PAM - 可插拔认证模块

Posted 前方有路

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了PAM - 可插拔认证模块相关的知识,希望对你有一定的参考价值。

1、为什么要使用PAM

为了让用户更合理地使用系统,应用程序或服务(如sshd、login、su、password、ftp等)不可避免地需要对用户进行安全认证,若按照各自的规则去配置非常耗费时间和精力且不能重用。

而PAM提供了统一的API,使应用程序的访问控制变得简单方便。

 

2、介绍

官网:

2.1 流程说明

当某个应用程序或服务需要使用PAM来进行认证时,只要它支持PAM,就可以通过修改其相应的PAM配置文件,加放所需要的认证方式。当重新访问时,PAM就会读取相应的配置文件来提供认证功能。

 

2.2 PAM配置文件

PAM配置文件可能是/etc/pam.conf,或者是 /etc/pam.d/目录下对应服务名称的文件(本文以此形式进行介绍)。

PAM配置文件是由一系列规则组成,一个规则对应一行。

(1)规则语法

service type control module-path module-arguments

(2)字段说明

service (服务名称)
注:在/etc/pam.d/目录下的配置文件,是不包含service部分的,而文件的名字就是service,且文件名必须是小写。

type(account/auth/password/session)

  • account
    帐户管理,它主要用来限制/允许用户对某个服务的访问时间、当前可用的系统资源(用户的最大数量)或者用户的位置访问服务(例如:root用户只能从控制台登录)
  • auth
    识别用户身份,比如:提示用户输入密码
  • password
    升级用户的认证标记,比如:密码强度性检测
  • session
    处理为用户提供服务之前/后需要做的一些事情,比如:记录登录连接信息,挂载目录等

control(required/requisite/sufficient/optional/include/substack)

  • required
    若当前行认证失败,认证过程仍旧继续,整个栈运行完毕之后返回认证失败;若成功,继续下一个认证。
  • requisite
    若当前行认证失败,则立即中止并返回认证失败;若成功,继续下一个认证。
  • sufficient
    若当前行认证成功,并且之前没有任何required认证失败,则立即返回认证成功;若失败,不对结果造成影响并进行下一个认证。
  • optional
    仅当整个栈中只有这一个认证时才有决定性作用,否则当前行的认证跟最终结果无关。
  • include
    将其他配置文件中的所有行包含在当前的位置并运行。
  • substack
    类似include,但substack所包含的行将作为一个子栈,其运行过程不会影响到母栈,子栈的运行结果将作为当前行认证的结果输出。

module-path(模块路径)

如果以“/”开头,则表示模块的全路径,否则表示相对于/lib/security/或/lib64/security/的相对路径。

[[email protected] ~]# ls -l /lib64/security/
total 732
-rwxr-xr-x  1 root root 18552 Mar 22  2017 pam_access.so
-rwxr-xr-x. 1 root root  7504 Dec  8  2011 pam_cap.so
-rwxr-xr-x  1 root root 10272 Mar 22  2017 pam_chroot.so
-rwxr-xr-x  1 root root 27080 Mar 22  2017 pam_console.so
-rwxr-xr-x  1 root root 14432 Mar 22  2017 pam_cracklib.so
-rwxr-xr-x  1 root root 10168 Mar 22  2017 pam_debug.so
-rwxr-xr-x  1 root root  5952 Mar 22  2017 pam_deny.so
... 

 

module-arguments(模块参数)

 

3、可用模块

官方介绍:html/sag-module-reference.html

pam_access - 日志监控风格的访问控制

pam_access.so [ debug ] [ nodefgroup ] [ noaudit ] [ accessfile=file ] [ fieldsep=sep ] [ listsep=sep ]

(1)使用介绍

当用户要访问应用程序时,accessfile(默认是/etc/security/access.conf)就会被扫描来检测用户是否具有访问权限并返回结果。

accessfile中的每一行都包括三个域,以冒号隔开,如下所示:

permission:users/groups:origins

  • 第一个域,permission,值为+或-,+表示允许访问,-表示拒绝访问;
  • 第二个域,users/groups,列出一个或多个用户名/组名,或者直接使用ALL(代表所有用户和组)。为了区分用户名和组名,组名应加上括号,例如:(group);
  • 第三个域,origins,列出一种或多种登录方式,如:tty名称(tty是本地虚拟终端,比如:在阿里云CentOS实例的远程连接中可以切换到不同的虚拟终端,CTRL+ALT+F1代表切换到tty1,CTRL+ALT+F2代表切换到tty2,如此类推),IP地址,ALL(代表所有登录方式)等

(2)参数说明

  • debug
    大量的调试信息会被syslog记录下来
  • nodefgroup
    只有写在括号内的名称才会去匹配组文件,例如:(wheel),若没有设置该参数,则先匹配用户文件再匹配组文件
  • noaudit
    当有用户从未被允许的主机或终端登录时,事件不会被报告
  • accessfile=/path/to/access.conf
    设置配置文件路径,主要用于不同的服务对应不同的配置
  • fieldsep=separators
    配置文件的域分隔符,默认的域分隔符是英文冒号,如果fieldsep=|,那么|将作为域分隔符,而英文冒号则被看作普通字符
  • listsep=separators
    每个域都是一个列表,该选项改变配置文件的列表分隔符,默认的列表分隔符是空格,如果listsep=,,那么逗号将作为列表分隔符,而空格则被看作普通字符,这可能用于用户名或组名含有空格的情况,但必须要注意的是此时字段值与分隔符之间也不能存在空格!

(3)应用场景

例1:限制用户的SSH登录

[[email protected] ~]# cp /etc/pam.d/sshd /etc/pam.d/sshd_backup

//修改SSH对应的PAM配置文件,新增pam_access模块认证
[[email protected] ~]# vi /etc/pam.d/sshd

#%PAM-1.0
account    requisite     pam_access.so nodefgroup accessfile=/etc/mypam/access_ssh.conf fieldsep=| listsep=,

[[email protected] ~]# mkdir /etc/mypam

//编辑accessfile(注:匹配的顺序从第一行开始)
[[email protected] ~]# vi /etc/mypam/access_ssh.conf

#允许root和组mygroup1的成员登录
+|root (mygroup1)|ALL

#拒绝root和组mygroup1的成员以外的用户登录
-|ALL EXCEPT root (mygroup1)|ALL

#拒绝指定用户从非指定的ip进行登录
-|cjh|ALL EXCEPT 120.231.146.242

 

pam_nologin - 防止非root用户登录

 

pam_tally2 - 登录计数器

以上是关于PAM - 可插拔认证模块的主要内容,如果未能解决你的问题,请参考以下文章

系统安全——PAM模块

PAM和SSL认证了解

linux系统安全及应用——PAM安全认证

6.24系统安全及应用——账号安全与控制与PAM认证模块

用户登录限制锁定与踢出

用户登录限制锁定与踢出