☰

Configuração /etc/pam.d

tag-icon • tag-icon ssh login authentication pam ldap
Configuração /etc/pam.d

Este é um exemplo do /etc/pam.d/sshdarquivo de configuração em um sistema FreeBSD 11.0 recém-instalado:

#
# $FreeBSD: releng/11.0/etc/pam.d/sshd 197769 2009-10-05 09:28:54Z des $
#
# PAM configuration for the "sshd" service
#

# auth
auth            sufficient      pam_opie.so             no_warn no_fake_prompts
auth            requisite       pam_opieaccess.so       no_warn allow_local
#auth           sufficient      pam_krb5.so             no_warn try_first_pass
#auth           sufficient      pam_ssh.so              no_warn try_first_pass
auth            required        pam_unix.so             no_warn try_first_pass

# account
account         required        pam_nologin.so
#account        required        pam_krb5.so
account         required        pam_login_access.so
account         required        pam_unix.so

# session
#session        optional        pam_ssh.so              want_agent
session         required        pam_permit.so

# password
#password       sufficient      pam_krb5.so             no_warn try_first_pass
password        required        pam_unix.so             no_warn try_first_pass

Gostaria de configurar este arquivo em um cliente OpenLDAP, que deve usar LDAP para permitir o login de usuários remotos.Este guiadiz para colocarem algum lugara linha

auth  sufficient  /usr/local/lib/pam_ldap.so  no_warn

Eu liesse documentoeEste; Tentei colocar essa linha antes da pam_unix.solinha da authseção, mas meu cliente não funciona e não conheço muito bem o PAM.

1) Essa linha está correta? Onde essa linha deve ser colocada na authseção?

2) Essa linha deveria ser colocada também em uma ou mais seções?

Responder1

A maneira como o PAM funciona é que ele segue cada linha até o final (ou até entrar em curto-circuito com uma falha específica). Cada uma dessas palavras-chave diz como a etapa de autenticação é tratada.

O que você quer é dizer que a autenticação LDAP é aceitável para autenticação. Então você precisa colocar sua linha pam_ldap.so ANTES da linha final. Isso diz que a autenticação LDAP é suficiente para autenticação.

auth            sufficient      pam_opie.so             no_warn no_fake_prompts
auth            requisite       pam_opieaccess.so       no_warn allow_local
#auth           sufficient      pam_krb5.so             no_warn try_first_pass
#auth           sufficient      pam_ssh.so              no_warn try_first_pass
auth            sufficient  /usr/local/lib/pam_ldap.so  no_warn
auth            required        pam_unix.so             no_warn try_first_pass

Se você quiser mais detalhes, o melhor lugar para procurar é a página de manual pam.d ou pam.conf na seção 5 do manual:

% man 5 pam.d

informação relacionada