等保三级要求通过chage命令精确配置用户密码生命周期：-M设为60–180天（推荐90天），-m建议7天，-W设7天提醒，-I设14天宽限期，-E按需启用账户截止日，root密码须永不过期，并用chage -l验证四项关键字段。
要满足等保三级对账号密码安全的合规要求，核心是通过 chage 命令为已有用户精确设置密码生命周期参数。/etc/login.defs 只影响新用户，不能替代 chage 对存量用户的配置。
密码最长使用天数（-M）必须设为60–180天
等保三级明确要求“设置密码失效时间”，防止长期不更换密码带来的风险。推荐值为90天：
-
sudo chage -M 90 username—— 密码90天后必须更新 - 设为
-M 0表示下次登录强制改密（适合临时授权或安全加固场景） - 严禁设为
-M -1或-M 99999（即永不过期），这直接违反等保要求
密码最短使用天数（-m）建议设为7天
防止用户频繁重置密码绕过历史策略或重复使用弱密码：
-
sudo chage -m 7 username—— 新密码至少使用7天才能再次修改 - 若业务有特殊需求允许即时重置，可设为
-m 0，但需同步加强审计 - 该值不可大于
-M值，否则逻辑冲突导致策略失效
到期前警告天数（-W）和宽限期（-I）需协同配置
仅设 -M 不够，等保强调“可操作性”与“可控性”并重：
-
sudo chage -W 7 username—— 提前7天开始在登录时提示密码将过期 -
sudo chage -I 14 username—— 密码过期后仍可登录14天，但每次登录都强制改密；超期则账户锁定 - 避免
-I 0：会导致密码一过期就立即锁户，易引发运维投诉
账户整体过期日（-E）按需启用，不强制但建议补充
等保虽未硬性要求账户截止日，但对临时账号、外包人员或项目制账号属于强推荐项：
-
sudo chage -E 2026-12-31 username—— 账户在该日期后完全禁用（连登录都不允许） - 注意：
-E和-I独立生效，系统以先触发者为准。例如密码12月1日过期、-I 14，但-E设为12月10日，则12月10日零点起账户彻底失效 - root 用户必须保持
Password expires: never，不可盲目设置-M或-E
验证是否生效，统一用：sudo chage -l username
重点核对 “Password expires”、“Minimum number of days between password change”、“Warning days before password expires”、“Password inactive” 四项字段。
