如何避免Linux登录失败锁定的配置方法 (linux配置登录失败锁定)
在Linux系统上，一旦连续输入密码错误的次数超过预设的限制，登录会被暂时锁定。这个安全机制旨在防止暴力破解密码的行为，但有时候却会给用户的工作造成很大的麻烦。为了避免登录失败锁定，我们可以通过配置来解决。本文将介绍几种方法来避免Linux登录失败锁定的配置方法。
1. 修改登录失败锁定策略
Linux系统默认会将用户登录失败的次数限制在三次以内。超过限制次数后，就会将该用户账号锁定一段时间，使其无法登录。这项安全机制在实践中非常有效，但有时候也会出现误判和误操作。如果你需要避免登录失败锁定的问题，你可以尝试修改登录失败锁定策略。你需要修改的是PAM模块中的配置，这个模块是Linux系统用来实现认证的一个基本组件。我们可以通过编辑/etc/pam.d/login文件来进行修改。
在该文件中，你需要找到如下所示的行：
auth required pam_tally.so onerr=fl deny=3 unlock_time=604800
其中，deny=3表示登录失败的次数上限，unlock_time=604800表示失败后账号自动解锁时间为一周（单位是秒）。你可以根据自己的需要将上述值进行修改。
2. 使用多个账号
另一个避免登录失败锁定的方法是使用多个账号。建立多个账号，每个账号都具有不同的权限和访问权限，这将帮助你避免在操作过程中出现错误或被锁定。你可以设立一个带有管理员权限的账号，用来处理一些敏感问题，同时为了避免被锁定，你还需要使用其他的普通用户账号来执行常规操作。这样做可以帮助你分隔风险和麻烦，同时避免登录失败锁定。
3. 使用SSH密钥认证
SSH密钥认证是避免登录失败锁定的高效解决方案之一。SSH密钥认证是一种使用密钥对进行认证的方法，相对于口令认证，它更加安全和可靠，并且可以避免登录失败锁定问题。SSH密钥认证的原理是，你需要为每个用户生成一对密钥：私钥和公钥，将公钥上传到待访问的Linux服务器上，然后在使用SSH登录时，私钥将和服务器上的公钥进行匹配，从而完成身份认证。在这个过程中，不再需要输入密码，因此不会触发登录失败锁定机制。
4. 配置登录记录日志
对于Linux管理员而言，登录失败记录的监控是必要的。你需要确保记录所有的登录试图，以便于快速了解当日的登录情况。你可以使用Linux系统自带的日志功能，通过配置/etc/rsyslog.conf文件来记录所有的登录信息：
auth.info /var/log/login.log
通过这项配置，所有登录的信息都将通过loging.log文件记录下来，这样，你就可以随时查看用户的登录情况，并了解到登录过程中的任何问题。通过这种方法来记录日志信息，可以帮助你更加有效的监控登录操作，识别潜在的风险，并及时采取措施避免问题的发生。
结论
为了避免Linux系统中的登录失败锁定问题，我们可以通过修改登录失败锁定策略、使用多个账号、使用SSH密钥认证以及配置登录记录日志等方法来实现。这些方法可以让我们更好的维护系统的安全性，并避免登录失败锁定的问题。当然，这些不是排除其他风险的措施，因此，作为一个管理员，我们需要保持高度警惕，并及时采取措施应对可能出现的风险和问题。
涉及到一些技术细节，本文所讨论的方法仅供参考。如果你需要进一步学习更多关于Linux安全的知识，建议你查阅相关的文献和教材，或参加相关的培训和研讨会。
相关问题拓展阅读：
linux red hat5 （企业版） 密码策略 配置及启动
1、Linux系统的用户帐号策略
编辑/etc/pam.d/system-auth 添加如下语句。
auth required /lib/security/$ISA/pam_tally.so deny=5
account required pam_tally.so
该语句的解释：密掘备码更大联系登录6次，超过只能联系管理员。
2、密码策略
2.1编辑/etc/login.defs 指定如下参数的值。
PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
参数值得解释： PASS_MAX_DAYS（设置密码过期日期）
PASS_MIN_DAYS(设置密码最少更改日期）
PASS_MIN_LEN(设置密码最小长度）时指密码设置的最小长度，一般定义为8位以上
PASS_WARN_AGE(设置过期提前警告天数）
2.2 设置账户锁定登陆失败锁定次数、锁定时间
编辑/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
auth required pam_tally.so onerr=fail deny=6 unlock_time=300
解释：设置位密码连续六次锁定，锁定时间300秒判耐毁
解锁用户 faillog -u
2.3 设置口令的亩旅复杂程度。
编辑/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
找到pam_cracklib.so 在后面加一些参数，
例：password requisite pam_cracklib.so minlen=8 ucredit=-2 lcredit=-2 dcredit=-5 ocredit=-1
意思为最少有2个大写字母，2个小写字符，5个数字， 1个符号
2.4 限制su的权限
如果你不想任何人能够用su作为root，可以编辑/etc/pam.d/su文件，增加如下两行：
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=isd
这时，仅isd组的用户可以用su作为root。此后，如果你希望用户admin能够用su作为root，可以运行如下命令
# usermod -G10 admin
如何在 Linux 上设置密码策略
修改 /etc/login.defs文件
密码有效轿含期
PASS_MAX_DAYS 闭姿笑99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
密码册咐重试次数
LOGIN_RETRIES
1.准备 安装一个PAM模块来启用cracklib支持，这可以提供额外的密码检查功能。 在Debin,Ubuntu或者Linux Mint使用命令：sudo apt-get install libpam-cracklib
这个模块在CentOS,Fedora或者RHEL默认安装了。所以在这些系统上就罩含没有必要安装了。
