Pwquality : パスワードルールを設定する2022/06/28

	[pam_pwquality] を使用したパスワードルールの設定です。 [pam_pwquality] は RHEL/CentOS Stream 9 最小構成でもデフォルトでインストールされているはずですが、もしインストールされていない場合は [# dnf install libpwquality] でインストール可能です。
[1]	パスワードの有効期限を設定する。ユーザーは設定した日数以内にパスワードを変更しなければならない。当設定はアカウント新規作成時のみ有効で、既存のアカウントには影響しない。当設定がされていない既存ユーザーに設定する場合は [chage -M 日数ユーザー] で設定する。

[root@dlp ~]#

vi /etc/login.defs

# 131行目：パスワードの有効期限を設定 (下例は 60 日)

PASS_MAX_DAYS

[2]	パスワードの最短利用日数を設定する。ユーザーはパスワードを変更してからこの期間内はパスワードを変更できない。当設定はアカウント新規作成時のみ有効で、既存のアカウントには影響しない。当設定がされていない既存ユーザーに設定する場合は [chage -m 日数ユーザー] で設定する。

[root@dlp ~]#

vi /etc/login.defs

# 132行目：パスワードの最短利用日数を設定 (下例は 1 日)

PASS_MIN_DAYS

[3]	パスワードの有効期限が来る前に警告を発する期間の日数を設定する。当設定はアカウント新規作成時のみ有効で、既存のアカウントには影響しない。当設定がされていない既存ユーザーに設定する場合は [chage -W 日数ユーザー] で設定する。

[root@dlp ~]#

vi /etc/login.defs

# 133行目：パスワードの有効期限が来る前に警告を発する期間の日数を設定 (下例は 7 日)

PASS_WARN_AGE

[4]	過去に使用したパスワードの使用を制限する。ユーザーは設定された世代以内に同じパスワードを再び設定することができない。

# カスタムポリシーを作成して編集

[root@dlp ~]#

authselect current

Profile ID: sssd
Enabled features:
- with-fingerprint
- with-silent-lastlog

[root@dlp ~]#

authselect create-profile password-policy -b sssd

[root@dlp ~]#

authselect select custom/password-policy

[root@dlp ~]#

authselect current

Profile ID: custom/password-policy
Enabled features: None

[root@dlp ~]#

authselect apply-changes

[root@dlp ~]#

vi /etc/authselect/custom/password-policy/system-auth

# [password] セクションで [pam_pwquality.so] の次に追記 (下例は 5 世代)

password    requisite                                    pam_pwquality.so local_users_only
password    requisite                                    pam_pwhistory.so remember=5 use_authtok
password    sufficient                                   pam_unix.so yescrypt shadow {if not "without-nullok":nullok} use_authtok
password    sufficient                                   pam_sss.so use_authtok
password    required                                     pam_deny.so

# [password-auth] ファイルにも同様に設定

[root@dlp ~]#

vi /etc/authselect/custom/password-policy/password-auth

password    requisite                                    pam_pwquality.so local_users_only
password    requisite                                    pam_pwhistory.so remember=5 use_authtok
password    sufficient                                   pam_unix.so yescrypt shadow {if not "without-nullok":nullok} use_authtok
password    sufficient                                   pam_sss.so use_authtok
password    required                                     pam_deny.so

[root@dlp ~]#

authselect apply-changes

[5]	パスワードの最低文字数を設定する。ユーザーは設定された文字数未満のパスワードは設定できない。

[root@dlp ~]#