服務器和mysql賬號密碼過期時間監控

服務器及mysql賬號密碼過期時間監控

一、需求引入

　　這事其實發生在昨天，開發說線上靜態網的同步有問題。同步流程是：發新聞的人在在自己本機電腦登錄內網服務器的新聞編輯后台，然后腳本會定時把編輯好的文章傳到gitlab，線上服務器再定時，且只能單向拉取gitlab代碼（實際上是內網后台編輯好的文章）

　　第一步肯定是去看看服務器情況啦。堡壘機登錄到服務器，說賬號密碼過期，急需改密碼。輸入原密碼，再輸入要更改的新密碼。然鵝，設置新密碼一直給我報錯：

BAD PASSWORD: is too simple。用密碼生成器（https://suijimimashengcheng.bmcx.com/），固定某個長度16位（所用字符我全部都勾選了的），我看着網站生成的比較復雜的隨機密碼（就是都包含所用字符），就復制用來設置新密碼了，還是too simple；然后開始調密碼長度到20，再40。。。還是報錯，直到。。。連賬號都被鎖了！！！策略是連續輸錯5次就鎖定5分鍾（對root也生效）。然后，蠻慘的，首先怕開發催，運營催（我明明寫好文章，為什么沒有給我同步到線上，趕緊給我看看。。……#￥%$%^#$....）；然后當時手頭還在搞別的事吧，真是體會到，運維忙的時候也是忙的分身乏術；閑的時候也是閑的心慌~~~

　　這堆機器因為之前要過等保二級，所以設置了很多坑運維的策略（公司只有我一個運維，所以就是自己坑自己唄。。）。例如服務器只能從堡壘機登錄，端口范圍開放，禁止root直接遠程登錄。以為從阿里雲控制台的Workbench進行遠程連接，是可以為所欲為的（說不定賬號沒有被鎖的概念，或者設置的root禁止遠程登陸是不生效的），事實證明我太天真了，登不上 = =。用內網能通的其他機器ssh跳過去（其實應該做個免秘鑰或者本機普通賬號sudo直接切超管的），也是不行，而且我還發現另外一台服務器也是賬號過期的，悲慘的事果然是接二連三的。

　　總的來說，就是啥情況都遇到了：普通賬號被鎖，root賬號禁止登服務器，無法登陸服務器。最后咋辦呀，等唄，等自動解鎖。小心翼翼試各種長度的密碼，40位長度終於讓我過了！！！（肯定設置的密碼策略里面有些不符合）

　　超管用戶登進去之后我立馬手動運行了同步腳本（先給開發交差），注意：賬號過期是會導致該賬號下的計划任務是執行不了的！！！

 

 　　然后去看關於密碼復雜度和過期策略的兩個文件： /etc/pam.d/system-auth 和 /etc/login.defs。

　　為了當天能一勞永逸，先把賬號密碼設置個永不過期先： chage -M 99999 用戶

　　然后把那個密碼策略文件（/etc/pam.d/system-auth ）的 ”。。。pam_cracklib.so 。。。ocredit=-1” 注釋掉，新增復制一行，只留下minlen=8 這個字符為止，后面全部不要（如上圖）。

　　我知道這樣操作是非常可恨的，所以今天有空就把這監控過期的活做了，密碼設為90天過期

 

二、問題解決

　　直接貼代碼，相信有點shell基礎的朋友都能看懂的啦，哈哈哈哈~~~（不懂可以留言找我，QQ號為：378876091，記得大學畢設的時候就是有個好心技術人留了QQ號，幫我順利畢業的）

　　 幾個點，大家注意下：

　　利用：chage -l 去獲取密碼過期時間（命令行返回結果的最后一列），記得月份獲取的時候要處理下英文轉換為阿拉伯數字

       數學運算接收變量前要加個let，let 命令是BASH 中用於計算的工具（我試過去掉，馬上給我報錯）

　　最后利用時間戳來比較當前時間和過期時間的差值，JUDGE_DAY是你自定義的：設置差xx天過期

　　判斷賬號是否過期要加個預判，never代表賬號是永不過期

#!/bin/bash

PHONE="159xxxx0136"
DATE=`date +%F_%T`

#還差多少天提醒報警
JUDGE_DAY=380

#釘釘機器人token
TOKEN="https://oapi.dingtalk.com/robot/send?access_token=xxxxx"

user=(xx root)

for (( i=0; i<${#user[@]}; i++)) do
  user_name=`echo ${user[i]}`

## 一、密碼過期
#1、年
pwd_end_year=`chage -l ${user_name} | head -2| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $2}'| awk '{print $1}'`

