统信UOS强密码策略可通过安全中心图形界面一键启用高阶策略，或通过PAM模块精细控制，亦支持脚本批量下发；高阶策略要求密码≥12位且含大小写字母、数字、特殊符号四类，有效期90天、最小修改间隔6天、提前30天预警。
你正在为统信UOS系统配置强密码策略，目的是让所有新用户和现有用户在修改密码时必须满足长度、字符类型、重复与序列等硬性要求，防止弱口令引发的安全风险。
通过安全中心图形界面一键启用高阶策略
该方式适合桌面环境管理员快速部署，无需命令行，策略立即写入系统配置。
1. 点击左下角【开始菜单】→ 在搜索框中输入“安全中心”并打开。
2. 左侧导航栏依次进入【安全工具】→【登录安全】。
3. 在【密码复杂度】区域，单击选中【高】选项——【该选项强制密码≥12位，且必须同时含大写字母、小写字母、数字、特殊符号四类字符】。
4. 勾选【启用密码有效期】，将“密码最长使用天数”设为90，“最小修改间隔”设为6，“过期前提前警告”设为30。
5. 点击右下角【应用】，系统提示“配置成功”后，关闭窗口即可生效。
通过PAM模块精细控制密码组成规则
此方法适用于服务器版或需审计合规的场景，策略覆盖所有本地用户（含root），且可精确限制单调序列、重复字符、字典词等高危模式。
方法一：安装并配置libpam-pwquality模块
执行sudo apt-get install -y libpam-pwquality cracklib-runtime安装依赖。
备份原配置：sudo cp /etc/pam.d/common-password /etc/pam.d/common-password.bak。
用vim编辑sudo vim /etc/pam.d/common-password，定位到已有pam_pwquality.so所在行（通常在第25行附近），将其整行替换为：
password requisite pam_pwquality.so retry=3 enforce_for_root minlen=12 minclass=4 maxsequence=3 maxrepeat=3 difok=4 gecoscheck=1 reject_username
保存退出后，执行sudo systemctl restart systemd-logind使策略对后续登录生效。注意：若该行被重复添加或格式错误（如换行、空格不一致），会导致密码修改失败且无明确报错。
批量下发强密码策略（命令行脚本化）
当需对数十台UOS终端统一加固时，图形界面逐台操作效率极低，应采用脚本自动写入配置。
第一步：生成标准化PAM策略行
echo 'password requisite pam_pwquality.so retry=3 enforce_for_root minlen=12 minclass=4 maxsequence=3 maxrepeat=3 difok=4 gecoscheck=1 reject_username' | sudo tee -a /etc/pam.d/common-password > /dev/null
第二步：确保/etc/login.defs中有效期参数同步
sudo sed -i 's/^PASS_MAX_DAYS[[:space:]]\+[0-9]\+$/PASS_MAX_DAYS 90/' /etc/login.defs
sudo sed -i 's/^PASS_MIN_DAYS[[:space:]]\+[0-9]\+$/PASS_MIN_DAYS 6/' /etc/login.defs
sudo sed -i 's/^PASS_WARN_AGE[[:space:]]\+[0-9]\+$/PASS_WARN_AGE 30/' /etc/login.defs
第三步：验证当前用户下次改密是否受控
在另一终端中执行passwd，尝试输入8位纯数字密码——系统应拒绝并提示“密码不符合复杂度要求”。
