配置基本系统设置

流程

1. 输入 date 命令：

   $ date
   Mon Mar 30 16:02:59 CEST 2020

2. 要查看更多详细信息，请使用 timedatectl 命令：

   $ timedatectl
   Local time: Mon 2020-03-30 16:04:42 CEST
   Universal time: Mon 2020-03-30 14:04:42 UTC
     RTC time: Mon 2020-03-30 14:04:41
    Time zone: Europe/Prague (CEST, +0200)
   System clock synchronized: yes
   NTP service: active
   RTC in local TZ: no

流程

1. 可选： 要为 rsyslog 流量使用不同的端口，请将 syslogd_port_t SELinux 类型添加到端口。例如，启用端口 30514 ：

   # semanage port -a -t syslogd_port_t -p tcp 30514

2. 可选： 要为 rsyslog 流量使用不同的端口，请将 firewalld 配置为允许该端口上传入的 rsyslog 流量。例如，允许端口 30514 上的 TCP 流量：

   # firewall-cmd --zone=<zone-name> --permanent --add-port=30514/tcp
   success
   # firewall-cmd --reload

3. 在 /etc/rsyslog.d/ 目录中创建一个新文件（例如，remotelog.conf），并插入以下内容：

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides TCP syslog reception
   module(load="imtcp")
   
   # Adding this ruleset to process remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imtcp" port="30514" ruleset="remote1")

4. 将更改保存到 /etc/rsyslog.d/remotelog.conf 文件。

5. 测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

6. 确保 rsyslog 服务在日志记录服务器中运行并启用：

   # systemctl status rsyslog

7. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

8. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

流程

1. 在 /etc/rsyslog.d/ 目录中创建一个名为 的新文件，如 10-remotelog.conf，并插入以下内容：

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="30514" protocol="tcp"
        )

   其中：

   • queue.type="linkedlist" 设置启用 LinkedList 内存中队列，
   • queue.filename 设置定义磁盘存储。备份文件是使用 example_fwd 前缀，在之前全局 workDirectory 指令指定的工作目录中创建的。
   • action.resumeRetryCount -1 设置防止 rsyslog 在服务器没有响应而重试连接时丢弃消息，
   • 如果 rsyslog 关闭，queue.saveOnShutdown="on" 设置会保存内存中的数据。

   • 最后一行将所有收到的消息转发到日志记录服务器。端口规格是可选的。

     使用这个配置，rsyslog 会向服务器发送消息，但如果远程服务器无法访问，则会将消息保留在内存中。只有 rsyslog 耗尽配置的内存队列空间或需要关闭时，才能创建磁盘上的文件，从而让系统性能受益。

   注意

   rsyslog 按照一般顺序处理配置文件 /etc/rsyslog.d/。

2. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统上，查看 /var/log/messages 日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 配置服务器以从您的客户端系统接收加密日志：

   1. 在 /etc/rsyslog.d/ 目录中创建一个新文件，例如 securelogser.conf。

   2. 要加密通信，配置文件必须包含指向服务器的证书文件的路径、所选身份验证方法，以及支持 TLS 加密的流驱动程序。在 /etc/rsyslog.d/securelogser.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/server-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/server-key.pem"
      )
      
      # TCP listener
      module(
        load="imtcp"
        PermittedPeer=["client1.example.com", "client2.example.com"]
        StreamDriver.AuthMode="x509/name"
        StreamDriver.Mode="1"
        StreamDriver.Name="ossl"
      )
      
      # Start up listener at port 514
      input(
        type="imtcp"
        port="514"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。有关比 x509/name 严格性低的验证模式的更多信息，请参阅使用 rsyslog-doc 软件包安装的文档。

   3. 将更改保存到 /etc/rsyslog.d/securelogser.conf 文件。

   4. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的任何文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   6. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   7. 可选： 如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

2. 配置客户端以将加密日志发送到服务器：

   1. 在客户端系统上，在 /etc/rsyslog.d/ 目录中创建一个名为 的新文件，如 securelogcli.conf。

   2. 在 /etc/rsyslog.d/securelogcli.conf 文件中添加以下行：

      # Set certificate files
      global(
        DefaultNetstreamDriverCAFile="/etc/pki/ca-trust/source/anchors/ca-cert.pem"
        DefaultNetstreamDriverCertFile="/etc/pki/ca-trust/source/anchors/client-cert.pem"
        DefaultNetstreamDriverKeyFile="/etc/pki/ca-trust/source/anchors/client-key.pem"
      )
      
