VMware ESXi and vSphere Cluster Management

Passwort-Parameter unter Linux mit chage verwalten

Lernen Sie, Passwortalterung, Warnfristen, Inaktivität und Kontoablauf lokaler Linux-Benutzer mit chage zu prüfen und sicher zu konfigurieren.

chage ist ein Linux-Werkzeug zur Anzeige und Verwaltung von Passwortalterungs- und Ablaufregeln einzelner Benutzerkonten. Damit legen Administratoren unter anderem fest, wann ein Passwort geändert werden muss, wie lange es gültig bleibt und wann ein zeitlich begrenztes Konto endet.

Die Befehle betreffen normalerweise lokale Benutzerkonten. Für Änderungen benötigen Sie in der Regel root-Rechte oder sudo.

Passwortablauf und Kontoablauf unterscheiden

Ein Passwortablauf betrifft nur das Passwort. Nach Ablauf darf es normalerweise nicht mehr für eine Anmeldung verwendet werden; der Benutzer muss ein neues Passwort setzen. Das Benutzerkonto kann dabei weiterhin grundsätzlich existieren.

Ein Kontoablauf betrifft dagegen das gesamte Konto. Ab einem festen Datum ist das Konto nicht mehr nutzbar. Ein abgelaufenes Passwort und ein abgelaufenes Konto sind deshalb zwei unterschiedliche Zustände.

Aktuelle Einstellungen mit chage anzeigen

Mit -l (list) zeigen Sie die gespeicherten Ablauf- und Warnwerte eines Benutzers an:

sudo chage -l bob

Die Ausgabe enthält typischerweise diese Informationen:

• Letzte Passwortänderung: Der Ausgangspunkt für die Berechnung des Passwortalters.
• Passwort läuft ab: Das Datum, an dem das maximale Passwortalter endet.
• Passwort inaktiv: Das Datum oder die Frist, nach der ein Konto wegen eines nicht geänderten abgelaufenen Passworts deaktiviert wird.
• Konto läuft ab: Das feste Datum, an dem die Nutzung des Kontos endet.
• Minimale Anzahl von Tagen: Das Mindestalter zwischen zwei Passwortänderungen.
• Maximale Anzahl von Tagen: Das Höchstalter des Passworts.
• Anzahl der Tage, bevor das Passwort abläuft: Die Warnfrist.

Ein Wert wie never bedeutet üblicherweise, dass für diesen Parameter kein Ablaufdatum gesetzt ist. Je nach Distribution und Konfiguration können fehlende oder unbegrenzte Werte unterschiedlich dargestellt werden. Entscheidend ist, die gesamte Ausgabe und nicht nur eine einzelne Zeile zu beurteilen.

Wichtige chage-Optionen

Mindestalter des Passworts mit -m

Mit -m legen Sie die minimale Zahl von Tagen zwischen zwei Passwortänderungen fest:

sudo chage -m 1 bob

Mit einem Wert von 1 kann bob das Passwort nach einer Änderung erst am nächsten Tag erneut ändern. Das verhindert beispielsweise, dass ein Benutzer sein Passwort mehrfach hintereinander ändert, um Regeln zum Passwortverlauf zu umgehen. Ein zu hoher Wert kann jedoch problematisch sein, wenn ein Passwort sofort wegen eines Sicherheitsvorfalls geändert werden muss. Wählen Sie den Wert daher passend zur Sicherheitsrichtlinie.

Maximales Passwortalter mit -M

-M definiert die maximale Gültigkeitsdauer eines Passworts in Tagen. Ein verständliches Beispiel ist ein Höchstalter von 30 Tagen:

sudo chage -M 30 bob

Die Frist wird anhand der letzten Passwortänderung berechnet. Nach ihrem Ablauf muss der Benutzer sein Passwort ändern, sofern das Konto nicht zusätzlich abgelaufen oder gesperrt ist. Ein Höchstalter allein legt noch kein festes Kontoablaufdatum fest.

Warnzeit mit -W konfigurieren

Mit -W bestimmen Sie, wie viele Tage vor dem Passwortablauf eine Warnung angezeigt wird:

sudo chage -W 7 bob

In diesem Beispiel wird bob während der letzten sieben Tage der Passwortgültigkeit gewarnt. Die Warnfrist verlängert das Passwortalter nicht. Sie gibt dem Benutzer lediglich Zeit, den Wechsel rechtzeitig vorzunehmen.

Inaktivitätsfrist nach Passwortablauf mit -I

-I setzt die Zahl der Tage, die nach dem Passwortablauf noch verstreichen dürfen, bevor das Konto deaktiviert wird:

sudo chage -I 5 bob

Die fünf Tage beginnen erst mit dem Passwortablauf. Sie beginnen nicht mit dem Start der Warnfrist. Ändert der Benutzer das Passwort innerhalb dieser zusätzlichen Frist, kann die Anmeldung je nach weiterer Kontokonfiguration wieder möglich sein. Nach Überschreitung der Inaktivitätsfrist ist das Konto deaktiviert und eine normale Anmeldung nicht mehr möglich.

Festes Kontoablaufdatum mit -E

Mit -E setzen Sie ein konkretes Ablaufdatum für das gesamte Benutzerkonto. Verwenden Sie das Format YYYY-MM-DD:

sudo chage -E 2026-12-31 bob

Das eignet sich für Konten, die nur für ein Projekt, eine Schulung oder einen Gastzugang benötigt werden. Nach dem 31. Dezember 2026 ist das Konto abgelaufen, unabhängig davon, ob das Passwort selbst noch innerhalb seiner Gültigkeitsdauer liegt.

