Cómo evitar que los usuarios extiendan su ventana de inicio de sesión válido

He estado trabajando en algunos procedimientos de refuerzo de seguridad para un cuadro de RedHat, y quería saber si sería posible evitar que un usuario cambie su contraseña, una vez que haya caducado.

Para uno de nuestros clientes, el requisito es que solo deben tener acceso al servidor a través de cuentas temporales, lo que significa que una vez que se crean las credenciales de usuario, la contraseña debe caducar en 4 horas, y una vez que la contraseña caduca, solo la raíz debe poder cambiarla. .

Para el primer requisito (las contraseñas expiran después de 4 horas), supongo que podría lograrse configurando passwordMaxAge = 144000 . Pero todavía no pude encontrar una manera de evitar que los usuarios cambien las contraseñas caducadas, sin desactivar la caducidad de la contraseña.

¿Alguien puede ayudar?

En general, la caducidad de la contraseña se utiliza para obligar a los usuarios a cambiar sus contraseñas. Lo que parece que quieres hacer es bloquear la cuenta, lo que impide todo el inicio de sesión.

Lo que sugeriría que haga en su lugar es que, cuando cree la cuenta, también configure un trabajo que bloqueará la cuenta después de cuatro horas.

Por ejemplo:

useradd temp8143
echo chage -E 0 temp8143 | at now + 4 hours

( chage -Eespera que las fechas de vencimiento se den en días, por lo que trabajamos alrededor de esto con un trabajo).

Si elimina el bit setuid del comando passwd, solo root podrá usarlo. Esto también impedirá que los usuarios cambien la contraseña antes de que caduque, lo que de otro modo podría ser una forma de que los usuarios extiendan la cuenta por otras cuatro horas.

[jenny@finch ~] sudo chmod -s /usr/bin/passwd
[jenny@finch ~]$ passwd
Changing password for user jenny.
Changing password for jenny.
(current) UNIX password: 
New password: 
Retype new password: 
passwd: Authentication token manipulation error

Root todavía puede cambiar cualquier contraseña:

[jenny@finch ~]$ sudo passwd jenny
Changing password for user jenny.
New password: 
Retype new password: 
passwd: all authentication tokens updated successfully.