2 通过 PAM 进行身份验证 #

系统管理员和编程人员经常要将访问限制在系统的某些部分或限制对应用程序某些功能的使用。没有 PAM，每次引入新的身份验证机制（例如 LDAP、Samba 或 Kerberos）时都必须对应用程序进行调整，而此过程非常耗时且容易出错。避免这些缺点的一种方法是将应用程序从身份验证机制中分开并将身份验证委托给集中管理的模块。每当需要使用新的必要身份验证模式时，只要调整或编写合适的 PAM 模块供相关程序使用即可。

PAM 的概念包括：

可通过两种方式配置 PAM：

/etc/pam.d/ 下的文件定义用于身份验证的 PAM 模块。每个文件都包含用于定义某项服务的行，而每行最多包含四个组成部分：

TYPE  CONTROL
 MODULE_PATH  MODULE_ARGS

组成部分的含义如下：

另外，/etc/security 下提供了用于 PAM 模块的全局配置文件，它们定义这些模块的确切行为（其中包括 pam_env.conf 和 time.conf）。使用 PAM 模块的每个应用程序都会调用一组 PAM 函数，这些函数随后将处理配置文件中的信息，并将结果返回给请求方应用程序。

为了简化 PAM 模块的创建和维护，现已引入 auth、account、password 和 session 模块类型的通用默认配置文件。这些配置取自每个应用程序的 PAM 配置。因此，对 common-* 中全局 PAM 配置模块进行的更新将在所有 PAM 配置文件中传播，而无需管理员更新每个 PAM 配置文件。

您可以使用 pam-config 工具维护全局 PAM 配置文件。此工具可自动将新模块添加到配置、更改现有模块的配置，或者从配置中删除模块（或选项）。它最大限度地减少甚至完全消除了维护 PAM 配置时所需的人工干预。

注意：64 位和 32 位混合安装

使用 64 位操作系统时，还可以包含 32 位应用程序的运行时环境。在这种情况下，请确保同时安装 32 位版本的 PAM 模块。

以 sshd 的 PAM 配置为例：

#%PAM-1.0 1
  


auth     requisite      pam_nologin.so                              2
auth     include        common-auth                                 3
account  requisite      pam_nologin.so                              2
account  include        common-account                              3
password include        common-password                             3
session  required       pam_loginuid.so                             4
session  include        common-session                              3
session  optional       pam_lastlog.so   silent noupdate showfailed 5

通过包含配置文件而不是将每个模块单独添加到相应的 PAM 配置，您可以在管理员更改默认设置后自动获取更新的 PAM 配置。以前，在 PAM 发生更改或安装新应用程序后，您需要手动调整所有应用程序的所有配置文件。而现在 PAM 配置是通过中央配置文件进行的，每个服务的 PAM 配置都将自动继承所有的更改。

第一个 include 文件 (common-auth) 调用 auth 类型的三个模块：pam_env.so、pam_gnome_keyring.so 和 pam_unix.so。请参见 例 2.2 “auth 部分的默认配置 (common-auth)”。

auth  required  pam_env.so                   1
auth  optional  pam_gnome_keyring.so         2
auth  required  pam_unix.so  try_first_pass 3

整个 auth 模块堆栈处理完后，sshd 才会获得有关登录是否成功的反馈。堆栈中带有 required 控制标志的所有模块都必须成功处理，sshd 才能收到有关正面结果的消息。如果其中的某个模块不成功，则仍将继续处理整批模块，在此之后 sshd 才会收到处理失败的通知。

成功处理所有 auth 类型的模块后，将处理另一条 include 语句，在本例中为例 2.3 “account 部分的默认配置 (common-account)”中的语句。common-account 仅包含一个模块：pam_unix。如果 pam_unix 返回的结果证明用户存在，则 sshd 会收到通知其处理成功的消息，然后处理下一批模块 (password)，如例 2.4 “password 部分的默认配置 (common-password)”中所示。

account  required  pam_unix.so  try_first_pass

password  requisite  pam_cracklib.so
password  optional   pam_gnome_keyring.so  use_authtok
password  required   pam_unix.so  use_authtok nullok shadow try_first_pass

同样，sshd 的 PAM 配置仅涉及一条 include 语句，该语句引用了 password 模块的默认配置（位于 common-password 中）。每当应用程序请求获取身份验证令牌的更改信息时，都必须成功完成这些模块（控制标志为 requisite 和 required）。

更改口令或另一个身份验证令牌需要进行安全检查。这项检查是通过 pam_cracklib 模块实现的。随后使用的 pam_unix 模块带有来自 pam_cracklib 的任何旧口令和新口令，因此用户在更改口令后无需再次进行身份验证。此过程可确保不能绕过 pam_cracklib 所执行的检查。每当配置了 account 或 auth 类型来指出口令失效时，还应使用 password 模块。

session  required  pam_limits.so
session  required  pam_unix.so  try_first_pass
session  optional  pam_umask.so
session  optional  pam_systemd.so
session  optional  pam_gnome_keyring.so auto_start only_if=gdm,gdm-password,lxdm,lightdm
session  optional  pam_env.so

