现象描述

使用 SSH 登录 Linux 实例时，出现 “Maximum amount of failed attempts was reached” 报错信息。

问题原因

连续多次输入错误密码，触发系统 pam 认证模块策略限制，导致用户被锁定。

说明

更多 pam 安全认证相关信息，请参考官网文档 pam_tally2 - login counter (tallying) module 。

解决方案

参考处理步骤提供的处理项，结合实际情况进行操作：

• root 用户未被锁定
• root 用户被锁定

处理步骤

说明

本文处理步骤以 CentOS 7.6 及 CentOS 6.5 操作系统为例，不同操作系统版本有一定区别，请结合实际情况进行操作。

root 用户未被锁定

1. 使用 root 用户登录实例，详情请参见 使用 VNC 登录 Linux 实例 。
2. 执行以下命令，查看系统全局 pam 配置文件。
   

   cat /etc/pam.d/system-auth

3. 执行以下命令，查看本地终端对应的 pam 配置文件。
   

   cat /etc/pam.d/login

4. 执行以下命令，查看 SSH 服务对应的 pam 配置文件。
   

   cat /etc/pam.d/sshd

5. 使用 VIM 编辑器编辑以上文件相关内容，修改、删除对应配置或在行首增加 # 注释配置。本文以注释配置为例，修改完成后，相关配置如下所示：
   

   #auth required pam_tally2.so deny=3 unlock_time=5
   #auth required pam_tally.so onerr=fail no_magic_root
   #auth requeired pam_tally2.so deny=5 lock_time=30 unlock_time=10 even_deny_root root_unlock_time=10

   说明如下：
   • 此处使用 pam_tally2 模块，如果不支持则可以使用 pam_tally 模块。不同的 pam 版本，设置可能有所不同，具体使用方法请参照相关模块的使用规则。
   • pam_tally2 与 pam_tally 模块都可以用于账户锁定策略控制。两者的区别是前者增加了自动解锁时间的功能。
   • even_deny_root 指限制 root 用户。
   • deny 指设置普通用户和 root 用户连续错误登录的最大次数。超过最大次数，则锁定该用户。
   • unlock_time 指设定普通用户锁定后，指定时间后解锁，单位为秒。
   • root_unlock_time 指设定 root 用户锁定后，指定时间后解锁，单位为秒。
6. 使用 SSH 登录实例，详情请参见 使用 SSH 登录 Linux 实例 。

root 用户被锁定

1. 使用单用户模式登录实例，详情请参见 设置 Linux 云服务器进入单用户模式 。
2. 在单用户模式下，依次执行以下命令，手动解锁 root 用户。
   

   pam_tally2 -u root #查看root用户登录密码连续输入错误次数

   pam_tally2 -u root -r #清除root用户密码连续输入错误次数

   authconfig --disableldap --update #更新PAM安全认证记录

3. 重启实例。
4. 参考 root 用户未被锁定 步骤，在对应的 pam 配置文件进行注释、修改或更新即可。
5. 使用 SSH 登录实例，详情请参见 使用 SSH 登录 Linux 实例 。