      
      # Set up the action for all messages
      *.* action(
        type="omfwd"
        StreamDriver="ossl"
        StreamDriverMode="1"
        StreamDriverPermittedPeers="server.example.com"
        StreamDriverAuthMode="x509/name"
        target="server.example.com" port="514" protocol="tcp"
      )

      注意

      如果您更喜欢 GnuTLS 驱动程序，请使用 StreamDriver.Name="gtls" 配置选项。

   3. 将更改保存到 /etc/rsyslog.d/securelogcli.conf 文件。

   4. 验证 /etc/rsyslog.conf 文件的语法以及 /etc/rsyslog.d/ 目录中的其他文件：

      # rsyslogd -N 1
      rsyslogd: version 8.1911.0-2.el8, config validation run (level 1)...
      rsyslogd: End of config validation run. Bye.

   5. 确保 rsyslog 服务在日志记录服务器中运行并启用：

      # systemctl status rsyslog

   6. 重启 rsyslog 服务：

      # systemctl restart rsyslog

   7. 可选： 如果没有启用 Rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统上，查看 /var/log/messages 日志，例如：

   # cat /var/log/remote/msg/<hostname>/root.log
   Feb 25 03:53:17 <hostname> root[6064]: test

   其中 < hostname> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 可选：要将不同的端口用于 rsyslog 流量，而不是默认端口 514 ：

   1. 将 syslogd_port_t SELinux 类型添加到 SELinux 策略配置中，使用您要 rsyslog 的端口号替换 portno ：

      # semanage port -a -t syslogd_port_t -p udp portno

   2. 配置 firewalld 以允许传入的 rsyslog 流量，使用您要 rsyslog 使用的端口替换 portno，区替换 zone：

      # firewall-cmd --zone=zone --permanent --add-port=portno/udp
      success
      # firewall-cmd --reload

   3. 重新载入防火墙规则：

      # firewall-cmd --reload

2. 在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，如 remotelogserv.conf，并插入以下内容：

   # Define templates before the rules that use them
   # Per-Host templates for remote systems
   template(name="TmplAuthpriv" type="list") {
       constant(value="/var/log/remote/auth/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   template(name="TmplMsg" type="list") {
       constant(value="/var/log/remote/msg/")
       property(name="hostname")
       constant(value="/")
       property(name="programname" SecurePath="replace")
       constant(value=".log")
       }
   
   # Provides UDP syslog reception
   module(load="imudp")
   
   # This ruleset processes remote messages
   ruleset(name="remote1"){
        authpriv.*   action(type="omfile" DynaFile="TmplAuthpriv")
         *.info;mail.none;authpriv.none;cron.none
   action(type="omfile" DynaFile="TmplMsg")
   }
   
   input(type="imudp" port="514" ruleset="remote1")

   其中 514 是 rsyslog 默认使用的端口号。您可以指定不同的端口。

3. 验证 /etc/rsyslog.conf 文件以及 /etc/rsyslog.d/ 目录中的所有 .conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-2.el8, config validation run...

4. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

5. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

流程

1. 在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，如 10-remotelogcli.conf，并插入以下内容：

   *.* action(type="omfwd"
         queue.type="linkedlist"
         queue.filename="example_fwd"
         action.resumeRetryCount="-1"
         queue.saveOnShutdown="on"
         target="example.com" port="portno" protocol="udp"
        )

   其中：

   • queue.type="linkedlist" 设置启用一个 LinkedList 内存中队列。
   • queue.filename 设置定义磁盘存储。备份文件使用之前全局 workDirectory 指令指定的工作目录中的 example_fwd 前缀创建。
   • action.resumeRetryCount -1 设置可防止 rsyslog 在重试时丢弃消息（如果服务器没有响应）。
   • 如果 rsyslog 关闭，启用的 queue.saveOnShutdown="on" 设置会保存内存中的数据。
   • portno 值是您要 rsyslog 使用的端口号。默认值为 514。

