「PAM」- Pluggable Authentication Modules

  CREATED BY JENKINSBOT

可插拔认证模块,将低层认证方案集成到高层接口中,为操作系统的应用及服务提供认证支持,而需要关注低层认证方案。简单地说,如果你的应用程序想要使用系统帐号登录,不需要自己解析 passwd 和 shadow 文件,使用 PAM 模块即可。

Linux Pluggable Authentication Modules

从 Unix Pluggable Authentication Modules 架构中演变而来。它将身份验证任务分为四个独立的管理组:

(1)Account Module,帐户模块:检查帐号是否为有效认证对象。帐号可能存在过期、密码失效等等问题。

(2)Authentication Module,认证模块:由于验证密码或其他密钥。该模块也肯能将认证信息传递给其他系统,比如 keyring 服务。

(3)Password Module,密码模块:负责更新密码,通常耦合到认证步骤中使用。也被用于强制使用强密码。

(4)Session Module,会话模块:定义会话在开始与结束时执行的动作。会话开始与用户成功认证后。

该四个模块与 pam.conf(5) 手册所属的 type 属性对应。

注意事项

1)调整 PAM 会改变系统的安全性。
2)错误的配置将导致系统部分功能无法访问,或者全部无法访问。请做好回滚准备,比如备份原文件。
3)无需过多关心 PAM 内部细节,要更多关注配置文件如何定义应用与PAM之间执行认证任务的连接。

配置实例(谨慎参考)

错误配置可能导致系统认证不可用,请谨慎参考本部分内容,这只在我们自身环境中测试通过。请参考官方文档或手册获取准确内容。

检查应用程序是否使用 PAM 认证

我们希望使用 su root 命令时无需输入密码,则先检查 su 是否集成 PAM 认证:

# ldd $(which su) | grep libpam.so
        libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0 (0x00007ff1da47c000)

从输出中可以看出 su 命令使用 PAM 库,所以我们可以说 su 支持 PAM 认证。

配置文件的语法格式

第一步,阅读 How to Configure and Use PAM in Linux 文章,有个初步认识。
第二步,在 Debian 中,请参考 man 5 pam.d 或 man 5 pam.conf 手册。

参考文献

Wikipedia/Linux PAM
Wikipedia/Pluggable authentication module
What is PAM?
How to Configure and Use PAM in Linux
archlinux/PAM