pam模块的配置使用

pam模块的配置使用

先看一个配置文件

cat /etc/pam.d/sshd
#%PAM-1.0
auth       required pam_sepermit.so
auth       substack     password-auth
auth       include      postlogin
# Used with polkit to reauthorize users in remote sessions
-auth      optional     pam_reauthorize.so prepare
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      password-auth
#session    include      postlogin
# Used with polkit to reauthorize users in remote sessions
-session   optional     pam_reauthorize.so prepare

第一列： 是认证类型
第二列：控制标记
第三列：认证模块
下边仔细说明一下这三列

先说第二列控制标记

解释：控制标记简单的解释是就是各个模块的重要程度。

• required
  该标记的模块认证成功是用户通过的必要条件。就是说required标记的模块如果认证失败，就一定不会通过认证。认证失败以后也不会立刻返回给用户错误消息，而是在所有的模块调用完毕以后统一返回，就是说该模块认证失败以后其他的模块认证没有意义了。这样做的目的是为了迷惑“敌人”，让他们不知道是哪个模块认证失败导致的问题。
• requisite
  该标记的模块 required的相似，它标记的模块认证失败以后会直接返回给应用，不会执行接下来的模块，而该标记一般用在认证一开始，用来判断用户的登录环境是否合法，如果不合法的话直接返回认证失败，就算是合法的用户，如果登录环境不对也不会通过认证。
• sufficient
  该标记的模块标识的是用户通过认证的充分条件，意思就是只要该模块通过了认证就会立刻返回给用户认证成功。当然sufficient的优先级低于required，如果required认证失败了最终结果也是失败。当sufficient认证失败的时候就相当于optional
• optional
  该标记的模块认证失败，用户也能通过认证。就是该标记的模块一般只做信息的展示，不去做认证相关的东西，用户的认证能否通过全部取决于上边三个标记。
• include
  该标记实际上就是引用这个pam文件相同的目录下的另一个文件。但是不会将另一个pam配置文件中的所有内容引入，只会对“模板类型”字段所标记的一类模块起到作用。即便system-auth可能包含了全部的四种类型的模块，也只有当前记录所对应的哪一类模块的那些记录包含进来。解释一下

auth       include      postlogin
account    include      password-auth
password   include      password-auth
session    include      password-auth

上边的配置文件中有这三条记录，password-auth这个文件被引用了三次，查看password-auth中的记录auth account password session四种类型的模块都有。如下配置文件

# cat password-auth
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok


password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so

 account    include      password-auth

该条记录只会引用password-auth中的如下这些配置

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password   include      password-auth

该条记录只会引用password-auth中的如下这些配置

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    required      pam_deny.so

你懂得

• 认证的流程
  

在配置文件有存在逻辑的一些认证

一下内容是我从pam.d下的配置文件中摘取出来的一些具有逻辑的配置。

auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
session    optional     pam_keyinit.so force revoke

auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
[]中的就是细致定义的控制标记，意思是：user_unknown的返回忽略， seccess的返回执行ok动作，ignore的返回执行ignore动作，default状态返回执行bad动作
问题：[user_unknown=ignore success=ok ignore=ignore default=bad]列表中的认证是顺序认证还是与或非或者是模块只会给与一个返回？？？？？？

这些就是细致描述模块的返回状态的处理方式，类似user_unknown、sucess、ignored等这些内容就是某个模块的返回状态。那么相应的ignore、ok、bad等就是对这些返回状态的处理方式，或者说是动作

• pam所支持的动作列表

标记	说明
ignore	忽略这个状态，不会对验证结果产生影响
bad	表示这个返回状态代表验证失败、余下的模块调用也永远失败
die	与bad相同，但是应该立即返回到应用，不在继续调用余下模块
ok	标识这个返回状态应该被看作是验证成功，继续调用余下模块
done	与ok相同，但是应该立即返回到应用，不在继续调用余下模块
N	与ok相同，但是要跳过N个模块才能继续
reset	清楚所有的返回状态、继续调用余下模块

• pam常见的返回状态

状态	说明
success	认证成功
auth_err	认证失败
new_authtok_reqd	需要新的认证令牌。有三种情况会返回这个状态：1. 根据安全策略需要更密码，2. 是密码为空；3. 是密码已经过期
ignore	忽略底层account类型模块的返回状态，而且无论是否被required、sufficient和optional修饰。处于安全考虑，这个返回状态通常需要被忽略掉，这样其他模块的返回状态会被参考
user_unknown	未知用户
try_again	已经通过了密码服务的初步检测
default	所有没有注明的返回状态

account     sufficient    pam_succeed_if.so uid < 1000 quiet
这种配置和这个模块有关的，能在pam配置文件中实现一些分支结构，就像uid < 1000如果登录用户是uid返回1000那么就会返回sucess状态

-session   optional     pam_ck_connector.so
这个-session的意思是这个模块的返回信息不回记录在日志中，日志一半就是在/var/log/secure