一 配置文件内容

首先打开配置文件/etc/pam.d/system-auth，我们会发现这个文件大致分成四列四部分内容。

[root@master ~]# cat /etc/pam.d/system-auth#%PAM-1.0# This file is auto-generated.# User changes will be destroyed the next time authconfig is run.auth        required      pam_env.soauth        required      pam_faildelay.so delay=2000000auth        sufficient    pam_fprintd.soauth        sufficient    pam_unix.so nullok try_first_passauth        requisite     pam_succeed_if.so uid >= 1000 quiet_successauth        required      pam_deny.soaccount     required      pam_unix.soaccount     sufficient    pam_localuser.soaccount     sufficient    pam_succeed_if.so uid < 1000 quietaccount     required      pam_permit.sopassWord    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtokpassword    required      pam_deny.sosession     optional      pam_keyinit.so revokesession     required      pam_limits.so-session     optional      pam_systemd.sosession     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uidsession     required      pam_unix.so

二 各列参数说明

1）第一列

其中第一列包括 auth、account、password、session四个模块。

2）第二列

第二列包含 required requisite suffifient optinal 四个参数。

3）第三列和第四列

具体使用的类以及参数设置。

三 常用类说明

1）密码过期，要求强制修改密码，且必须满足密码的复杂度。
此处使用 pam_cracklib.so 这个类。

password  required  pam_cracklib.so enforce_for_root retry=a ...

下面是我们常用的参数以及含义解释。

注意，上面的cdef数字是小于0的数字时，表示要求最少需要几个。
当cdef数字是大于0的数字时，表示要求最多有几个。
比如lcredit=-3，表示最少要有3个小写字母。
比如dcredit=2，表示最多只能有2个数字。

由于这个类比较常用，且经常在实际生产环境中会对配置文件的密码复杂度进行修改，所以单独将其拿出来说明。

下面是其他一些常用的类以及对应的模块，了解即可。

来源地址：https://blog.csdn.net/oldboy1999/article/details/128283411