PAM: политика паролей и блокировка

Стажёры сами меняют себе пароли, и система принимает любой, а подбирать пароль можно бесконечно. Введи политику паролей и блокировку после неверных попыток, не потеряв свой вход по ключу и sudo.

Ситуация

На сервер приходят стажёры. Учётную запись им заводят с временным паролем, дальше каждый меняет его сам командой passwd. Стажёр intern поставил себе qwerty12 — система не возразила. Подбирать пароль тоже можно сколько угодно: неверные пароли в su ничем не грозят.

Ты администратор: входишь по ключу (ssh localhost) и работаешь через sudo. Проверять, что получилось, удобно на учётной записи стажёра: su - intern, пароль qwerty12.

Задача

1. Командой passwd пользователь не может задать себе пароль короче 12 символов или меньше чем из трёх классов символов (строчные, заглавные, цифры, прочие). Пароль по этим правилам принимается.
2. Правила записаны в /etc/security/pwquality.conf (или в файле каталога /etc/security/pwquality.conf.d/) — их видит pwscore.
3. После трёх неверных паролей подряд учётная запись блокируется для любого входа по паролю: консоль, su, sudo. Успешный вход до блокировки обнуляет счётчик.
4. Твой доступ не пострадал: вход student по ключу, sudo и вход в консоль работают как раньше.

Ошибка в /etc/pam.d может закрыть и вход, и sudo. Правь PAM из root-оболочки sudo -i и не выходи из неё, пока su - student -c 'sudo -n true' не завершится без ошибки. Интернета на машине нет, всё нужное уже установлено.