if [ "${pwd_end_year}" == "" ];then
    exit 0
fi

#2、月（英文要處理成阿拉伯數字）
pwd_end_month=`chage -l ${user_name} | head -2| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $1}'| awk '{print $1}'`

case ${pwd_end_month} in
        'Jan') pwd_end_month=1;;
        'Feb') pwd_end_month=2;;
        'Mar') pwd_end_month=3;;
        'Apr') pwd_end_month=4;;
        'May') pwd_end_month=5;;
        'Jun') pwd_end_month=6;;
        'Jul') pwd_end_month=7;;
        'Aug') pwd_end_month=8;;
        'Sep') pwd_end_month=9;;
        'Oct') pwd_end_month=10;;
        'Nov') pwd_end_month=11;;
        'Dec') pwd_end_month=12;;
esac

#3、日
pwd_end_day=`chage -l ${user_name} | head -2| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $1}'| awk '{print $2}'`

pwd_end_date_s=`/bin/date -d "${pwd_end_year}"-"${pwd_end_month}"-"${pwd_end_day}" +%s`
check_date_s=`/bin/date +%s`
let pwd_diffday=(${pwd_end_date_s}-${check_date_s})/86400

echo "用戶 $user_name 密碼過期時間還剩： ${pwd_diffday} 天 ！！！"
#echo ${pwd_diffday}

if [ ${pwd_diffday} -le ${JUDGE_DAY} ]; then
      curl -H "Content-Type:application/json" -X POST --data '{"msgtype":"text","text":{"content":"當前時間：'$DATE'  \n某某服務器： '${user_name}' 密碼過期還剩'${pwd_diffday}'天，請及時修改密碼 ！！！"} , "at": {"atMobiles": ['${PHONE}'], "isAtAll": false}}' ${TOKEN} > /dev/null 2>&1
fi


## 二、賬號過期
#判斷賬號是否永不過期
judge=`chage -l ${user_name} | head -4| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $1}'| awk '{print $1}'`

if [ "$judge" = "never" ]; then
   echo "$user_name 用戶的賬號永不過期，不用監控！！"
   sleep 2
   break;
fi

#1、年
account_end_year=`chage -l ${user_name} | head -4| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $2}'| awk '{print $1}'`

if [ "${account_end_year}" == "" ];then
    exit 0
fi

#2、月（英文要處理）
end_month=`chage -l ${user_name} | head -4| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $1}'| awk '{print $1}'`

case ${end_month} in
        'Jan') end_month=1;;
        'Feb') end_month=2;;
        'Mar') end_month=3;;
        'Apr') end_month=4;;
        'May') end_month=5;;
        'Jun') end_month=6;;
        'Jul') end_month=7;;
        'Aug') end_month=8;;
        'Sep') end_month=9;;
        'Oct') end_month=10;;
        'Nov') end_month=11;;
        'Dec') end_month=12;;
esac

account_end_month=`echo ${end_month}`


#3、日
account_end_day=`chage -l ${user_name} | head -4| tail -1 | awk -F: '{print $2}'| awk -F',' '{print $1}'| awk '{print $2}'`

account_end_date_s=`/bin/date -d "${account_end_year}"-"${account_end_month}"-"${account_end_day}" +%s`
check_date_s=`/bin/date +%s`

#天
let account_diffday=(${account_end_date_s}-${check_date_s})/86400

echo "用戶 $user_name 賬號過期時間還剩:  ${account_diffday} 天 ！！！"
#echo ${account_diffday}

if [ ${account_diffday} -le ${JUDGE_DAY} ]; then
   curl -H "Content-Type:application/json" -X POST --data '{"msgtype":"text","text":{"content":"當前時間：'$DATE'  \n某某服務器： '${user_name}' 賬號過期還剩'${account_diffday}'天，請及時修改密碼 ！！！"} , "at": {"atMobiles": ['${PHONE}'], "isAtAll": false}}' ${TOKEN} > /dev/null 2>&1
fi
done

 

運行結果：

 

 

 

　　這是mysql的密碼過期監控（竟然找不到腳本放到哪個服務器上了 = =），需要登錄進去用具體指定

　　參考這個文章寫的：https://blog.csdn.net/weixin_30409849/article/details/97180165

for account in 檢查的用戶
do
   account_plc=`mysql -h$ip -P$port -u$superuser -p$superuserpwd -e "select password_last_changed from mysql.user where user='${account}';" |grep -v password_last_changed`
   
   cur_time=`mysql -h$ip -P$port -u$superuser -p$superuserpwd -e "select now();" |grep -v "now()"`
   
   minus=`mysql -h$ip -P$port -u$superuser -p$superuserpwd -e "select datediff('${cur_time}', '${account_plc}');" |grep -v datediff`


   let minus=90-$minus

   echo "remain:  $minus"

done