo com o meu conhecimento, o módulo padrão pam_unix (e eu acho que em menor extensão, pam_cracklib.so) não tem nenhuma opção relacionada à data. Há também chage , que manipula / etc / shadow, nada em /etc/pam.d /.

Por fim, acho que a resposta é que você não pode gerenciar esse valor por meio de argumentos do PAM.