   • 最后一行将所有收到的消息转发到日志记录服务器，端口规格是可选的。

     使用这个配置，rsyslog 会向服务器发送消息，但如果远程服务器无法访问，则会将消息保留在内存中。只有 rsyslog 耗尽配置的内存队列空间或需要关闭时，才能创建磁盘上的文件，从而让系统性能受益。

   注意

   rsyslog 按照一般顺序处理配置文件 /etc/rsyslog.d/。

2. 重新启动 rsyslog 服务。

   # systemctl restart rsyslog

3. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

   # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统中，查看 /var/log/remote/msg/hostname/root.log 日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 配置客户端系统以可靠远程记录：

   1. 在客户端系统上，在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，例如 relpclient.conf，并插入以下内容：

      module(load="omrelp")
      *.* action(type="omrelp" target="_target_IP_" port="_target_port_")

      其中：

      • target_IP 是日志记录服务器的 IP 地址。
      • target_port 是日志记录服务器的端口。
   2. 保存对 /etc/rsyslog.d/relpclient.conf 文件的更改。

   3. 重新启动 rsyslog 服务。

      # systemctl restart rsyslog

   4. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

2. 配置服务器系统以可靠远程记录：

   1. 在服务器系统中，在 /etc/rsyslog.d/ 目录中创建一个新的 .conf 文件，例如 reserv.conf，并插入以下内容：

      ruleset(name="relp"){
      *.* action(type="omfile" file="_log_path_")
      }
      
      
      module(load="imrelp")
      input(type="imrelp" port="_target_port_" ruleset="relp")

      其中：

      • log_path 指定存储消息的路径。
      • target_port 是日志记录服务器的端口。使用与客户端配置文件中相同的值。
   2. 保存对 /etc/rsyslog.d/relpserv.conf 文件的更改。

   3. 重新启动 rsyslog 服务。

      # systemctl restart rsyslog

   4. 可选： 如果没有启用 rsyslog，请确保 rsyslog 服务在重启后自动启动：

      # systemctl enable rsyslog

1. 在客户端系统中发送测试信息：

   # logger test

2. 在服务器系统中，查看指定 log_path 的日志，例如：

   # cat /var/log/remote/msg/hostname/root.log
   Feb 25 03:53:17 hostname root[6064]: test

   其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 安装 netconsole-service 软件包：

   # yum install netconsole-service

2. 编辑 /etc/sysconfig/netconsole 文件，并将 SYSLOGADDR 参数设为远程主机的 IP 地址：

   # SYSLOGADDR=192.0.2.1

3. 启用并启动 netconsole 服务：

   # systemctl enable --now netconsole

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying basics input and implicit files output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: system_input
           type: basics
       logging_outputs:
         - name: files_output
           type: files
       logging_flows:
         - name: flow1
           inputs: [system_input]
           outputs: [files_output]

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

2. 验证系统是否向日志发送信息：

   1. 发送测试信息：

      # logger test

   2. 查看 /var/log/messages 日志，例如：

      # cat /var/log/messages
      Aug  5 13:48:31 <hostname> root[6778]: test

      其中 <hostname> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying files input and configured files output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: files_input
           type: basics
       logging_outputs:
         - name: files_output0
           type: files
           property: msg
           property_op: contains
           property_value: error
           path: /var/log/errors.log
         - name: files_output1
           type: files
           property: msg
           property_op: "!contains"
           property_value: error
           path: /var/log/others.log
       logging_flows:
         - name: flow0
           inputs: [files_input]
           outputs: [files_output0, files_output1]

   使用这个配置，所有包含 error 字符串的消息都记录在 /var/log/errors.log 中，所有其他消息都记录在 /var/log/others.log 中。

   您可以将 error 属性值替换为您要用来过滤的字符串。

   您可以根据您的偏好修改变量。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run...
   rsyslogd: End of config validation run. Bye.

