如何防止用户扩展其有效登录窗口

一直在为RedHat盒制定一些安全性强化程序，我想知道一旦密码过期，是否可以防止用户更改密码。

对于我们的一位客户，要求是他们只能通过临时帐户访问服务器，这意味着一旦创建了用户凭据，密码必须在4小时内过期，并且一旦密码过期，则只有root用户才能更改它。

对于第一个要求（密码在4小时后过期），我想可以通过设置passwordMaxAge = 144000来实现。但是我仍然找不到防止用户更改过期密码而不关闭密码过期的方法。

有人可以帮忙吗？

通常，密码过期用于强制用户更改其密码。听起来您想要做的就是锁定帐户，从而阻止所有登录。

我建议您做的是，在创建帐户时，还要设置一个at作业，该作业将在四个小时后锁定该帐户。

例如：

useradd temp8143
echo chage -E 0 temp8143 | at now + 4 hours

（chage -E期望有效期以天为单位，因此我们通过at工作解决此问题。）

如果从passwd命令中删除setuid位，则只有root才能使用它。这也将使用户无法在密码到期之前更改密码-否则，这可能是用户将帐户再延长四个小时的一种方式。

[jenny@finch ~] sudo chmod -s /usr/bin/passwd
[jenny@finch ~]$ passwd
Changing password for user jenny.
Changing password for jenny.
(current) UNIX password: 
New password: 
Retype new password: 
passwd: Authentication token manipulation error

根仍然可以更改任何密码：

[jenny@finch ~]$ sudo passwd jenny
Changing password for user jenny.
New password: 
Retype new password: 
passwd: all authentication tokens updated successfully.