Как предотвратить доступ по ssh после истечения срока действия учетной записи Linux?

Я был немного удивлён тем, что пользователь всё ещё может получить ssh-доступ к машине под управлением Linux (Ubuntu 18.04.6 LTS), где его учётная запись истекла.

Я настроил дату истечения учётной записи с помощью chage:

sudo chage -l xxxx
Последнее изменение пароля               : 10 окт, 2024
Пароль истекает                         : никогда
Пароль становится неактивным            : никогда
Учётная запись истекает                  : 5 ноя, 2024
Минимальное количество дней между изменениями пароля : 0
Максимальное количество дней между изменениями пароля : 99999
Количество дней предупреждения до истечения пароля : 7

Учётная запись истекла 05.11.2024, но пользователь всё ещё может подключаться через ssh.

Есть ли какая-либо конфигурация в sshd сервере или PAM, чтобы обеспечить истечение учётной записи?

Насколько мне известно, sshd имеет UsePAM yes, и PAM должен предотвращать вход, но единственное, что он делает, это выводит Ваша учётная запись истекла; пожалуйста, свяжитесь с администратором системы в баннере ssh.

Я получаю то же самое, если выполняю sudo su xxxx, я получаю Ваша учётная запись истекла; пожалуйста, свяжитесь с администратором системы, но я получаю приглашение оболочки в любом случае.

PAM — это модульная система; она полностью полагается на конфигурацию в /etc/pam.d/, чтобы определить, какие модули вызываются и как их результаты учитываются в общем результате вызова PAM.

Например, каждый модуль может быть загружен как ‘обязательный’, где его возвращаемый код ошибки в конечном итоге влияет на результат, или как ‘критичный’, где код ошибки является немедленным отказом, или как ‘необязательный’, где ошибки этого модуля просто игнорируются, или несколько других вариантов (см. pam(8) и pam.conf(5)).

Истечение срока действия в соответствии с данными /etc/shadow обрабатывается модулем pam_unix.so в секции account (авторизация) конфигурации PAM. Если вы получаете сообщение “Учётная запись истекла” от pam_unix, но это не останавливает процесс, то это похоже на то, что модуль был (случайно или по другим причинам) определён как необязательный вместо обязательного.

Когда sshd обрабатывает соединение, он использует модули из /etc/pam.d/sshd; когда выполняется su, используются su или su-l. Эти модули часто включают общую /etc/pam.d/system-auth или аналогичную. Просмотрите все эти конфигурации, пока не найдёте неправильно настроенный модуль и не измените его на ‘обязательный’.

$ grep -r account.*pam_unix /etc/pam.d
system-auth:16:account    required                    pam_unix.so

Обратите внимание, что один и тот же модуль в разных секциях выполняет разные задачи:

• Секция ‘auth’ обрабатывает проверку паролей конкретно (например, pam_unix проверяет пароли по /etc/shadow); эта секция пропускается для входа без пароля, как SSH-ключи.
• Секция ‘account’ отвечает за общий контроль доступа (независимо от метода аутентификации), поэтому именно здесь pam_unix осуществляет проверки истечения и блокировки.
• Секция ‘session’ отвечает за настройку сессии, где тот же модуль pam_unix просто записывает бесполезное сообщение в syslog.
• Секция ‘password’ обрабатывает изменения пароля с использованием команды passwd.