/etc/pam.d/system-auth 只在这里设置该怎么配

`/etc/pam.d/system-auth` 是PAM（Pluggable Authentication Modules，插件式认证模块）配置文件之一，它主要用于Linux系统中的用户登录过程。在这个文件中，你可以定制认证和授权的行为，包括密码策略、身份验证方法等。

针对密码策略，以下是在`/etc/pam.d/system-auth`中设置的一些关键部分：

1. **密码复杂性**:

   auth       required      pam_cracklib.so retry=3 minlen=12 difok=3 shadow

上面的行设置了密码长度至少为12位，尝试失败三次后锁定账户 (`difok` 控制连续两次输入错误后显示的提示次数)。

2. **密码验证**:

   password    required      pam_unix.so use_authtok sha512 shadow

`use_authtok` 指令会从内核获取用户的当前密码，`sha512` 强制使用更安全的哈希算法，`shadow` 则用于加密存储。

3. **密码更改策略**:

   password    required      pam_tally2.so onerr=fail deny=6 unlock_time=900

`onerr=fail` 意味着如果密码不符合规则就拒绝登录，`deny=6` 表示连续六次错误后锁住账号，`unlock_time=900` 是解锁时间（秒），这里是15分钟。

4. **添加复杂性要求**:
如果要增加特定字符类别的限制，可以在其他模块中添加，例如`pam_nologin.so` 或 `pam.chromeos_terms.so`。

请注意，修改这些设置后需重启服务或重新加载PAM配置（如`sudo pamtester system-auth`）才能生效。同时，对于敏感的配置，建议备份原始文件并在测试环境中确认无误后再部署到生产环境。