## 适用场景
弱口令与僵尸账号是服务器失陷的高频入口，账号安全要把三件事做扎实：口令有强度与有效期要求，登录行为留痕可查，异常登录有人响应。机器数量一多，靠自觉不如靠策略，顺云云服务器初始化时就该把这三层立起来。
## 步骤清单
口令策略落在两处：全局规则写在登录定义文件里，设置最大有效期与最小长度；即时调整用 change 命令对单个账号设置过期与提醒。复杂度规则由口令质量模块承接，拒绝纯数字与字典词。
chage -M 90 -W 7 zhang grep PASS /etc/login.defs
登录审计两个命令常态化：last 列出成功登录的来源地址与时间，lastb 列出失败尝试，失败记录激增就是爆破信号。把这两个命令纳入每日巡检脚本，输出与前日对比，异常来源地址直接进防火墙黑名单。条件允许时进一步接 audit 与告警，root 登录即时通知。
## 验证方法
策略生效与否用交互验证：设置有效期后用 change -l 查看账号的过期设定；尝试设置弱口令应被拒绝。审计链路验证靠演练：从一台陌生机器故意输错几次口令，确认 lastb 里出现记录且告警送达。
## 注意事项
策略要配套逃生通道：至少保留一个本地强口令管理员账号，防止集中认证故障锁死全员。云服务器上密钥登录替代口令是更优解，口令策略保底，审计仍不能省。僵尸账号每季度清点一次，离职与项目结束的账号立即禁用而非停用观察。
密钥与口令的混合策略再明确一下：运维通道全面转密钥登录，口令仅保留给控制台与应急场景；密钥本身设口令保护，私钥文件权限严格控制，分发走受控渠道而非聊天工具。僵尸密钥与僵尸账号同样危险，授权列表每季度与人事变动比对一次。把这套策略写成账号管理规范，新机器初始化脚本直接内置，规范靠工具落地而不是靠自觉。