Interaktive Bearbeitung

Ohne weitere Optionen startet chage einen interaktiven Dialog:

sudo chage bob

Der Dialog führt schrittweise durch die gespeicherten Werte, beispielsweise letztes Änderungsdatum, Mindestalter, Höchstalter, Warnfrist, Inaktivitätsfrist und Kontoablaufdatum. Er ist hilfreich, wenn mehrere Werte gemeinsam geprüft und gesetzt werden sollen oder wenn Sie nicht jede Option einzeln merken möchten.

Einzelne Optionen sind dagegen übersichtlicher für automatisierte Abläufe, Skripte und klar dokumentierte Einzeländerungen. Nach dem interaktiven Dialog sollten Sie die Einstellungen ebenfalls mit chage -l kontrollieren.

Zusammenhang mit /etc/passwd und /etc/shadow

Grundlegende lokale Kontodaten stehen in /etc/passwd. Dazu gehören beispielsweise Benutzername, numerische Benutzerkennung und das Home-Verzeichnis.

Passwort-Hashes und sicherheitsrelevante Alterungsinformationen werden üblicherweise in der geschützten Datei /etc/shadow gespeichert. Die Felder enthalten unter anderem Daten zur letzten Passwortänderung, zu Mindest- und Höchstalter sowie zu Ablauf- und Inaktivitätsregeln.

Praktischer Ablauf für sichere Änderungen

1. Prüfen Sie, ob der Benutzername bekannt ist:

   sudo getent passwd bob

2. Lesen Sie den aktuellen Zustand:

   sudo chage -l bob

3. Entscheiden Sie, ob Sie Passwortalterung, Warnung, Inaktivität oder den gesamten Kontoablauf ändern müssen.
4. Setzen Sie die gewünschte Regel, beispielsweise:

   sudo chage -M 30 bob
   sudo chage -W 7 bob

5. Kontrollieren Sie die Änderungen erneut:

   sudo chage -l bob

6. Testen und dokumentieren Sie die Auswirkung, insbesondere bei Konten für Dienste oder Automatisierung.

Prüfen Sie vor produktiven Änderungen, ob das Konto interaktive Anmeldungen verwendet. Dienst-, System- und technische Konten können sich häufig nicht selbst interaktiv anmelden oder ihr Passwort nicht über einen normalen Dialog ändern. Eine erzwungene Passwortalterung kann dann einen Dienstbetrieb unterbrechen.

Fehlerbehebung

Berechtigungsfehler beim Ändern

Wird die Änderung abgelehnt, wurde der Befehl möglicherweise ohne administrative Rechte ausgeführt:

sudo chage -M 30 bob

Prüfen Sie außerdem, ob das Konto über die konfigurierte Benutzerquelle aufgelöst wird:

sudo getent passwd bob

Bei zentral verwalteten Konten, etwa aus einer Verzeichnisverwaltung, müssen die zuständigen Werkzeuge dieser Identitätsverwaltung verwendet werden. Lokales chage ist nicht automatisch das richtige Werkzeug für solche Konten.

Anmeldung trotz gesetztem Passwortablauf

Ein gesetztes maximales Passwortalter ist kein festes Kontoablaufdatum. Prüfen Sie mit sudo chage -l bob, ob der Ablaufzeitpunkt bereits erreicht ist. Berücksichtigen Sie außerdem, dass nicht jede Anmeldemethode lokale Alterungsdaten identisch auswertet. Wenn das gesamte Konto an einem Datum enden soll, setzen Sie zusätzlich ein Kontoablaufdatum mit -E.

Konto früher oder später als erwartet deaktiviert

Kontrollieren Sie die Werte für -M, -W und -I gemeinsam. Die Warnfrist beginnt vor dem Passwortablauf. Die Inaktivitätsfrist wird dagegen erst ab dem Passwortablauf gerechnet. Eine Verwechslung dieser beiden Fristen führt häufig zu falschen Erwartungen.

Passwort kann nicht sofort erneut geändert werden

Ein mit -m gesetztes Mindestalter kann den sofortigen zweiten Wechsel verhindern. Prüfen Sie den Wert mit:

sudo chage -l bob

Reduzieren oder entfernen Sie die Einschränkung nur, wenn dies sicherheitlich und organisatorisch vertretbar ist.

Dienstkonto funktioniert nach Einführung der Passwortalterung nicht mehr

Automatisierte Konten können ihr Passwort meist nicht interaktiv ändern. Prüfen Sie den Verwendungszweck, die Anmeldeart und alle abhängigen Dienste. Legen Sie für technische Konten dokumentierte Ausnahmen und geeignete alternative Zugangsschutzmaßnahmen fest, statt pauschal dieselben Regeln wie für interaktive Benutzerkonten anzuwenden.

Prüfungsrelevante Merksätze

• chage verwaltet Passwortalterungs- und Ablaufparameter einzelner Benutzerkonten.
• -m steht für das Mindestalter, -M für das Höchstalter des Passworts.
• -W setzt die Warnfrist vor dem Passwortablauf.
• -I setzt die zusätzliche Inaktivitätsfrist nach dem Passwortablauf.
• -E setzt ein festes Ablaufdatum für das gesamte Konto.
• -l zeigt den aktuellen Zustand; Änderungen sollten damit nachkontrolliert werden.
• Passwortablauf und Kontoablauf sind nicht dasselbe.
• Vor Änderungen an Dienst- und Systemkonten müssen die betrieblichen Auswirkungen geprüft werden.

Zur ergänzenden Benutzerverwaltung können Sie auch die Übersicht zu Passwort-Parametern verwenden.