CentOS如何永久关闭密码复杂度策略？

在CentOS系统中，密码策略是保障系统安全的重要机制，但特定场景下（如测试环境或内部系统）可能需要调整或关闭默认的密码策略以满足实际需求，本文将详细介绍如何在CentOS系统中关闭或修改密码策略，涵盖文件配置、工具使用及注意事项,帮助用户灵活管理安全设置。

理解CentOS密码策略机制

CentOS的密码策略主要由/etc/login.defs文件和pam_pwquality模块共同控制。/etc/login.defs定义了密码有效期、最小长度等基础规则，而pam_pwquality（或旧版的pam_cracklib）则提供更复杂的密码强度检查，如字符组合、历史密码限制等，要关闭密码策略,需同时调整这两个配置组件。

修改/etc/login.defs文件

/etc/login.defs是系统级密码策略的核心配置文件,包含以下关键参数：

• PASS_MAX_DAYS：密码有效期，默认为9999天（约27年）；
• PASS_MIN_DAYS：两次修改密码的最小间隔,默认为0；
• PASS_MIN_LEN：密码最小长度,默认为8；
• PASS_WARN_AGE：密码过期前的警告天数,默认为7。

若需关闭密码有效期限制，可将PASS_MAX_DAYS设置为0（表示永不过期）；若允许立即修改密码，需确保PASS_MIN_DAYS为0,通过编辑文件：

sudo vi /etc/login.defs

修改或添加以下行：

PASS_MAX_DAYS 0
PASS_MIN_DAYS 0
PASS_MIN_LEN 0
PASS_WARN_AGE 0

保存后，这些规则对新创建的用户生效,但不会影响已存在用户的密码策略。

禁用pam_pwquality模块

pam_pwquality模块通过/etc/security/pwquality.conf文件配置密码复杂度要求，如最小长度、字符类型混合、禁止常见密码等，要禁用该模块，需编辑PAM配置文件/etc/pam.d/system-auth（或/etc/pam.d/password-auth）,找到类似以下行：

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=

在其前添加注释掉，或通过ignore参数禁用：

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= ignore

需检查/etc/security/pwquality.conf文件,将参数设置为最小限制，

minlen = 0
minclass = 0

重启系统或重新认证后,密码复杂度检查将被禁用。

针对特定用户的密码策略调整

若仅需为特定用户关闭密码策略，可使用chage命令，为用户testuser设置密码永不过期：

sudo chage -M 0 testuser
sudo chage -m 0 testuser
sudo chage -W 0 testuser

参数-M、-m、-W分别对应PASS_MAX_DAYS、PASS_MIN_DAYS和PASS_WARN_AGE，若需完全禁用密码策略,可使用：

sudo chage -I -1 testuser

该命令将用户密码过期时间设为“从不过期”。

使用authconfig工具全局禁用密码策略

CentOS提供了authconfig或authselect工具管理认证配置,通过以下命令可禁用密码复杂度检查：

sudo authconfig --enablefaillock --disablepam_pwquality --update

或使用authselect（CentOS 8+）：

sudo authselect select sssd --force
sudo authselect enable-feature without-pam-pwquality

执行后,需重启服务使配置生效：

sudo systemctl restart systemd-logind

注意事项与安全风险

关闭密码策略会显著降低系统安全性,因此需谨慎操作：

1. 仅限可信环境：建议仅在测试环境、内部网络或完全隔离的系统中关闭密码策略；
2. 替代安全措施：若必须关闭，需通过其他方式加强安全，如限制SSH登录、启用双因素认证等；
3. 定期审计：即使关闭密码策略，仍需定期检查用户权限和登录日志,防止未授权访问；
4. 配置备份：修改前备份原始配置文件,以便必要时恢复。

验证密码策略是否生效

修改配置后,可通过以下方式验证：

1. 创建新用户并尝试设置简单密码（如123）,若成功则说明策略已关闭；
2. 使用passwd -S username检查用户密码状态，确认Max和Min字段是否为0；
3. 查看系统日志/var/log/secure,确认无密码强度错误提示。

相关问答FAQs

Q1: 关闭密码策略后，如何为现有用户立即生效？
A: 对于已存在的用户，需结合chage命令修改其密码策略参数，如sudo chage -M 0 username，若修改了pam_pwquality配置，可能需要强制用户重新登录或重启相关服务（如sshd）使新规则生效。

Q2: 关闭密码策略是否影响系统其他安全功能？
A: 仅密码复杂度检查和有效期限制会被禁用，其他安全功能（如SELinux、防火墙）不受影响，但需注意，弱密码可能增加账户被暴力破解的风险，建议配合登录失败锁定机制（如faillock）使用,以平衡安全性和便利性。