Jak uniemożliwić użytkownikom rozszerzenie okna ważnego logowania

Pracowałem nad niektórymi procedurami zwiększającymi bezpieczeństwo dla skrzynki RedHat i chciałem wiedzieć, czy będzie możliwe zapobieżenie zmianie hasła przez użytkownika po jego wygaśnięciu.

W przypadku jednego z naszych klientów wymaga się, aby mieli oni dostęp do serwera tylko za pośrednictwem kont tymczasowych, co oznacza, że ​​po utworzeniu poświadczeń użytkownika hasło musi wygasnąć w ciągu 4 godzin, a po wygaśnięciu hasła tylko root może go zmienić. .

Jeśli chodzi o pierwsze wymaganie (hasła wygasają po 4 godzinach), myślę, że można to osiągnąć poprzez ustawienie passwordMaxAge = 144000 . Ale nadal nie mogłem znaleźć sposobu, aby uniemożliwić użytkownikom zmianę wygasłych haseł bez wyłączenia ich wygasania.

Czy ktoś może pomóc?

Zasadniczo wygasanie hasła służy do zmuszenia użytkowników do zmiany haseł. Wygląda na to, że chcesz zablokować konto, co uniemożliwia logowanie.

Sugeruję, abyś zamiast tego założył konto w miejscu pracy, które zablokuje konto po czterech godzinach.

Na przykład:

useradd temp8143
echo chage -E 0 temp8143 | at now + 4 hours

( chage -Eoczekuje się, że daty ważności będą podawane w dniach, więc obejdziemy to w miejscu pracy).

Jeśli usuniesz bit setuid z polecenia passwd, tylko root będzie mógł go użyć. Uniemożliwi to również użytkownikom zmianę hasła przed jego wygaśnięciem - co w innym przypadku może być sposobem na przedłużenie konta o kolejne cztery godziny.

[jenny@finch ~] sudo chmod -s /usr/bin/passwd
[jenny@finch ~]$ passwd
Changing password for user jenny.
Changing password for jenny.
(current) UNIX password: 
New password: 
Retype new password: 
passwd: Authentication token manipulation error

Root nadal może zmienić dowolne hasło:

[jenny@finch ~]$ sudo passwd jenny
Changing password for user jenny.
New password: 
Retype new password: 
passwd: all authentication tokens updated successfully.