【Linux入門】passwdコマンドでパスワード変更とアカウント無効化を行う方法

本記事では、Linuxのpasswdコマンドを使って、ユーザーのパスワードを変更したり、アカウントをロック・無効化したりする方法を解説します。

「Linuxサーバーでパスワードのリセット依頼が届いた——何を知っておくべきか?」そんなシーンを想定しながら、基本から実践的な使い方まで順を追って見ていきましょう。

passwdコマンドの基礎知識

まずは基本から押さえておきましょう。ユーザーのパスワード(認証トークン)はハッシュ化された形で/etc/shadowファイルに、グループのパスワードは名前の通り/etc/gshadowファイルに保存されています。

passwdコマンドを使えば、これらのパスワードを変更できます。主な用途は以下の3つです。

• パスワードのリセット
• アカウントの有効期限切れ・ロック・無効化
• 自分自身のアカウントのパスワード変更

それでは、各オプションの使い方を詳しく見ていきます。

パスワードを変更する

自分のパスワードを変更する

最も基本的な使い方は、オプションを付けずにコマンドを実行することです。

passwd

ターミナルでこのコマンドを入力すると、自分自身のパスワード変更が求められます。

Changing password for samuelberry.
Current password:
Enter new password:
Retype new password:
passwd: password updated successfully

流れはシンプルです。まず現在のパスワードの入力を求められ、そのハッシュがshadowファイル内のものと照合されます。その後、新しいパスワードが複雑性の要件(文字数や文字種など)を満たしているかチェックされ、問題がなければ更新が完了します。

他のユーザーのパスワードを変更する(root権限)

続いて、他のユーザーのパスワードをリセットするケースです。sudoでroot権限を使い、対象のユーザー名を指定して実行します。

sudo passwd samuelberry

root権限でアカウントを操作しているため、出力には「Current password(現在のパスワード)」の入力ステップが現れません。

Enter new password:
Retype new password:
passwd: password updated successfully

なお、rootユーザーとして自分自身のパスワードを更新する場合も、手順は他のアカウントを編集するときとまったく同じです。

また、アカウントがロックされていないか確認したい場合は、pam_tally2の履歴をチェックしたり、/etc/shadowファイルをcatコマンドで表示して、ロック・無効化の状態を確認することも可能です。

グループのパスワードを変更する場合も手順は同じですが、-gオプションを追加する必要がある点に注意してください。

アカウントを無効化する

ここでは、「30日間の出張に出るため、その前にアカウントを保護しておきたい」というユーザーからの依頼を想定してみます。

sudo passwd -le samuelberry

これで、アカウントのロック(-l)と有効期限切れ(-e)が同時に設定されます。ロックだけでなく有効期限切れも併せて設定しておくのがおすすめです。万が一アカウントが不正利用された場合でも、アクティビティを監視できるからです。

ユーザーが不在の間にパスワードがリセットされた場合は、そのアクティビティに対してアラートを設定しておくとより安全です。アカウントが正しくロックされているかどうかは、次のコマンドで確認できます。

passwd -S samuelberry

まとめ

本記事では、passwdコマンドによるユーザーパスワードの変更方法と、-l・-eオプションを使ったアカウントのロック・無効化の方法を解説しました。

なお、システム復旧作業では追加の手順が必要になる場合があります。サーバーから締め出された(ログインできなくなった)場合は、シングルユーザーモードでの起動が必要になることがあります。また、LDAPアカウントやMicrosoft Active Directoryのアカウントを扱っている環境では、ディレクトリ側からパスワードをリセットする必要がある点にも注意しましょう。