невозможно заблокировать учетную запись RHEL без полномочий root с помощью модуля PAM pam_tally2.so

Question

У меня есть RHEL 5.5 и я делаю следующие изменения в /etc/pam.d/system-auth :

    auth        required      pam_env.so 
    auth        required      pam_tally2.so deny=3 onerr=fail
    auth        sufficient    pam_unix.so nullok try_first_pass
    auth        requisite     pam_succeed_if.so uid >= 500 quiet
    auth        required      pam_deny.so


    account     required      pam_tally2.so
    account     required      pam_unix.so nullok try_first_pass
    account     sufficient    pam_succeed_if.so uid < 500 quiet
    account     required      pam_permit.so

Но это не работает, как ожидалось. После некоторых неудачных входов в систему я вижу сообщение о account locked , но после этого он все еще запрашивает пароль, и даже если я введу правильный пароль, он показывает следующее:

[student@server3 ~]$ su - testuser
Your account is locked. Maximum amount of failed attempts was reached.
Password: 
su: incorrect password

Но как пользователь root я все еще могу войти в систему:

[root@server3 ~]# su - testuser
[testuser@server3 ~]$ 

который говорит, что пользователь на самом деле не заблокирован. Разве это не правильно? Что я делаю неправильно ?

Answer 1

Ничего плохого, это ожидаемое поведение. От имени пользователя root вы обходите аутентификацию.

Надеюсь, не у всех есть права root