常见问题 银河麒麟认证PAM锁定
登录鉴权重置失败？
麒麟身份鉴别（密码 / 其他鉴别方式）重置不生效：PAM 配置错、锁定记录未清、鉴别服务未刷新。给出重置流程与验证步骤。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
“重置了还是登不进 / 又被锁”，多半是锁定记录没清或改了配置但没重载。重置 = 清锁定记录 + 改凭据 + 验证，三步缺一不可。
| 现象 | 原因 | 处理 |
|---|---|---|
| 重置后仍被拒 | faillock 记录没清 | 清锁定记录 |
| 改密码报错 | PAM 规则 / 策略拦截 | 核对 PAM 配置 |
| 改完配置不生效 | 服务没重载 | 重启认证服务 |
怎么排查
# 1. 查锁定状态
sudo faillock --user 用户名
# 2. 清锁定
sudo faillock --user 用户名 --reset
# 3. 重置密码
sudo passwd 用户名
# 4. 重载认证相关服务（名称以发行说明为准）
sudo systemctl restart sssd # 域环境
# 5. 验证（另开终端 / 另开会话）
su - 用户名- 密码之外的鉴别方式（UKey、可信模块等）行为以 银河麒麟 条目发行说明为准，参考 麒麟 V11 服务器版。
- 桌面端鉴别策略见 麒麟 V11 桌面版。
- 鉴别与锁定策略按行业规范收敛，解锁操作留审计记录。
操作小结
- 清锁定 → 改凭据 → 重载服务 → 验证。
- 域环境记得重载认证服务。
- 解锁留审计记录。