2. 验证系统是否向日志发送包含 error 字符串的信息：

   1. 发送测试信息：

      # logger error

   2. 查看 /var/log/errors.log 日志，例如：

      # cat /var/log/errors.log
      Aug  5 13:48:31 hostname root[6778]: error

      其中 hostname 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploying remote input and remote_files output
     hosts: managed-node-01.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: remote_udp_input
           type: remote
           udp_ports: [ 601 ]
         - name: remote_tcp_input
           type: remote
           tcp_ports: [ 601 ]
       logging_outputs:
         - name: remote_files_output
           type: remote_files
       logging_flows:
         - name: flow_0
           inputs: [remote_udp_input, remote_tcp_input]
           outputs: [remote_files_output]
   
   - name: Deploying basics input and forwards output
     hosts: managed-node-02.example.com
     roles:
       - rhel-system-roles.logging
     vars:
       logging_inputs:
         - name: basic_input
           type: basics
       logging_outputs:
         - name: forward_output0
           type: forwards
           severity: info
           target: <host1.example.com>
           udp_port: 601
         - name: forward_output1
           type: forwards
           facility: mail
           target: <host1.example.com>
           tcp_port: 601
       logging_flows:
         - name: flows0
           inputs: [basic_input]
           outputs: [forward_output0, forward_output1]
   
   [basic_input]
   [forward_output0, forward_output1]

   其中 <host1.example.com> 是日志记录服务器。

   注意

   您可以修改 playbook 中的参数以符合您的需要。

   警告

   日志解决方案只适用于在服务器或者客户端系统的 SELinux 策略中定义的端口并在防火墙中打开。默认 SELinux 策略包括端口 601、514、6514、10514 和 20514。要使用其他端口，请修改客户端和服务器系统上的 SELinux 策略。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在客户端和服务器系统上测试 /etc/rsyslog.conf 文件的语法：

   # rsyslogd -N 1
   rsyslogd: version 8.1911.0-6.el8, config validation run (level 1), master config /etc/rsyslog.conf
   rsyslogd: End of config validation run. Bye.

2. 验证客户端系统向服务器发送信息：

   1. 在客户端系统中发送测试信息：

      # logger test

   2. 在服务器系统上，查看 /var/log/<host2.example.com>/messages 日志，例如：

      # cat /var/log/<host2.example.com>/messages
      Aug  5 13:48:31 <host2.example.com> root[6778]: test

      其中 <host2.example.com> 是客户端系统的主机名。请注意，该日志包含输入 logger 命令的用户的用户名，本例中为 root。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Logs。

   

3. 点击列表中的选定日志条目条目，打开日志条目详情。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Logs。

3. 默认情况下，Web 控制台显示最新的日志条目。要根据具体时间范围过滤，请点 Time 下拉菜单并选择一个首选的选项。

   

4. 默认情况下会显示 Error 及更高级别的日志列表。要根据不同的优先级过滤，请点击 Error 及更高下拉菜单并选择一个首选的优先级。

   

5. 默认情况下，Web 控制台会显示所有标识符的日志。要过滤特定标识符的日志，请点 All 下拉菜单并选择标识符。

   

6. 要打开日志条目，请点所选日志。

1. 在搜索字段中输入 identifier:systemd since:2020-10-22 JOB_TYPE=start,restart。

2. 检查结果。

   

1. 在搜索字段中输入 service:cockpit boot:-1 error|fail。

2. 检查结果。

   

