linux 模塊命令（Linux中pam模塊詳解）

2023-05-06 21:27:08

pam簡介 linux-PAM(linux可插入認證模塊)是一套共享庫，使本地系統管理員可以隨意選擇程序的認證方式。換句話說，不用重新編譯一個包含PAM功能的應用程式，就可以改變它使用的認證機制。這種方式下,就算升級本地認證機制,也不用修改程序. PAM使用配置/etc/pam.d/下的文件,來管理對程序的認證方式.應用程式 調用相應的配置文件,從而調用本地的認證模塊.模塊放置在/lib/security下,以加載動態庫的形式進，像我們使用su命令時,系統會提示你輸入root用戶的密碼.這就是su命令通過調用PAM模塊實現的。

PAM的配置文件介紹

寫在/etc/pam.conf文件中

將PAM配置文件放到/etc/pam.d/目錄下

如上圖： 第一列代表模塊類型 第二列代表控制標記 第三列代表模塊路徑 第四列代表模塊參數

640?wx_fmt=jpeg

PAM的模塊類型 Linux-PAM有四種模塊類型,分別代表四種不同的任務，它們是:認證管理(auth),帳號管理(account),會話管理(session)和密碼(password)管理,一個類型可能有多行,它們按順序依次由PAM模塊調用.

管理方式 說明 auth 用來對用戶的身份進行識別.如:提示用戶輸入密碼,或判斷用戶是否為root等. account 對帳號的各項屬性進行檢查.如:是否允許登錄,是否達到最大用戶數,或是root用戶是否允許在這個終端登錄等. session 這個模塊用來定義用戶登錄前的,及用戶退出後所要進行的操作.如:登錄連接信息,用戶數據的打開與關閉,掛載文件系統等. password 使用用戶信息來更新.如:修改用戶密碼.

PAM的控制標記 PAM使用控制標記來處理和判斷各個模塊的返回值.（在此只說明簡單的認證標記）

控制標記 說明 required 表示即使某個模塊對用戶的驗證失敗，也要等所有的模塊都執行完畢後,PAM 才返回錯誤信息。這樣做是為了不讓用戶知道被哪個模塊拒絕。如果對用戶驗證成功，所有的模塊都會返回成功信息。 requisite 與required相似,但是如果這個模塊返回失敗,則立刻向應用程式返回失敗,表示此類型失敗.不再進行同類型後面的操作. sufficient 表示如果一個用戶通過這個模塊的驗證，PAM結構就立刻返回驗證成功信息（即使前面有模塊fail了，也會把 fail結果忽略掉），把控制權交回應用程式。後面的層疊模塊即使使用requisite或者required 控制標誌，也不再執行。如果驗證失敗，sufficient 的作用和optional相同。 optional 表示即使本行指定的模塊驗證失敗，也允許用戶接受應用程式提供的服務，一般返回PAM_IGNORE(忽略).

模塊路徑 模塊路徑.即要調用模塊的位置. 如果是64位系統，一般保存在/lib64/security,如: pam_unix.so同一個模塊,可以出現在不同的類型中.它在不同的類型中所執行的操作都不相同.這是由於每個模塊針對不同的模塊類型,編制了不同的執行函數.

常用PAM模塊介紹 PAM模塊 管理類型 說明 pam_unix.so auth 提示用戶輸入密碼,並與/etc/shadow文件相比對.匹配返回0 pam_unix.so account 檢查用戶的帳號信息(包括是否過期等).帳號可用時,返回0. pam_unix.so password 修改用戶的密碼. 將用戶輸入的密碼,作為用戶的新密碼更新shadow文件

pam_shells.so （auth，account） 如果用戶想登錄系統，那麼它的shell必須是在/etc/shells文件中

pam_deny.so （account，auth，password，session） 該模塊可用於拒絕訪問

pam_deny.so （account，auth，password，session）模塊任何時候都返回成功

pam_securetty.so auth 如果用戶要以root登錄時,則登錄的tty必須在/etc/securetty之中

pam_listfile.so （account，auth，password，session） 訪問應用程的控制開關

pam_cracklib.so password 這個模塊可以插入到一個程序的密碼棧中,用於檢查密碼的強度

pam_limits.so session 定義使用系統資源的上限，root用戶也會受此限制，可以通過/etc/security/limits.conf或/etc/security/limits.d/*.conf來設定