`auth` が成功したか失敗したかによって `account` モジュールはチェックされますか?

Question

次のファイルのPAM設定では/etc/pam.d/system-auth

auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     required      pam_permit.so

最初のセクション ( auth) が成功した場合、2 番目のセクション ( account) が呼び出されてチェックされますか? 逆に、authセクションが失敗した場合は、 がaccount呼び出されますか?

別のシナリオでは、強調するために私の主な問題は、私たちが混合しauthてaccount次の例を見てみましょう。

auth        sufficient    pam_unix.so nullok try_first_pass
account     required      pam_unix.so

auth        requisite     pam_succeed_if.so uid >= 500 quiet
account     sufficient    pam_succeed_if.so uid < 500 quiet

PAM は具体的にどのように動作するのでしょうか? 私はそれについて混乱しており、誰かが私に説明してくれると非常に助かります。

Answer 1

PAMは認証とアカウントタイプを混在させず、独立して積み重ねる管理タイプに応じて異なります。スタックの戻り値はオプションと制御フラグの順序によって異なります。cf.参考文献

結果で何が行われるかは、アプリケーションによって多少異なります。通常、login や su などのプログラムは、認証が成功した後にのみアカウントを検証します。