Linux不原生支持CPU负载异常自动锁定账号，需通过脚本+定时监控（cron或systemd timer）调用passwd -l实现；禁用实时响应方案，因其易加剧系统负担。
Linux系统本身不提供“CPU负载异常 → 自动锁定账号”的原生联动机制。这不是PAM或内核的标准行为，也没有现成的配置项能直接把load average > 4和useradd -L绑在一起。
但你可以通过脚本 + 定时监控 + 账户锁定命令组合实现这个目标。关键在于：区分“登录失败锁定”和“负载触发锁定”——后者属于自定义安全响应，需手动搭建。
下面分三类实用方式说明，按推荐度排序：
一、用cron定时检查负载并锁定高风险账户（最常用）
适合：想在CPU持续过载时临时禁用非关键用户（如测试账号、低权限运维账号），防止其加重系统负担或被利用。
- 编写检测脚本
/usr/local/bin/check_cpu_lock.sh：#!/bin/bash LOAD=$(uptime | awk -F'load average:' '{print $2}' | awk '{print $1}' | sed 's/,//') CORES=$(nproc) THRESHOLD=$(echo "$CORES * 1.5" | bc -l | cut -d. -f1)
if (( $(echo "$LOAD > $THRESHOLD" | bc -l) )); then
锁定指定非关键用户（避免锁root、服务账号）
for user in testuser devops backup; do
if id "$user" &>/dev/null && ! pgrep -u "$user" &>/dev/null; then
passwd -l "$user" 2>/dev/null
logger "CPU load $LOAD > $THRESHOLD: locked user '$user'"
fi
donefi
- 加入crontab（每5分钟执行）： ```bash */5 * * * * /usr/local/bin/check_cpu_lock.sh
✅ 优点：轻量、可控、不依赖PAM
⚠️ 注意：脚本中务必排除root、syslog、sshd等系统和服务账户；建议先用echo测试再启用passwd -l
二、结合systemd timer做更可靠的负载响应
比cron更健壮，支持失败重试和日志追踪。
- 创建timer单元
/etc/systemd/system/cpu-lock-check.timer：[Unit] Description=Check CPU load and lock users if overloaded
[Timer] OnUnitActiveSec=300 Persistent=true
[Install] WantedBy=timers.target
- 创建service单元 `/etc/systemd/system/cpu-lock-check.service`： ```ini [Unit] Description=Lock non-essential users on high CPU load After=network.target [Service] Type=oneshot ExecStart=/usr/local/bin/check_cpu_lock.sh User=root StandardOutput=journal [Install] WantedBy=multi-user.target
- 启用：
sudo systemctl daemon-reload sudo systemctl enable --now cpu-lock-check.timer
三、不推荐：强行挂钩top/ps输出做实时响应
例如用inotifywait监听/proc/loadavg或写while true; do ... sleep 1; done循环——这类做法：
- 极易消耗额外CPU，恶化问题本身
- 无背压控制，可能触发fork炸弹式进程堆积
- 缺乏审计痕迹，故障难回溯
除非有特殊嵌入式场景，否则应避免。
补充说明：
-
PAM的
pam_faillock.so只响应认证失败事件，和CPU无关 -
chage -E 0或usermod -s /sbin/nologin是立即生效的锁定手段，适合脚本调用 - 若需自动解锁，可在脚本中加判断：
(( $(echo "$LOAD < $THRESHOLD * 0.7" | bc -l) )) && passwd -u $user
核心逻辑就是：监控是独立任务，锁定是执行动作，二者靠脚本串联，而非系统内置策略。
