Comment empêcher les utilisateurs d'étendre leur fenêtre de connexion valide

J'ai travaillé sur certaines procédures de renforcement de la sécurité pour une boîte RedHat, et je voulais savoir s'il serait possible d'empêcher un utilisateur de changer son mot de passe, une fois qu'il est expiré.

Pour l'un de nos clients, l'exigence est qu'ils ne doivent avoir accès au serveur que via des comptes temporaires, ce qui signifie qu'une fois les informations d'identification de l'utilisateur créées, le mot de passe doit expirer dans les 4 heures, et une fois le mot de passe expiré, seule la racine doit pouvoir le changer. .

Pour la première exigence (les mots de passe expirant après 4 heures), je suppose que cela pourrait être atteint en définissant passwordMaxAge = 144000 . Mais je ne pouvais toujours pas trouver un moyen d'empêcher les utilisateurs de changer les mots de passe expirés, sans désactiver l'expiration des mots de passe.

Quelqu'un peut-il aider?

Généralement, l'expiration du mot de passe est utilisée pour forcer les utilisateurs à modifier leur mot de passe. Il semble que vous vouliez faire est de verrouiller le compte, ce qui empêche toute connexion.

Ce que je vous suggère de faire à la place, c'est que, lorsque vous créez le compte, configurez également un travail qui verrouillera le compte après quatre heures.

Par exemple:

useradd temp8143
echo chage -E 0 temp8143 | at now + 4 hours

( chage -Es'attend à ce que les dates d'expiration soient données en jours, donc nous travaillons autour de cela avec un travail au travail.)

Si vous supprimez le bit setuid de la commande passwd, seul root pourra l'utiliser. Cela empêchera également les utilisateurs de modifier le mot de passe avant son expiration - ce qui pourrait sinon être un moyen pour les utilisateurs d'étendre le compte pendant quatre heures supplémentaires.

[jenny@finch ~] sudo chmod -s /usr/bin/passwd
[jenny@finch ~]$ passwd
Changing password for user jenny.
Changing password for jenny.
(current) UNIX password: 
New password: 
Retype new password: 
passwd: Authentication token manipulation error

Root peut toujours changer n'importe quel mot de passe:

[jenny@finch ~]$ sudo passwd jenny
Changing password for user jenny.
New password: 
Retype new password: 
passwd: all authentication tokens updated successfully.