1. chage命令基础解析

chage是Linux系统中用于管理用户密码时效性的核心命令，全称为"change age"。这个看似简单的命令实际上承担着系统安全策略的重要角色。作为系统管理员，我几乎每天都会用到它来维护服务器用户账号的安全状态。

1.1 命令基本语法与参数

chage的标准调用格式非常直接：

chage [选项] 用户名

但别被它的简单语法迷惑了 - 每个选项背后都对应着关键的安全策略。让我拆解几个最常用的参数：

• -m（最小天数）：这个参数设定了密码修改的最小间隔。设为0表示随时可以改密码，设为7则意味着修改密码后7天内不能再改。这在防止用户频繁更换密码逃避历史记录检查时特别有用。

• -M（最大天数）：决定了密码的有效期。比如设为90就是强制用户每3个月必须更换密码。这是很多金融系统的基础安全要求。

• -W（警告天数）：在密码到期前多少天开始提醒用户。设为7的话，用户会在密码到期前一周收到警告。

• -I（不活跃天数）：这个参数经常被忽视，但它其实很关键。它设定了密码过期后账号被锁定的宽限期。比如设为5表示密码过期后还能用5天，之后账号就被锁了。

1.2 查看当前密码策略

使用-l选项可以查看用户的完整密码策略：

chage -l username

输出会包含7个关键信息点：

1. 上次密码修改日期
2. 密码过期日期
3. 密码失效日期（宽限期后）
4. 账号过期日期
5. 最小修改间隔
6. 最大有效期
7. 警告提前天数

在实际运维中，我习惯用这个命令快速检查所有特权账号的状态，特别是root和数据库账号。

2. chage命令实战应用

2.1 强制首次登录修改密码

新员工入职时，我通常会这样设置他们的初始账号：

useradd newuser passwd newuser chage -d 0 newuser

这个-d 0的魔法在于它将"上次修改密码时间"设为1970年1月1日（Unix纪元起点），相当于强制用户第一次登录时必须改密码。这在企业环境中是标准做法。

2.2 企业级密码策略配置

假设公司安全政策要求：

• 密码至少每90天更换一次
• 更换后7天内不能再次修改
• 到期前7天提醒
• 过期后立即锁定

对应的chage命令会是：

chage -M 90 -m 7 -W 7 -I 0 username

特别注意：修改这些参数需要root权限。普通用户只能查看自己的密码策略(chage -l $USER)，但不能修改。

2.3 特殊日期格式处理

-E和-d参数支持多种日期格式：

• YYYY-MM-DD（推荐）
• MM/DD/YYYY
• DD-MM-YYYY
• 或者从1970年1月1日至今的天数

例如，设置账号在2025年底过期：

chage -E 2025-12-31 username

3. 高级技巧与排错指南

3.1 与/etc/login.defs的配合

系统默认密码策略在/etc/login.defs中定义，主要参数包括：

PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 7

但要注意：修改login.defs只影响新创建的用户。已有用户的策略需要用chage单独调整。

3.2 密码永不过期的隐患

设置-M -1会让密码永不过期，这看似方便但极其危险。我见过太多服务器因为服务账号密码永不过期而被入侵的案例。如果确实需要，至少要配合强密码策略。

3.3 常见错误排查

问题1：用户抱怨密码未过期就被要求修改

• 检查-m值是否设得太大
• 确认/etc/shadow中相关字段是否与chage显示一致

问题2：密码过期后账号未被锁定

• 检查-I参数是否为0
• 确认pam模块配置正确（/etc/pam.d/system-auth）

问题3：修改不生效

• 确保执行时使用了root权限
• 检查selinux是否阻止了修改
• 查看/var/log/secure日志获取详细错误

4. 企业环境最佳实践

4.1 批量修改用户策略

用这个for循环可以批量更新所有普通用户：

for user in $(awk -F: '$3 >= 1000 && $3 < 60000 {print $1}' /etc/passwd); do chage -M 90 -m 7 -W 7 "$user" done

4.2 自动化监控脚本

我常用的密码过期监控脚本框架：

#!/bin/bash WARNING_DAYS=14 current_date=$(date +%s) awk -F: '{print $1}' /etc/passwd | while read user; do expiry_date=$(chage -l "$user" | grep "Password expires" | cut -d: -f2) if [[ "$expiry_date" != "never" ]]; then expiry_epoch=$(date -d "$expiry_date" +%s) days_left=$(( (expiry_epoch - current_date) / 86400 )) if [ $days_left -le $WARNING_DAYS ]; then echo "用户 $user 密码将在 $days_left 天后过期" # 这里可以添加邮件通知逻辑 fi fi done

4.3 与LDAP的集成

在LDAP环境中，chage命令可能无法直接修改远程账号。这时需要改用：

ldapmodify -x -D "cn=admin,dc=example,dc=com" -W

修改shadowAccount对象的以下属性：

• shadowLastChange
• shadowMin
• shadowMax
• shadowWarning
• shadowInactive
• shadowExpire

5. 安全加固建议

5.1 特权账号的特殊处理

对于root和sudo用户，我建议采用更严格的策略：

chage -M 30 -m 1 -W 5 -I 0 root

同时配合：

passwd -l root # 禁止直接root登录

5.2 密码历史控制

chage不直接支持密码历史，需要配合pam_pwhistory.so模块。在/etc/pam.d/system-auth中添加：

password required pam_pwhistory.so remember=5

这样系统会记住最近5次密码，防止用户循环使用旧密码。

5.3 审计与合规

定期检查密码策略合规性：

awk -F: '$5 > 90 {print $1}' /etc/shadow # 找出密码有效期超过90天的账号

配合cronjob生成周报，满足等保2.0等合规要求。

6. 替代方案与扩展工具

6.1 passwd命令的局限性

虽然passwd -e可以强制用户下次登录改密码，但它无法设置复杂的时效策略。chage才是专业选择。

6.2 图形化工具

对于不习惯命令行的管理员，可以安装：

yum install gnome-system-tools # RHEL/CentOS apt install gnome-system-tools # Debian/Ubuntu

然后使用users-admin工具进行可视化设置。

6.3 企业级解决方案

在大型环境中，可以考虑：

• FreeIPA/Red Hat IDM
• Microsoft Active Directory
• 各类PAM模块

这些方案提供了更完善的密码策略管理和审计功能。