Linux 強制定期更改密碼策略：login.defs、useradd 預設值與 chage 實務操作

密碼存活期限制是基本安全合規要求。Linux 提供系統層級與用戶層級雙重配置機制。

系統預設值 — /etc/login.defs

PASS_MAX_DAYS   99999   # 密碼最大存活天數 (99999 等於永不失效)
PASS_MIN_DAYS   0       # 兩次變更間隔最少天數
PASS_WARN_AGE   7       # 失效前幾天開始警告

建議將 PASS_MAX_DAYS 設為 60 (每 60 天強制換密)，PASS_MIN_DAYS 視政策設定 (如 1)，PASS_WARN_AGE 維持 7。

新用戶預設 — /etc/default/useradd

INACTIVE=14   # 密碼過期後 14 天仍未改則鎖定帳號
EXPIRE=       # 明確指定帳號失效日期 (YYYY-MM-DD)，空白表不限制

既有用戶調整 — chage 指令

chage -M 60 joe              # 設定 joe 密碼最長 60 天
chage -l joe                 # 列出 joe 當前時效狀態
chage -m 1 -W 7 -I 14 joe    # 設定最短間隔 1 天、警告 7 天、非活動 14 天鎖定

注意：chage 僅作用於本地 /etc/shadow，若使用 LDAP/AD 整合認證則無效，需於目錄服務端配置密碼策略。

策略價值

離職員工帳號若疏未刪除，密碼策略可在數週內自動鎖定，提供額外防護層。但不應以此替代及時停權流程。