一.Linux中的PAM安全认证

Linux-PAM，
是linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。
应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放置在/1ib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的。

1.su命令的安全隐患

默认情况下，任何用户都允许使用su命令,有机会反复尝试其他用户(如root) 的登录密码，带来安全风险
为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换

2.PAM(Pluggable Authentication Modules)可插拔式认证模块

是一种高效而且灵活便利的用户级别的认证方式
也是当前Linux服务器普遍使用的认证方式

二.PAM认证原理

一般遵循的顺序
-----------Service (服务) - →PAM (配置文件)-→pam_*.so
首先要确定哪一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib64/security下)进行安全认证
用户访问服务器时，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
不同的应用程序所对应的PAM模块是不同的
PAM的配置文件中的每行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用

在这里插入图片描述

三. PAM认证得构成

1.查看某个程序是否支持PAM认证，可以用Is命令

查看su是否支持PAM模块认证：
Is /etc/pam.d | grep su

2. 查看su的PAM配置文件: cat /etc/pam.d/su

每一行都是一个独立的认证过程
每一行可以区分为三个字段
- -------------认证类型.
---------------控制类型
----------------PAM模块及其参数

在这里插入图片描述
第一列代表PAM认证模块类型.

auth	对用户身份进行识别，如提示输入密码，判断是否为root。
account:	对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
password:	使用用户信息来更新数据，如修改用户密码。
session:	定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。

第二列代表PAM控制标记：

required:	表示需要返回一-个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下–验证，所有此类型的模块都执行完成后，再返回失败。
requisite:	与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient:	如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响这类型的返回值。
optional:	不进行成功与否的返回，一般不用于验证，只是显示信息(通常用于session 类型),
include:	表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth(主要负责用户登录系统的认证工作)来实现认证而不需要重新逐一去写配置项。

第三列代表PAM模块：
默认是在/1ib64/security/目录下，如果不在此默认路径下，要填写绝对路径。

同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函

第四列代表PAM模块的参数：
这个需要根据所使用的模块来添加。
传递给模块的参数。参数可以有多个，之间用空格分隔开

required:表示该行以及所涉及模块的成功是用户通过鉴别的[必要条件]。换句话说，只有当对应于应用程序的所有带required标记的模块全部成功后，该程序才能通过鉴别。同时，如果任何带required标记的模块出现了错误，PAM并不立刻将错误消息返回给应用程序，而是在所有此类型模块都调用完毕后才将错误消息返回调用他的程序。
requisite:与required相仿，只有带此标记的模块返回成功后，用户才能通过鉴别。不同之处在于其–旦失败就不再执行堆中后面的其他模块，并且鉴别过程到此结束，同时也会立即返回错误信息。与上面的required相比，似乎要显得更光明正大一些。
sufficient:表示该行以及所涉及模块验证成功是用户通过鉴别的[充分条件]。也就是说只要标记为sufficient的模块一旦验证成功，那么PAM便立即向应用程序返回成功结果而不必尝试任何其他模块。即便后面的层叠模块使用了requisite或者required控制标志也是一样。当标记为sufficient的模块失败时，sufficient模块会当做optiona1对待。因此拥有sufficient标志位的配置项在执行验证出错的时候并不会导致整个验证失败，但执行验证成功之时则大门]敞开。所以该控制位的使用务必慎重。
optional:他表示即便该行所涉及的模块验证失败用户仍能通过认证。在PAM体系中，带有该标记的模块失败后将继续处理下一模块。也就是说即使本行指定的模块验证失败，也允许用户享受应用程序提供的服务。使用该标志，PAM框架会忽略这个模块产生的验证错误，继续顺序执行下一一个层叠模块。

PAM实例：