最后，调用 session 类型的模块（捆绑在 common-session 文件中）以根据相关用户的设置来配置会话。pam_limits 模块加载文件 /etc/security/limits.conf，该文件可以定义某些系统资源的使用限制。再次处理 pam_unix 模块。pam_umask 模块可用于设置文件模式创建掩码。由于此模块带有 optional 标志，因此此模块的失败将不会影响整个会话模块堆栈的成功完成。当用户注销时，将再次调用 session 模块。

某些 PAM 模块是可配置的。配置文件位于 /etc/security 中。本节简要介绍与 sshd 示例相关的配置文件 - pam_env.conf 和 limits.conf。

VARIABLE  [DEFAULT=VALUE]  [OVERRIDE=VALUE]

REMOTEHOST  DEFAULT=localhost          OVERRIDE=@{PAM_RHOST}
DISPLAY     DEFAULT=${REMOTEHOST}:0.0  OVERRIDE=${DISPLAY}

2.4.2 pam_mount.conf.xml #

 

pam_mount 用于在登录期间挂载用户主目录，以及在注销期间从中心文件服务器用来存放所有用户主目录的环境中卸载这些主目录。使用此方法就无需挂载一个完整的 /home 目录（通过该目录可访问所有用户主目录），而是仅挂载即将登录的用户的主目录。

安装 pam_mount 后，/etc/security 中会提供 pam_mount.conf.xml 的模板。在手册页 man 5 pam_mount.conf 中可以找到元素的说明。

可以使用 YaST 完成此功能的基本配置。选择网络设置 › Windows 域成员资格 › 专家设置以添加文件服务器。

注意：LUKS2 支持

cryptsetup 2.0 中已添加了 LUKS2 支持；从 SUSE Linux Enterprise Desktop 12 SP3 开始，SUSE Linux Enterprise Desktop 在 pam_mount 中包含了 LUKS2 支持。

pam-config 工具可帮助您配置全局 PAM 配置文件 (/etc/pam.d/common-*) 和多个选定的应用程序配置。如需受支持模块的列表，请使用 pam-config --list-modules 命令。使用 pam-config 命令可以维护 PAM 配置文件。可将新模块添加到 PAM 配置，删除其他模块，或修改这些模块的选项。更改全局 PAM 配置文件时，无需手动调整单个应用程序的 PAM 设置。

pam-config 的简单用例包括：

有关 pam-config 命令和可用选项的详细信息，请参见 pam-config(8) 的手册页。

如果您偏向于手动创建或维护 PAM 配置文件，请确保对这些文件禁用 pam-config。

当您使用 pam-config --create 命令从头开始创建 PAM 配置文件时，此命令会创建从 common-* 到 common-*-pc 文件的符号链接。pam-config 仅修改 common-*-pc 配置文件。去除这些符号链接会有效禁用 pam-config，因为 pam-config 仅对 common-*-pc 文件运行，而在没有符号链接的情况下，这些文件不起作用。

警告：在配置中包含 pam_systemd.so

如果您要创建自己的 PAM 配置，请务必包含配置为 session optional 的 pam_systemd.so。不包含 pam_systemd.so 可能会导致 systemd 任务限制出现问题。有关细节，请参见 pam_systemd.so 的手册页。

为了在本地登录期间提供更高的安全性，您可以使用 pam-u2f 框架以及 YubiKey 和安全密钥的 U2F 功能配置双重身份验证。

要在您的系统上设置 U2F，您需要将密钥与您的帐户相关联。之后，将系统配置为使用该密钥。以下部分说明了此过程。

2.7.1 将 U2F 密钥与您的帐户关联 #

 

要将 U2F 密钥与您的帐户关联，请按以下步骤操作：

1. 登录计算机。

2. 插入 U2F 密钥。

3. 创建用于存储 U2F 密钥配置的目录：

   > sudo mkdir -p ~/.config/Yubico

4. 运行可输出配置行的 pamu2fcfg 命令：

   > sudo pamu2fcfg > ~/.config/Yubico/u2f_keys

5. 当设备开始闪烁时，触摸金属触点以确认关联。

建议使用备份 U2F 设备，可以通过运行以下命令来设置：

1. 运行以下命令：

   > sudo pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

2. 当设备开始闪烁时，触摸金属触点以确认关联。

为了提高安全性，可以将输出文件从默认位置移到需要 sudo 权限才能修改文件的目录。例如，将其移到 /etc 目录中。为此，请执行以下步骤：

1. 在 /etc 中创建一个目录：

   > sudo mkdir /etc/Yubico

2. 移动创建的文件：

   > sudo mv ~/.config/Yubico/u2f_keys /etc/Yubico/u2f_keys

注意：将 u2f_keys 放到非默认位置

如果将输出文件移到默认目录 ($HOME/.config/Yubico/u2f_keys) 以外的目录，则需要在 /etc/pam.d/login 文件中添加相应路径（如第 2.7.2 节 “更新 PAM 配置”所述）。

安装 pam-doc 软件包后，可以在 /usr/share/doc/packages/pam 目录中找到以下附加文档：