银河麒麟系统需按单位安全规范强制用户每30天更换密码，通过chage命令配置有效期、最小修改间隔（7天）、过期提醒（3天）及锁定宽限期（5天），并用chage -l验证各参数生效，登录时弹出不可跳过的修改窗口即为策略生效。

银河麒麟系统需按单位安全规范定期强制用户更换密码，防止因长期不更新导致凭证泄露或被暴力破解，该策略直接作用于/etc/shadow中密码字段的过期元数据，系统登录时自动校验并触发修改流程。

检查当前用户密码有效期状态

执行命令查看目标账户的密码到期信息，确认是否已启用有效期控制：
sudo chage -l 用户名（例如：sudo chage -l kylin）

输出中若显示“Password expires”为“never”，说明尚未设置强制更换周期；若显示具体日期，则策略已生效。这一步必须先做，否则后续设置可能被覆盖或无效。

设置密码最长使用期限

强制用户每30天必须更换一次密码，超过时限将无法登录：
sudo chage -M 30 用户名

该参数写入shadow文件的第5个字段，值为从1970-01-01起算的天数。若设为0，表示密码立即过期；设为-1则禁用此限制。生产环境严禁设为-1或0，除非临时调试。

配置密码修改最小间隔与过期提醒

第一步：禁止用户在刚改完密码后立刻再次修改，防止绕过策略：
sudo chage -m 7 用户名

第二步：提前3天向用户发出图形界面及终端登录提示：
sudo chage -W 3 用户名

第三步：设置密码失效后账户锁定宽限期（可选）：
sudo chage -I 5 用户名

注意：-I参数值若设为0，账户将在密码过期当天立即锁定；设为-1则永不锁定，仅拒绝登录。企业环境中建议设为1～7之间的正整数，兼顾安全与运维响应时间。

验证策略是否生效

再次运行sudo chage -l 用户名，确认输出中“Maximum number of days between password change”为30、“Minimum number of days between password change”为7、“Number of days of warning before password expires”为3。

此时可切换至该用户登录测试：输入正确密码后，系统会弹出强制修改窗口，且不提供跳过选项——【这是策略生效的唯一可靠标志】。