1. chage命令基础认知与使用场景chage是Linux系统中专门用于管理用户密码时效性的命令行工具全称为change age。这个看似简单的命令实际上承载着系统安全策略的重要使命。在企业的生产环境中合理配置密码时效策略是满足等保要求的基础措施而chage正是实现这一目标的核心工具。我第一次接触chage命令是在一次安全审计之后。当时我们的服务器被扫描出密码永不过期的安全漏洞审计报告明确要求必须设置密码最长使用期限。在查阅了大量资料后我发现chage命令不仅能设置密码过期时间还能精细控制密码修改策略这让我对它的兴趣大增。2. chage命令参数全解析与示例2.1 核心参数详解chage命令的语法结构为chage [选项] 用户名每个选项都对应着密码策略的一个特定方面-d, --lastday LAST_DAY设置最后一次密码修改日期格式YYYY-MM-DD或从1970-1-1起的天数。这个参数特别有用比如强制用户下次登录时必须修改密码chage -d 0 username # 强制立即修改密码-E, --expiredate EXPIRE_DATE设置账户过期日期同-d格式。到期后账户将被锁定chage -E 2025-12-31 username # 设置账户在2025年底过期-I, --inactive INACTIVE密码过期后账户被锁定前的宽限天数。这个参数经常被忽视但实际上很重要chage -I 5 username # 密码过期后5天锁定账户2.2 密码生命周期控制参数-m, --mindays MIN_DAYS密码修改的最小间隔天数防频繁修改chage -m 7 username # 修改密码后7天内不能再次修改-M, --maxdays MAX_DAYS密码保持有效的最大天数chage -M 90 username # 密码90天后过期-W, --warndays WARN_DAYS密码过期前的警告天数chage -W 7 username # 密码过期前7天开始警告2.3 信息查询与帮助-l, --list查看用户的密码时效设置chage -l root # 查看root账户的密码策略输出示例Last password change : Mar 15, 2023 Password expires : Jun 13, 2023 Password inactive : Jun 18, 2023 Account expires : never Minimum number of days between password change : 7 Maximum number of days between password change : 90 Number of days of warning before password expires : 73. 实战配置案例与技巧3.1 企业级密码策略配置一个符合安全规范的密码策略通常包含以下配置chage -m 7 -M 90 -W 7 -I 5 username这表示密码修改后7天内不能再次修改防止短时间反复修改密码最长使用90天三个月更换一次过期前7天开始提醒用户过期后给予5天宽限期3.2 特殊场景处理新员工账户初始化强制首次登录修改密码useradd newuser passwd newuser # 设置初始密码 chage -d 0 newuser # 强制首次登录修改密码临时账户设置创建有明确过期日的账户useradd tempuser chage -E 2023-12-31 tempuser # 账户在2023年底自动失效3.3 配置文件与命令的配合使用虽然可以直接修改/etc/login.defs文件设置默认策略PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 7但需要注意这些设置只对新创建的用户生效已有用户仍需使用chage单独配置命令设置的优先级高于配置文件4. 常见问题排查与进阶技巧4.1 典型问题解决方案问题1用户反映收到密码即将过期的警告但实际未设置过期时间检查步骤chage -l username # 查看实际配置 grep username /etc/shadow # 检查shadow文件中的时间戳可能原因管理员误操作账户被纳入了某个组的策略shadow文件被手动修改过问题2密码已过期但账户仍能登录检查chage -l username | grep Password inactive如果没有设置inactive天数(-I)密码过期后账户不会自动锁定4.2 高级使用技巧批量修改用户策略for user in $(cat userlist.txt); do chage -M 90 -m 7 -W 7 $user done查看所有用户的密码状态awk -F: {print $1} /etc/passwd | xargs -I {} sh -c echo {}; chage -l {}使用日期计算工具配合chageexpire_date$(date -d 90 days %Y-%m-%d) chage -E $expire_date username5. 安全最佳实践与注意事项5.1 密码策略建议不同级别账户采用不同策略普通用户90天过期特权账户30天过期服务账户根据实际情况设置不建议频繁更换避免设置过短的mindays太短会导致用户频繁修改密码太长又失去了安全意义7天是个合理的折中警告天数要足够建议7-14天给用户充足的响应时间5.2 风险防范永远不要设置-M -1密码永不过期服务账户需要特殊处理chage -M -1 serviceaccount # 必须配合其他安全措施定期审计密码策略awk -F: $2 ! !! {print $1} /etc/shadow | xargs -I {} chage -l {}5.3 与其他安全措施的配合chage只是密码安全的一部分还需要配置密码复杂度pam_pwquality设置登录失败锁定pam_tally2启用SSH密钥认证定期检查/etc/shadow文件的权限在实际运维中我通常会建立一个密码策略检查清单每月定期验证所有关键账户的配置是否符合安全要求。这个习惯帮助我多次提前发现了潜在的安全隐患。