流程

1. 登录到 RHEL web 控制台。

   详情请参阅 Web 控制台的日志记录。

2. 点 Logs。

3. 使用下拉菜单指定您想要过滤的三个主要的限定符 - 时间范围、优先级和标识符。

   优先级（Priority） 限定符总需要有一个值。如果没有指定，它会自动过滤 Error 及以上 优先级。请注意，您设置的选项反映了在文本搜索框中。

4. 指定您要过滤的 log 字段。

   您可以添加几个日志字段。

5. 您可以使用自由格式的字符串搜索任何其他内容。搜索框也接受正则表达式。

1. 在您选择的编辑器中打开 /etc/login.defs 文件。

2. 找到为自动 UID 选择定义最小值的行。

   # Min/max values for automatic uid selection in useradd
   #
   UID_MIN                  1000

3. 修改 UID_MIN 值从 5000 开始。

   # Min/max values for automatic uid selection in useradd
   #
   UID_MIN                  5000

4. 找到自动选择 GID 最小值的行。

   # Min/max values for automatic gid selection in groupadd
   #
   GID_MIN                  1000

5. 修改 GID_MIN 值，以从 5000 开始。

   # Min/max values for automatic gid selection in groupadd
   #
   GID_MIN                  5000

   常规用户动态分配的 UID 和 GID 现在从 5000 开始。

   注意

   在更改 UID_MIN 和 GID_MIN 值之前创建的用户和组的 UID 和 GID 不会更改。

   这将允许新用户的组拥有与 UID 和 GID 相同的 5000+ ID。

   警告

   不要通过更改 SYS_UID_MAX 来提高系统 1000 以上保留的 ID，以避免与保留 1000 限制的系统冲突。

流程

1. 创建目录：

   # mkdir directory-name

   使用目录名替换 directory-name。

2. 创建组：

   # groupadd group-name

   用组群的名称替换 group-name。

3. 向组中添加用户：

   # usermod --append -G group-name username

   使用组群名称替换 group- name，并将 group-name 替换为组的名称。

4. 将目录的用户和组群所有权与 group-name 组关联：

   # chgrp group-name directory-name

   用组群名称替换 group-name，并用 目录名替换 directory-name。

5. 设置写入权限，允许用户创建和修改文件和目录，并设置 setgid 位使其在 directory-name 目录中应用这个权限：

   # chmod g+rwxs directory-name

   使用目录名替换 directory-name。

   现在，group-name 组的所有成员都可以在 directory-name 目录中创建并编辑文件。新创建的文件保留 group-name 组的组群所有权。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Account。
3. 点 Create New Account。

4. 在 Full Name 字段中输入用户全名。

   RHEL web 控制台会自动在全名中推荐用户名并在 User Name 字段中填充该用户名。如果您不想使用原始命名规则（由名的第一个字母和完整的姓组成），对它进行更新。

5. 在 Password/Confirm 字段中输入密码并重新输入该密码以便验证您的密码是否正确。

   下面的颜色栏显示您输入密码的安全级别，这不允许您创建使用弱密码的用户。

6. 点 Create 保存设置并关闭对话框。
7. 选择新创建的帐户。

8. 在 Groups 下拉菜单中选择您要添加到新帐户的组。

   

   现在，您可以在 Accounts 设置中看到新帐户，您可以使用其凭证连接到该系统。

流程

1. 登录到 RHEL 8 web 控制台。
2. 点 Account。
3. 选择您要强制密码过期的用户帐户。

4. 点 Password 行上的 edit。

   

5. 在 Password expiration 对话框中，选择 Require password change every …​ days，然后输入一个正整数，代表密码过期的天数。

6. 点 Change。

   Web 控制台会立即在 Password 行上显示未来密码更改请求的日期。

先决条件：

1. root 访问权限
2. 新组必须存在

流程

1. 重启系统，在 GRUB 2 引导屏幕上按 e 键中断引导过程。

   此时会出现内核引导参数。

   load_video
   set gfx_payload=keep
   insmod gzio
   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet
   initrd ($root)/initramfs-4.18.0-80.e18.x86_64.img $tuned_initrd

2. 进入以 linux 开头的行的末尾。

   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet

   按 Ctrl+e 键跳到这一行的末尾。

3. 在以 linux 开头的行的最后添加 rd.break。

   linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
   kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet rd.break

4. 按 Ctrl+x 使用更改的参数启动系统。

   此时会出现 switch_root 提示符。

5. 将文件系统重新挂载为可写：

   mount -o remount,rw /sysroot

   文件系统以只读模式挂载到 /sysroot 目录中。将文件系统重新挂载为可写才可以更改密码。

6. 进入 chroot 环境：

   chroot /sysroot

   此时会出现 sh-4.4# 提示符。

7. 重置 root 密码：

   passwd

   按照命令行中的步骤完成 root 密码的更改。

8. 在下次系统引导时启用 SELinux 重新标记进程：

   touch /.autorelabel

9. 退出 chroot 环境：

   exit

10. 退出 switch_root 提示符：

    exit

11. 等待 SELinux 重新标记过程完成。请注意，重新标记一个大磁盘可能需要很长时间。系统会在这个过程完成后自动重启。

验证

1. 要验证 root 密码是否已成功更改，请以普通用户身份登录并打开 Terminal。

2. 以 root 用户身份运行交互式 shell:

   $ su

3. 输入新的 root 密码。

4. 显示与当前有效用户 ID 关联的用户名：

   # whoami

   输出返回：

   root