Linux chage命令详解：密码时效管理与安全策略配置-尧图网络科技

1. chage命令基础解析

chage是Linux系统中用于管理用户密码时效性的核心命令，它直接操作/etc/shadow文件中的密码策略字段。作为系统管理员，我几乎每天都会用到这个命令来维护服务器用户账号的安全性。

1.1 命令基本语法

chage的标准调用格式非常简单：

chage [选项] 用户名

但它的选项参数却非常丰富，每个参数都对应着shadow文件中的特定字段。比如当执行chage -l username时，系统实际上是在读取shadow文件中以冒号分隔的第3到第7个字段。

1.2 关键参数详解

-m参数（最小修改间隔）特别容易被误解。很多人以为设置-m 7表示7天后必须改密码，实际上它的真实含义是：密码修改后7天内不允许再次修改。这个机制是为了防止用户频繁改密码绕过历史密码检查。

-M参数（最大有效期）的单位是天数，但计算方式需要注意：从最后一次密码修改日期（由-d参数指定）开始计算，不是从设置日期开始。比如：

chage -d 2024-01-01 -M 90 user1

表示从2024年1月1日起90天内有效。

2. 实战应用场景

2.1 企业级密码策略配置

在金融行业的生产环境中，我们通常会这样配置：

chage -m 1 -M 90 -W 7 -I 5 username

这表示：

密码修改后1天内不能再次修改（防止暴力修改）
密码最长有效期90天
过期前7天开始提醒
过期后5天锁定账户

重要提示：-I参数在CentOS和Ubuntu中的行为略有不同。在CentOS中，过期后立即锁定；而Ubuntu会等待指定天数后才锁定。

2.2 新员工账号初始化

对于新创建的用户账号，强制首次登录修改密码是标准做法：

useradd newuser passwd newuser chage -d 0 newuser

这个-d 0的魔法值会让用户在首次登录时立即进入密码修改流程。我在实践中发现，有些SSH客户端会因此出现连接异常，这时需要改用Web控制台完成首次登录。

3. 高级技巧与排错

3.1 批量修改用户策略

使用awk和chage组合可以批量修改所有普通用户的策略：

awk -F: '$3 >= 1000 {system("chage -M 60 "$1)}' /etc/passwd

这个命令会修改所有UID大于等于1000的用户，设置密码有效期为60天。

3.2 常见问题排查

问题1：用户反映收到密码过期警告但实际未过期
检查步骤：

确认系统时间准确：date
检查时区设置：timedatectl
验证shadow文件时间戳：chage -l username

问题2：密码过期后账户未被锁定
可能原因：

-I参数设置过大
PAM模块配置覆盖了chage设置
shadow文件权限异常（应为640）

4. 安全最佳实践

4.1 密码策略黄金法则

根据PCI DSS标准建议：

生产环境密码最长有效期不超过90天
最小修改间隔设置为1天
警告期设置为7天
过期后锁定期不超过3天

对应的chage命令：

chage -m 1 -M 90 -W 7 -I 3 username

4.2 审计与监控

建议每周检查以下内容：

# 检查即将过期的用户 chage -l $(awk -F: '$3 >= 1000{print $1}' /etc/passwd) | grep -B1 "Password expires" | grep -v never # 检查已过期的用户 awk -F: '{if($2!="*"&&$2!="!"){cmd="chage -l "$1; system(cmd)}}' /etc/passwd | grep -A2 "Password expired"

5. 配置文件联动

5.1 /etc/login.defs 与 chage 的关系

PASS_MAX_DAYS 90 PASS_MIN_DAYS 1 PASS_WARN_AGE 7

但要注意：这些设置只对新创建的用户生效，已有用户需要用chage单独修改。

5.2 与PAM模块的配合

pam_pwquality.so模块可以强化密码复杂度要求，而chage控制有效期，两者配合使用效果最佳。常见的冲突是：

pam_pwquality设置密码最短长度8位
但chage允许立即修改密码(-m 0)

这可能导致用户循环修改密码。解决方法是将-m参数设置为至少1。

6. 自动化管理方案

6.1 使用Ansible批量管理

以下playbook片段可以统一设置所有用户的密码策略：

- hosts: all tasks: - name: Set password aging policy ansible.builtin.command: | chage -m {{ min_days }} -M {{ max_days }} -W {{ warn_days }} -I {{ inactive_days }} {{ item }} loop: "{{ ansible_local.users.list }}" vars: min_days: 1 max_days: 90 warn_days: 7 inactive_days: 3

6.2 过期预警系统

结合crontab和mailx可以自动发送密码过期提醒：

0 9 * * * for user in $(cut -d: -f1 /etc/passwd); do chage -l $user | grep -q "Password will expire" && echo "Your password will expire soon" | mail -s "Password Expiry Warning" $user; done

7. 特殊场景处理

7.1 服务账户管理

对于MySQL、Nginx等服务账户，应该设置永不过期：

chage -M -1 -I -1 -E -1 service_account

但更安全的做法是直接锁定密码：

passwd -l service_account

7.2 临时账户处理

短期合同员工的账户可以设置精确的过期日期：

chage -E 2024-12-31 temp_user

这样到期后账户会自动禁用，比手动删除更安全。

8. 日志与审计

8.1 跟踪密码修改

结合auditd可以记录所有chage操作：

auditctl -a always,exit -F path=/usr/bin/chage -F perm=x -F auid>=1000 -F auid!=4294967295 -k password_changes

8.2 生成合规报告

以下命令可以生成符合ISO27001要求的密码策略报告：

echo "User,Last Change,Expires,Warn,Inactive" > password_report.csv awk -F: '{if($3>=1000){system("chage -l "$1" | awk -v user="$1" '\''BEGIN{OFS=\",\"}/Last password change/{l=$NF}/Password expires/{e=$NF}/warning/{w=$NF}/inactive/{i=$NF}END{print user,l,e,w,i}'\''")}}' /etc/passwd >> password_report.csv

9. 跨平台注意事项

9.1 与Windows AD的差异

Windows的密码策略是通过GPO集中管理的，而Linux需要手动维护。如果企业同时使用两种系统，建议：

保持密码最长有效期一致
将Linux的警告期(-W)设置为比AD短2-3天
定期用脚本同步策略设置

9.2 不同Linux发行版的区别

在RHEL/CentOS中，chage版本较旧，不支持某些新参数。而Ubuntu 20.04+的chage支持：

chage --date YYYY-MM-DD

这种更直观的日期格式。

10. 性能优化技巧

当管理大量用户(1000+)时，直接使用chage可能较慢。这时可以：

直接编辑/etc/shadow（需谨慎）
使用批量处理脚本：

for user in $(getent passwd | awk -F: '$3 >= 1000{print $1}'); do sed -i "/^$user:/s/::/:$(date +%s)::/" /etc/shadow done

最后提醒：任何密码策略修改后，都应该用chage -l验证实际效果，因为某些PAM模块可能会覆盖这些设置。在多因素认证环境中，还需要考虑令牌有效期与密码策略的协调问题。

资讯详情