问题产生过程

某用户 希望设置linux 在任何用户输入密码错误次数超过6次的情况下能触发 用户账号锁定40秒的防护功能（锁后root用户无法登录）。等40秒后，登录界面输入 root用户的正确密码，看能否登陆。但用户自行修改系统配置文件后，系统出现故障：root用户无法执行passwd命令。passwd命令执行后出现如下图的报错：

故障线索分析

注意 其中的一个关键错误：

passwd: module is unknown

和

illegal module type : root_unlock_time

看起来跟识别模块异常有关。以 module is unkonw 和 illegal module type : root_unlock_time 作为关键词，搜索查到跟 /etc/pam.d/system-auth-ac 相关。

根据/etc/pam.d/system-auth-ac 这个信息，打开文件查看内容。

初步解决验证尝试

给文件的 /etc/pam.d/system-auth-ac 的passwd相关的2行加了注释。
注释后这个文件的第3-4行内容是：

#auth required pam_tally2.so  onerr=fail  deny=6  unlock_time=40 even_deny_root   
#root_unlock_time=30 

注释后就不存在passwd执行后提示passwd: module is unknown的问题了。

但这些语句在 /etc/pam.d/system-auth-ac 文件中本来就有的，为什么突然会报错呢？

经过跟 纯净安装的 /etc/pam.d/system-auth-ac 文件原始内容比对，发现了原因： root_unlock_time=30 并不是单独成行的，用户不小心手动将 它换行，就不符合该文件的语法要求。这个system-auth-ac 文件因为语法错误就无法正常被解析，是本文错误的根源。

最终解决过程记录

请在 linux系统的单用户模式下，使用nano编辑器修正 system-auth-ac 文件内容：

nano   /etc/pam.d/system-auth-ac

以修改 /etc/pam.d/system-auth-ac 文件。
把原来的第3-4行改成：
auth required pam_tally2.so onerr=fail deny=6 unlock_time=40 even_deny_root root_unlock_time=30
（修改后就只剩一行，也就是把原来3-4行合并到一起） 注意even_deny_root root_unlock_time=30这是两个参数，它们之间至少要有用一个空格。

这样就启用了 rhel 5系统的 PAM方式防密码破解防护功能 。

如何验证是否生效

reboot命令，正常重启系统，如果能进入图形桌面，登录。就说明修改生效。

验证/etc/pam.d/system-auth-ac 修改后是否达到了账号密码错误超过6次后自动锁定的防护效果

root用户，桌面登录之前，输入密码错误次数超过6次，则触发 锁用户的防护（锁后root用户无法登录）。等40秒后，登录界面输入 root用户的正确密码，看能否登陆。

参考文档

根据 man pam_tally2帮助说明文档 ，上述

auth required pam_tally2.so  onerr=fail  deny=6  unlock_time=40 even_deny_root root_unlock_time=30

的参数意思分别为：

1. deny
   指定最大几次认证错误，如果超出此错误，将执行后面的策略。如锁定N秒，如果后面没有其他策略* 指定时，默认永远锁定，除非手动解锁。
2. file 记录日志的路径，默认是/var/log/tallylog
3. lock_time 锁定多长时间，按秒为单位；
4. unlock_time 指定认证被锁后，多长时间自动解锁用户；
5. even_deny_root root用户在认证出错时，一样被锁定
6. root_unlock_time root用户在失败时，锁定多长时间。该选项一般是配合even_deny_root 一起使用的。