RH423-7 Linux-PAM

一.PAM简介

　　Linux-PAM(linux可插入认证模块)是一套共享库,使本地系统管理员可以随意选择程序的认证方式.不用(重新编写和)重新编译一个包含PAM功能的应用程序,就可以改变它使用的认证机制.

　　PAM使用配置文件（/etc/pam.d/下的文件）,来管理对程序的认证方式.应用程序调用相应的配置文件,从而调用本地的认证模块.模块放置在/lib/security下,以加载动态库的形式进行调用.

二. PAM的配置文件介绍

115%;font-family:新宋体;mso-bidi-font-family:新宋体;mso-font-kerning:0pt;mso-ansi-language: ZH-CN">1. line-height:115%;font-family:新宋体;mso-bidi-font-family:宋体;mso-font-kerning:0pt; mso-ansi-language:ZH-CN">PAM配置文件的格式

PAM配置文件放到/etc/pam.d/目录下,使用应用程序名作为配置文件名.如:sshd,login等.

如:

[root@station2 ~]# vi /etc/pam.d/cups

#%PAM-1.0

auth include system-auth

account include system-auth　　

115%;font-family:新宋体;mso-bidi-font-family:新宋体;mso-font-kerning:0pt;mso-ansi-language: ZH-CN">2. line-height:115%;font-family:新宋体;mso-bidi-font-family:宋体;mso-font-kerning:0pt; mso-ansi-language:ZH-CN">PAM的模块类型

PAM有四种模块类型,分别代表四种不同的任务.它们是:认证管理,账号管理,会话管理和密码管理.一个类型可能有多行,它们按顺序依次由PAM模块调用.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">auth：用来对用户的身份进行识别.如:提示用户输入密码,或判断用户是否为root等.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">account：对帐号的各项属性进行检查.如:是否允许登录,是否达到最大用户数,或是root用户是否允许在这个终端登录等.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">session：定义用户登录前的,及用户退出后所要进行的操作.如:登录连接信息,用户数据的打开与关闭,挂载文件系统等.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">Password：使用用户信息来更新.如:修改用户密码.

115%;font-family:新宋体;mso-bidi-font-family:新宋体;mso-font-kerning:0pt;mso-ansi-language: ZH-CN">3. line-height:115%;font-family:新宋体;mso-bidi-font-family:宋体;mso-font-kerning:0pt; mso-ansi-language:ZH-CN">PAM的控制标记

　　PAM使用控制标记来处理和判断各个模块的返回值.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">required：这个标记表示需要模块返回一个成功值.如果返回失败,则继续进行同类型的下一个操作,当所有此类型的模块都执行完后.才返回失败值.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 宋体;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">requisite：与required相似,但是如果这个模块返回失败,则立刻向应用程序返回失败,表示此类型失败.不再进行同类型后面的操作.

115%;font-family:Wingdings;mso-fareast-font-family:Wingdings;mso-bidi-font-family: Wingdings;mso-font-kerning:0pt;mso-ansi-language:ZH-CN">l 11. line-height:115%;font-family:新宋体;mso-bidi-font-family:宋体;mso-font-kerning:0pt; mso-ansi-language:ZH-CN">pam_warn.so模块:

　　auth,account,password,session: pam_warn用来记录服务,终端,用户,远程用户和远程主机的信息到系统日志.模块总是返回PAM_IGNORE,意指不希望影响到认证处理.

本文出自 “netsword.blogchina.com” 博客,请务必保留此出处http://netsword.blog.51cto.com/13993/544185