如要强制执行密码策略，我们需要修改/etc/pam.d这个与身份验证相关的文件。这个文件会在修改后立即生效。
请注意，本教程中的密码规则只有在非root用户更改密码时强制执行。
2.避免重复使用旧密码 寻找同时包含“password”和”pam_unix.so”的行，然后再这行后面加上“remember=5”。这将防止5个最近使用过的密码被用来设置为新密码（通过将它们存放在/etc/security/opasswd文件中）。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改内容：password pam_unix.so obscure sha512 remember=5
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改内容：password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
3.设置最小密码长度 寻找同时包含物烂笑“password”和“pam_cracklib.so”的一行，并在后面加上“minlen=10”。这将强行设置密码的最小密码长度为10位，其中多少个不同类型的字符在密码中使用。有四种符号类型（大写、小写、数字和符号）。所以如果使用所有四种类型的组合，并指定最小长度为10，所允许的简单密码部分将是6位。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改内容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改内容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10
4.设置密码复杂度 寻找同时包含“password”和“pam_cracklib.so”的一行，并在后面加上“ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1”。这将迫使你在密码中至少包括一个大写字母、两个小写字母、一个数字和一个符号。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/历销pam.d/common-password
修改内容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改内容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
5.设置密码的有效期 要设置当前密码的更大有效期，就修改/etc/login.defs文件的下列变量：sudo vi /etc/login.def
修改内容：PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
这将迫使每一位用户每半年更改一次他们的密码，并且在密码过期之前七天发送密码过期还有几天到等等的警告信息给用户（到最后甚至在用户开机登录时强制用户更改密码，不然无法进入系统（个人在linux程序设计中看到的知识，非原作者观点））。如果你想基于不同的用户使用密码期限功能，那就使用chage命令。要查看针对特别用户的密码过期策略使用的命令如下：sudo chage -l xmodulo
注意：xmodule是原作者在linux系统中使用的用户名。 显示如下：Last password change: Dec 30, 2023
Password expires: never
Password inactive: never
Account expires: never
Minimum number of days between password change: 0
Maximum number of days between password change: 99999
Number of days of warning before password expires: 7
默认设置中，用户的密码是不会过期的。 为用户的xmodulo更改有限期限的命令如下：$ sudo chage -E 6/30/2023 -m 5 -M 90 -I 30 -W 14 xmodulo
以上命令将密码设置为在2023年6月30日过期。并且，密码更改时间间隔的更大/最小数量分别为5和90。在一个密码过期后，这个账号将被锁30天。在密码过期前14天，警告信息就会发送到对应的账户。
根据不同的Linux版本，配置的文件及路径可能不同，一般在/etc/pam.d目录下
如下是arch linux的一个例子，仅作参考：
配置文件为/etc/pam.d/passwd，参考之一行的配置，解释：
pam_cracklib.so #是检查密码的一个安全模块
difok=2 #表示新的密码中与旧密码相比，至少有2个字符不同
minlen=8 #表示密码长度至少8位
dcredit=2 #表示密码中至多包含2位数字
retry=3 #表示密码不符合策略时至多提示3次，超过3次则返回错误
建议根据你自己的Linux版本，查看相应的man帮助文档，进行配置。提醒，哗基修改这坦芦森些配置风险较高，一旦改错，可能导致让亩无法正常登录系统。
一般人不会凳滑漏这么详细，望采纳：
=================================================
一:用户密码安全设置：
修改/etc/login.defs
PASS_MAX_DAYS 90 用户的密码不过期最多的天数;
PASS_MIN_DAYS 15 密码修改之间最小的天数;
PASS_MIN_LEN 8 密码最小长度;
PASS_WARN_AGE 10 密码过期之前提醒的天数
=================================================
ssh登陆失败5次锁定用户
vim /etc/pam.d/sshd
vi /etc/让闷pam.d/sshd
auth required pam_tally.so deny=3 unlock_time=900（deny=N为登录失枣烂败N次后锁定用户）
清除锁定：pam_tally2 -r -u username
或者：vim /etc/pam.d/login
查看系统审服务是否开启
service auditd status
关于linux配置登录失败锁定的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。
