关键是快速确认锁定状态、精准重置计数、防止再次误锁：先用faillock --user <用户名>验证fail_lock: yes及失败计数，再执行--reset立即解锁，核查even_deny_root配置避免root误锁，最后验证登录成功且计数归零。
遇到运维账号被 pam_faillock 锁住，最关键是快速确认锁定状态、精准重置计数、并防止再次误锁。这不是服务故障，而是策略在生效——重点不在“修”，而在“准”和“稳”。
一、立即确认是否真被 faillock 锁定
别急着重置，先验证锁定来源。以 root 身份执行：
-
faillock --user <用户名>—— 查看该用户所有失败记录。若输出中含 fail_lock: yes 或 Failures count: N（N > 0），且 valid 字段显示V（表示密码错误），基本可判定是 faillock 触发； - 对比
lastb | grep <用户名>—— 看最近失败登录的 IP 和时间，确认是否为真实误输而非扫描攻击； - 检查
/var/run/faillock/<用户名>文件是否存在 —— 这是 faillock 的状态存储位置，存在即说明模块已介入。
二、安全解锁：只清计数，不碰配置
锁定由计数器触发，重置计数即可立即恢复登录。务必用对应命令，不可混用旧工具：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 标准解锁命令：
faillock --user <用户名> --reset； - 若需批量清理（如多个管理员同时被锁，仅限紧急排查）：
faillock --all --reset； - 注意：
pam_tally2 --reset对 faillock 无效，混用会导致计数残留，仍无法登录。
三、检查 root 是否被策略覆盖（关键避坑点）
很多误锁源于配置中启用了 even_deny_root，但未同步调整管理习惯。请立刻核查：
- 运行
grep -r "even_deny_root" /etc/pam.d/—— 确认 system-auth、password-auth、sshd 等文件中是否启用该参数； - 若已启用，且你日常依赖密码登录 root，请立即改用 SSH 密钥+sudo 模式，或临时注释该参数再 reload sshd；
- 更稳妥做法：对 root 用户单独豁免，在 PAM 配置中加条件判断，例如：
auth [user=root success=ok default=ignore] pam_faillock.so，跳过 root 的计数逻辑。
四、验证与收尾：确保下次不再踩坑
解锁后别直接退出，马上做两件事：
- 用该账号重新 SSH 登录一次 —— 成功即说明计数已清、PAM 规则正常流转；
- 检查
faillock --user <用户名>输出，确认 Failures count 为 0，且无fail_lock: yes行； - 把本次误锁的触发操作（比如脚本批量改密、跳板机会话复用）记入运维 checklist，后续同类操作前先
faillock --user <用户名> --reset预清计数。
