☰

sshd[5589]: Fehler: PAM: pam_open_session(): Für die angegebene Sitzung kann kein Eintrag erstellt/entfernt werden.

tag-icon • tag-icon centos ssh pam selinux
sshd[5589]: Fehler: PAM: pam_open_session(): Für die angegebene Sitzung kann kein Eintrag erstellt/entfernt werden.

Ich arbeite mit einer minimalen CentOS7-Installation. Ich habe pam_radius mit pam_script konfiguriert und konnte immer per SSH auf den Server zugreifen, indem ich Pubkey-Authentifizierung verwendete: das war Absicht. Aber nachdem ich den Server gemäßSTIG-Leitfaden(Eine ausführliche Anleitung finden Sie unterhier zu finden) Ich konnte mich nicht mehr per SSH mit dem System verbinden; oder, um es genauer auszudrücken, ich loggte mich ein und wurde sofort wieder rausgeschmissen. Der Fehler in der Datei /var/log/secure lautete:

sshd[5589]: Fehler: PAM: pam_open_session(): Für die angegebene Sitzung kann kein Eintrag erstellt/entfernt werden.

Das übliche Deaktivieren von Selinux hat das Problem behoben. Aber das ist natürlich keine akzeptable Lösung.

Antwort1

Manche Leute würden natürlich akzeptieren, dass das Deaktivieren von Selinux oder das Einstellen auf „permissiv“ die Lösung ist. Aber dann wird es immer ein paar schnippische Linux-Gurus geben, die mit den Worten „Hör auf, Selinux zu deaktivieren!“ einstimmen. ABER DAS IST ALLES, WAS SIE SAGEN WERDEN! Hören Sie auf, den Leuten zu sagen, sie sollen „aufhören, Selinux zu deaktivieren“, WENN SIE IHNEN NICHT AUCH DIE LÖSUNG SAGEN!

Nun, ich habe die Lösung für dieses Problem gefunden, und da ich sie nirgendwo im Internet leicht finden konnte, werde ich sie hier veröffentlichen. Ich bin der Anleitung von Red Hat gefolgt,hier zu finden.

Ich würde wetten, dass die meisten Leute das Tool nicht kennenaudit2zulassen. Es ist ein Lebensretter. Ich habe es verwendet, um ganz einfach ein ladbares Selinux-Modul zu erstellen, und es hat mein Problem gelöst, sodass ich Selinux nicht deaktivieren musste. Ich habe im Grunde nur die Schritte zum Herstellen einer Verbindung über SSH ausgeführt, während dasaudit2zulassenTool, dann wurde das Modul automatisch erstellt. Dann habe ich das Modul geladen, neu gestartet und alles ist gut.

audit2allow -a -M mycertwatch

******************** IMPORTANT ***********************
To make this policy package active, execute:

semodule -i mycertwatch.pp

verwandte Informationen