通过 PAM 进行身份验证

系统管理员和编程人员经常要将访问限制在系统的某些部分或限制对应用程序某些功能的使用。没有 PAM，每次引入新的身份验证机制（例如 LDAP、Samba 或 Kerberos）时都必须对应用程序进行调整，而此过程非常耗时且容易出错。避免这些缺点的一种方法是将应用程序从身份验证机制中分开并将身份验证委托给集中管理的模块。每当需要使用新的必要身份验证模式时，只要调整或编写合适的 PAM 模块供相关程序使用即可。

PAM 的概念包括：

SLE Micro 上的 PAM 附带所谓的基于目录的配置。配置文件集存储在 /etc/pam.d 中。依赖于 PAM 机制的每个服务（或程序）在此目录中都有各自的配置文件。例如，可以在 /etc/pam.d/sshd 文件中找到 sshd 的服务。

注意：SLE Micro 上不使用基于文件的配置 (/etc/pam.conf)。

每项服务的配置也可以存储在 /etc/pam.conf 中。但是，出于维护和可用性考虑，SLE Micro 中不使用此配置方案。

/etc/pam.d/ 下的文件定义用于身份验证的 PAM 模块。每个文件都包含用于定义某项服务的行，而每行最多包含四个组成部分：

      TYPE
      CONTROL
      MODULE_PATH
      MODULE_ARGS

组成部分的含义如下：

另外，/etc/security 下提供了用于 PAM 模块的全局配置文件，它们定义这些模块的确切行为（其中包括 pam_env.conf 和 time.conf）。使用 PAM 模块的每个应用程序都会调用一组 PAM 函数，这些函数随后将处理配置文件中的信息，并将结果返回给请求方应用程序。

为了简化 PAM 模块的创建和维护，现已引入 auth、account、password 和 session 模块类型的通用默认配置文件。这些配置取自每个应用程序的 PAM 配置。因此，对 common-* 中全局 PAM 配置模块进行的更新将在所有 PAM 配置文件中传播，而无需管理员更新每个 PAM 配置文件。

您可以使用 pam-config 工具维护全局 PAM 配置文件。此工具可自动将新模块添加到配置、更改现有模块的配置，或者从配置中删除模块（或选项）。它最大限度地减少甚至完全消除了维护 PAM 配置时所需的人工干预。

#%PAM-1.0 1
auth     requisite      pam_nologin.so                              2
auth     include        common-auth                                 3
account  requisite      pam_nologin.so                              2
account  include        common-account                              3
password include        common-password                             3
session  required       pam_loginuid.so                             4
session  include        common-session                              3
session  optional       pam_lastlog.so   silent noupdate showfailed 5

auth  required  pam_env.so                   1
auth  optional  pam_gnome_keyring.so         2
auth  required  pam_unix.so  try_first_pass 3

account  required  pam_unix.so  try_first_pass

某些 PAM 模块是可配置的。配置文件位于 /etc/security 中。本节简要介绍与 sshd 示例相关的配置文件 - pam_env.conf 和 limits.conf。

VARIABLE  [DEFAULT=VALUE]  [OVERRIDE=VALUE]

REMOTEHOST  DEFAULT=localhost          OVERRIDE=@{PAM_RHOST}
DISPLAY     DEFAULT=${REMOTEHOST}:0.0  OVERRIDE=${DISPLAY}

pam-config 工具可帮助您配置全局 PAM 配置文件 (/etc/pam.d/common-*) 和多个选定的应用程序配置。如需受支持模块的列表，请使用 pam-config --list-modules 命令。使用 pam-config 命令可以维护 PAM 配置文件。可将新模块添加到 PAM 配置，删除其他模块，或修改这些模块的选项。更改全局 PAM 配置文件时，无需手动调整单个应用程序的 PAM 设置。

pam-config 的简单用例包括：

有关 pam-config 命令和可用选项的详细信息，请参见 pam-config(8) 的手册页。

如果您偏向于手动创建或维护 PAM 配置文件，请确保对这些文件禁用 pam-config。

当您使用 pam-config --create 命令从头开始创建 PAM 配置文件时，此命令会创建从 common-* 到 common-*-pc 文件的符号链接。pam-config 仅修改 common-*-pc 配置文件。去除这些符号链接会有效禁用 pam-config，因为 pam-config 仅对 common-*-pc 文件运行，而在没有符号链接的情况下，这些文件不起作用。

警告：在配置中包含 pam_systemd.so

如果您要创建自己的 PAM 配置，请务必包含配置为 session optional 的 pam_systemd.so。不包含 pam_systemd.so 可能会导致 systemd 任务限制出现问题。有关细节，请参见 pam_systemd.so 的手册页。

为了在本地登录 SLE Micro 期间提供更高的安全性，您可以使用 pam-u2f 框架以及 YubiKey 和安全密钥上的 U2F 功能配置双重身份验证。

要在 SLE Micro 系统上设置 U2F，您需要将密钥与您在 SLE Micro 上的帐户相关联。之后，将系统配置为使用该密钥。以下部分说明了此过程。

6.1 将 U2F 密钥与您的帐户关联 #

 

要将 U2F 密钥与您的帐户关联，请按以下步骤操作：

1. 登录计算机。

2. 插入 U2F 密钥。

3. 创建用于存储 U2F 密钥配置的目录：

   > sudo mkdir -p ~/.config/Yubico

4. 运行可输出配置行的 pamu2fcfg 命令：

   > sudo pamu2fcfg > ~/.config/Yubico/u2f_keys

5. 当设备开始闪烁时，触摸金属触点以确认关联。

建议使用备份 U2F 设备，可以通过运行以下命令来设置：

1. 运行：

   > sudo pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

2. 当设备开始闪烁时，触摸金属触点以确认关联。

为了提高安全性，可以将输出文件从默认位置移到需要 sudo 权限才能修改文件的目录。例如，将其移到 /etc 目录中。为此，请执行以下步骤：

1. 在 /etc 中创建一个目录：

   > sudo mkdir /etc/Yubico

2. 移动创建的文件：

   > sudo mv ~/.config/Yubico/u2f_keys /etc/Yubico/u2f_keys

注意：将 u2f_keys 放到非默认位置

如果将输出文件移到默认目录 ($HOME/.config/Yubico/u2f_keys) 以外的目录，则需要在 /etc/pam.d/login 文件中添加相应路径（如第 6.2 节 “更新 PAM 配置”所述）。

版权所有 © 2006–2024 SUSE LLC 和贡献者。保留所有权利。

根据 GNU 自由文档许可证 (GNU Free Documentation License) 版本 1.2 或（根据您的选择）版本 1.3 中的条款，在此授予您复制、分发和/或修改本文档的权限；本版权声明和许可证附带不可变部分。许可版本 1.2 的副本包含在题为“GNU Free Documentation License”的部分。

有关 SUSE 商标，请参见 https://www.suse.com/company/legal/。所有其他第三方商标分别为相应所有者的财产。商标符号（®、™ 等）代表 SUSE 及其关联公司的商标。星号 (*) 代表第三方商标。

本指南力求涵盖所有细节，但这不能确保本指南准确无误。SUSE LLC 及其关联公司、作者和译者对于可能出现的错误或由此造成的后果皆不承担责任。