系统会话过期机制的核心目标是防止合法用户退出或离席后其高权限状态被他人复用，需通过终端登录会话、sudo提权会话、密码策略周期及账号级生命周期四层协同控制，形成闭环时效管理。
系统会话过期机制的核心目标，是防止合法用户退出或离席后，其高权限状态被他人复用。这不是单一配置能解决的问题，而是需要分层控制：终端登录会话、sudo提权会话、密码策略周期、以及账号级生命周期四者协同生效。
1. 控制终端登录会话空闲超时
SSH 或本地 TTY 会话若长期无操作却不自动断开，就可能成为权限残留入口。关键配置在 SSH 服务端：
- 编辑 /etc/ssh/sshd_config，设置以下三项（单位为秒）：
ClientAliveInterval 300（每5分钟发一次心跳）
ClientAliveCountMax 2（连续2次无响应即断连）
TMOUT=300（在 /etc/profile 或 /etc/bash.bashrc 中全局设 shell 级超时） - 修改后重启服务：sudo systemctl restart sshd
- 验证方式：who -u 可查看各终端的空闲时间；last -n 10 查看最近登录与登出记录
2. 限制 sudo 时间戳有效期
即使用户已登录，sudo 权限也不该“一劳永逸”。默认 15 分钟有效期易被利用，应主动收紧：
- 用 sudo visudo 编辑 /etc/sudoers，添加或修改：
Defaults timestamp_timeout=3（全局设为3分钟）
Defaults:admin timestamp_timeout=1（对 admin 组更严）
Defaults:!root timestamp_timeout=0（除 root 外每次均需输密） - 立即清除当前时间戳：sudo -k（当前会话）或 sudo -K（全部会话）
- 检查当前值：sudo -V | grep "timestamp timeout"
3. 强制密码定期更新与账号失效
密码不过期，等于长期通行证；账号不设截止日，等于永久后门：
- 全局策略写入 /etc/login.defs：
PASS_MAX_DAYS 90（密码90天必须更换）
PASS_WARN_AGE 14（提前2周提醒）
INACTIVE 7（密码过期后7天未登录则锁定账号） - 对现有用户生效：sudo chage -M 90 -W 14 -I 7 username
- 为临时运维账号设硬性截止日：sudo chage -E $(date -d "+30 days" +%Y-%m-%d) tempadmin
4. 清理长期闲置账户与最小化权限
不用的账号就是潜在入口，权限过宽的账号就是放大器：
- 查近90天未登录用户：last -a | awk '{print $1}' | sort | uniq -c | sort -nr | head -20
- 禁用闲置账号：sudo usermod -L username（加锁）或 sudo userdel -r username（彻底删除）
- 检查 sudo 权限范围：sudo -l -U username，避免出现 NOPASSWD: ALL 这类高危配置
- 敏感操作后习惯执行 sudo -k，可加别名：alias sudoclean='sudo -k' 到 ~/.bashrc
不复杂但容易忽略——真正起效的不是某一条命令，而是把登录、提权、认证、账号四个环节的过期逻辑串成闭环。每次 sudo 执行、每次 SSH 登录、每次密码修改、每次账号创建，都应默认带有时效边界。
