安全加固脚本需覆盖身份标识唯一性、口令强度、失败处理、权限分离、默认账户处置五大刚性要求：强制12位复合密码、90天有效期、24次历史禁复用、自动锁定冗余账户、pam失败锁定5次并30分钟解锁、审计校验与终端实测闭环。
直接用安全加固脚本落实账号安全策略，核心是把人工配置项标准化、可复用、防遗漏。关键不在于脚本多炫酷，而在于它是否覆盖身份标识唯一性、口令强度、失败处理、权限分离、默认账户处置这五个等保和生产环境刚性要求点。
账号创建与口令策略自动化
脚本需强制执行强密码规则和生命周期管理，不能只设“启用复杂度”就完事：
- 设置密码最小长度≥12位，必须含大小写字母、数字、特殊字符（如 sed -i 's/PASS_MIN_LEN.*/PASS_MIN_LEN 12/' /etc/login.defs）
- 写入密码有效期：90天强制更换（PASS_MAX_DAYS 90），最短使用1天防绕过（PASS_MIN_DAYS 1）
- 保留至少24个历史密码，禁止循环复用（PASS_HISTORY 24）
- 对新建用户自动应用策略：chage -M 90 -m 1 -I 30 -W 7 username（锁定前7天预警，30天后自动禁用）
默认账户与权限隔离落地
脚本必须识别并处置高危默认账户，而非仅提示“请检查”：
- 锁定或删除系统冗余账户：usermod -L games && usermod -L sync && usermod -L shutdown
- 重命名 Administrator 或 root（Linux下为避免硬编码，用 sed -i '/^root:/s/^root:/admin:/' /etc/passwd 配合后续权限迁移）
- 确保普通运维账号仅加入必要组（如 sudo 或 wheel），禁用 docker、adm 等宽泛权限组
- 对所有非 root 账户执行 passwd -e 强制首次登录改密
登录失败响应与访问控制闭环
账号安全不止于“能设密码”，更在于“输错会怎样”——脚本要直接配置底层机制：
- Linux：写入 PAM 模块限制，例如在 /etc/pam.d/sshd 中追加 auth [default=die] pam_faillock.so authfail deny=5 unlock_time=1800 fail_interval=900
- Windows：调用 secedit 导出-修改-导入安全模板，将 LockoutBadCount=5、LockoutDuration=30、ResetLockoutCount=30 写入生效
- 限制允许登录的用户列表（AllowUsers admin@192.168.1.*），拒绝未明确授权的任何账号
- 禁用空密码登录、禁止密码为空白字符串（PermitEmptyPasswords no）
审计与验证不可跳过
脚本最后一步必须自带校验逻辑，否则等于没加固：
- 扫描 /etc/shadow 中所有用户的密码字段，确认无空值（:*: 或 ::）
- 检查 chage -l username 输出是否匹配预设策略（如 Max days=90）
- 运行 faillock --user admin 验证失败计数器是否已启用
- 生成简明报告：列出已锁定账户、密码过期账户、未设密码账户，并标红高危项
不复杂但容易忽略：脚本执行后，务必用新账号从干净终端重新登录测试全流程，包括输错5次锁账户、改密后能否登、sudo是否仍有效——自动化不是终点，验证才是闭环。
