faillock の使い方
ログインの失敗によるロック
書き方
sudo faillock --user ユーザー sudo faillock --user ユーザー --reset
pam_faillock の記録を表示・解除します。fail_interval 秒の間に deny 回失敗するとロックされ、unlock_time 秒たつか --reset で解除されます。設定は /etc/security/faillock.conf。
よく使うオプション
| オプション | 意味 |
|---|---|
--user 利用者 | その利用者の失敗の記録を出す |
--reset | 記録を消してロックを解く |
--dir ディレクトリ | 記録の場所（既定は /var/run/faillock） |
例
$ sudo faillock --user opsops:
When Type Source Valid
2026-11-06 11:02:14 RHOST 10.0.4.90 V
2026-11-06 11:02:19 RHOST 10.0.4.90 Vops がいつ、どこからログインに失敗したかを出します。valid が V の行が数えられている失敗です。
$ sudo faillock --user ops --reset
ロックを解きます。本人が正しいパスワードでログインし直せるようになります。
$ grep -E '^(deny|unlock_time|fail_interval)' /etc/security/faillock.confdeny = 5
unlock_time = 600
fail_interval = 900何回失敗したらロックし、何秒で解くかの設定を確かめます。
$ sudo authselect enable-feature with-faillock
faillock が効いていないときは、authselect で PAM に入れます。
よくある間違い・注意
- /etc/pam.d の system-auth を手で書き換えると、authselect で上書きされます。authselect の機能で入れます。
- root は既定ではロックされません（even_deny_root で変えられます）。
実際に打って練習する
Linux レベル2 コースの Lv90「門の掟 PAM」で覚えます（第7章 伝令と名簿（DHCP・メール・認証））。ブラウザの中のシミュレーターで、本物と同じように打って確かめられます。
すべてのレベルが、ゴールド以上のプランで遊べます。