Linux使用PAM锁定屡次登录失败的用户

Linux有一个pam_tally2.so的PAM模块，来限定用户的登陆失败次数，若是次数达到设置的阈值，则锁定用户。

编译PAM的配置文件

# vim /etc/pam.d/login
1.#%PAM-1.0
2.auth      required  pam_tally2.so   deny=3  lock_time=300 even_deny_root root_unlock_time=10
3.auth [user_unknown=ignore success=ok ignoreignore=ignore default=bad] pam_securetty.so
4.auth       include      system-auth
5.
6.account    required     pam_nologin.so
7.account    include      system-auth
8.password   include      system-auth
9.# pam_selinux.so close should be the first session rule
10.session    required     pam_selinux.so close
11.session    optional     pam_keyinit.so force revoke
12.session    required     pam_loginuid.so
13.session    include      system-auth
14.session    optional     pam_console.so
15.# pam_selinux.so open should only be followed by sessions to be executed in the user context
16.session    required     pam_selinux.so open

各参数解释

1.even_deny_root    也限制root用户；
2.
3.deny           设置普通用户和root用户连续错误登录的最大次数，超过最大次数，则锁定该用户
4.
5.unlock_time        设定普通用户锁定后，多少时间后解锁，单位是秒；
6.
7.root_unlock_time      设定root用户锁定后，多少时间后解锁，单位是秒；
8.
9.此处使用的是 pam_tally2 模块，若是不支持 pam_tally2 可使用 pam_tally 模块。另外，不一样的pam版本，设置可能有所不一样，具体使用方法，能够参照相关模块的使用规则。

本篇文章来源于 Linux公社网站(www.linuxidc.com)  原文连接：http://www.linuxidc.com/Linux/2012-07/65550.htm