我在这里有一个边缘案例。 我的学校有一个RHEL服务器，学生可以login并完成他们的工作。 帐户保存在LDAP中，服务器使用PAM和LDAP进行身份validation。 在学年结束时，我需要locking这台服务器上的学生帐户 – 即保持它们完好无损，但是防止用户login。我尝试了passwd -l和usermod -L ，但是在这两种情况下用户都可以仍然login。
有没有办法locking一个能与PAM LDAP一起使用的帐户？
这可以通过使用组ACL来完成。 将以下行添加到您的common-auth文件中：
auth required pam_access.so
将得到它build立。 然后你可以使用一个组（它可以是LDAP）来设置一个明确的拒绝。 颠倒含义来获得明确的允许，如果你不允许删除学生，这可能是一个更好的select。
-:ALL EXCEPT root grp-retired-students:ALL EXCEPT LOCAL