密码策略介绍

•   用户有责任和义务妥善保管其个人帐号和密码，不得在任何场合随意公开自己的帐号和密码，不得泄漏他人。由于密码泄漏造成的不良后果由帐号拥有人承担相关责任
•   密码长度不得少于6位
•   密码由数字、标点、大小写字母和特殊符号组成，并具有必要的组合复杂度，禁止使用连续或相同的数字、字母组合（如123456等）和其他易于破译的组合作为密码。
•   密码不得以任何形式的明文存放在主机电子文档中，不得以明文形式在电子邮件、传真中传播。
•   系统管理人员在建立帐号时，对所分配帐号的初始密码设置为第一次登录强制修改。对于不能强制修改密码的系统，系统管理员创建帐号后立即通知用户修改密码，用户在第一次登录系统并修改密码之后反馈系统管理员，并由系统管理员进行复核。
•   用户应定期（至少每季度一次）进行密码的修改，并且同一密码不能反复使用。

  windows设置密码策略

•   密码必须符合复杂性要求
•   密码长度最小值
•    密码最短使用期限
•   密码最长使用期限
•   强制密码历史
•   用可还原的加密存储密码

Linux系统设置密码策略

•   密码的最大有效期
•   密码最长使用时间
•   密码最小长度
•   密码失效前提前多少天进行提醒
•   密码大小写以及数字、特殊字符等限制
•   新旧密码不能相同
•   新旧密码长度不能相同
•   账号锁定时间
•   账号自动解锁时间

•   在centos/redhat等系统中路径：  /etc/pam.d/system-auth
•   ubuntu等系统中路径：  /etc/pam.d/common-password

  # /etc/pam.d/common-password - password-related modules common to all services
# This file is included from other service-specific PAM config files,
# and should contain a list of modules that define the services to be
# used to change user passwords.  The default is pam_unix.

# Explanation of pam_unix options:
# The "sha512" option enables salted SHA512 passwords.  Without this option,
# the default is Unix crypt.  Prior releases used the option "md5".
# The "obscure" option replaces the old `OBSCURE_CHECKS_ENAB' option in
# login.defs.
# See the pam_unix manpage for other options.

# As of pam 1.0.1-6, this file is managed by pam-auth-update by default.
# To take advantage of this, it is recommended that you configure any
# local modules either before or after the default block, and use
# pam-auth-update to manage selection of other modules.  See
# pam-auth-update(8) for details.

# here are the per-package modules (the "Primary" block)
password        [success=1 default=ignore]      pam_unix.so obscure sha512
# here's the fallback if no module succeeds
password        requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
password        required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
# end of pam-auth-update config

    PASS_MAX_DAYS ：一个密码可使用的最大天数。

   PASS_MIN_DAYS ：两次密码修改之间最小的间隔天数。

   PASS_MIN_LEN ：密码最小长度。

   PASS_WARN_AGE ：密码过期前给出警告的天数

•   设置密码最大使用时间（PASS_MAX_DAYS）

  root@test:/etc#  vim login.defs

PASS_MAX_DAYS  30         //单位为天数

•   设置密码最小天数（PASS_MIN_DAYS）

  root@test:/etc#  vim login.defs

PASS_MIN_DAYS    10            //单位为天数

•   设置密码过期前警告（  PASS_WARN_AGE ）

  root@test:/etc#  vim login.defs

PASS_WARN_AGE     3           //单位为天数

•   避免重复使用旧密码

  root@test/etc# vim pam.d/common-password

password        [success=1 default=ignore]      pam_unix.so obscure sha512   remember=5

  root@test/etc# vim  pam.d/common-password

password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

•   设置密码复杂度

  root@test/etc# vim pam.d/common-password

password        requisite     pam_cracklib.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1

  root@test/etc# vim pam.d/system-auth

password        requisite     pam_cracklib.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1