保证登录和口令的安全（任务）

可以限制远程登录、要求用户使用口令并要求 root 帐户使用复杂口令。您还可以向用户显示安全消息、监视失败的访问尝试以及临时禁止登录。

保证登录和口令的安全（任务列表）

以下任务列表列出了用于监视用户登录和禁止用户登录的过程。

如何更改 root 口令

更改 root 口令时，必须符合适用于系统所有用户的口令要求。

开始之前

您必须承担 root 角色。有关更多信息，请参见如何使用指定给您的管理权限。

• 更改口令。

  # passwd root
  New Password:
  Re-enter new Password:
  passwd: password successfully changed for root

  如口令不符合要求，屏幕会显示消息。消息为提示性的。三次尝试后，必须再次运行命令以更改口令。

  passwd: Password too short - must be at least 6 characters.
  passwd: The password must contain at least 2 alphabetic character(s).
  passwd: The password must contain at least 1 numeric or special character(s).

如何显示用户的登录状态

开始之前

您必须承担 root 角色。有关更多信息，请参见如何使用指定给您的管理权限。

• 使用 logins 命令显示用户的登录状态。

  # logins -x -l username

  -x

  显示一组扩展的登录状态信息。

  -l username

  显示指定用户的登录状态。变量 username 是用户的登录名称。用逗号分隔多个登录名。

  logins 命令使用相应的口令数据库来获取用户的登录状态。该数据库可以是本地 /etc/passwd 文件，也可以是命名服务的口令数据库。有关更多信息，请参见 logins(1M) 手册页。

示例 3-1 显示用户的登录状态

在以下示例中，显示了用户 jdoe 的登录状态。

# logins -x -l jdoe
jdoe       500     staff           10   Jaylee Jaye Doe
                   /home/jdoe
                   /bin/bash
                   PS 010103 10 7 -1

jdoe

标识用户的登录名称。

500

标识用户 ID (user ID, UID)。

staff

标识用户的主组。

10

标识组 ID (group ID, GID)。

Jaylee Jaye Doe

标识注释。

/home/jdoe

标识用户的起始目录。

/bin/bash

标识登录 shell。

PS 010170 10 7 -1

指定口令生命期信息：

• 上次更改口令的日期

• 两次更改之间要求的天数

• 在该天数后必须更改

• 警告期

如何显示没有口令的用户

开始之前

您必须承担 root 角色。有关更多信息，请参见如何使用指定给您的管理权限。

• 使用 logins 命令显示所有没有口令的用户。

  # logins -p

  -p 选项用于显示没有口令的用户列表。logins 命令使用本地系统中的 passwd 数据库，除非在 system/name-service/switch 服务的 password 属性中指定了某个分布式命名服务。

示例 3-2 显示没有口令的帐户

在以下示例中，用户 pmorph 和角色 roletop 没有口令。

# logins -p
pmorph          501     other           1       Polly Morph
roletop         211     admin           1       Role Top
# 

如何临时禁止用户登录

在系统关闭或例行维护期间，可临时禁止用户登录。root 登录不受影响。有关更多信息，请参见 nologin(4) 手册页。

开始之前

您必须是指定有 solaris.admin.edit/etc/nologin 授权的管理员。缺省情况下，root 角色拥有此授权。有关更多信息，请参见如何使用指定给您的管理权限。

1. 在文本编辑器中创建 /etc/nologin 文件。

   # pfedit /etc/nologin

   有关使用 solaris.admin.edit/etc/nologin 授权的示例，请参见示例 3-3。

2. 添加有关系统可用性的消息。
3. 关闭并保存该文件。

示例 3-3 禁止用户登录

在此示例中，将向用户授予编写系统不可用通知的权限。

% pfedit /etc/nologin
***No logins permitted.***

***The system will be unavailable until 12 noon.***

关于失败的登录

要监视所有登录系统的失败尝试，请参阅审计服务生成的审计迹。有关更多信息，请参见 第 7 部分, 在 Oracle Solaris 中审计。