常見的PAM認證模組簡介(3)

19.pam_rhosts_auth認證模組

所屬型別： auth

功能描述：該模組為標準的網路服務（諸如rlogin、rsh）提供認證。

可帶引數：請參考PAM文件說明

20.pam_rootok認證模組

所屬型別： auth

功能描述：使用該模榫哂瀉艽蟮陌踩?縵眨?媚？櫚奈ㄒ還δ芫褪僑胾id為0的使用者不需輸入密碼就可以登入系統。

可帶引數：無

21.pam_securetty認證模組

所屬型別： auth

功能描述：該模組用來控制root使用者只可以從包含在/etc/securetty檔案中的終端登入系統。

22.pam_shell認證模組

所屬型別： auth

功能描述：如果使用者的shell在/etc/shells中列出，則允許使用者進行驗證，如果/etc/passwd中沒有指定shell，則預設使用/bin/sh.

23.pam_time認證模組

所屬型別： account

功能描述：對使用者訪問服務提供時間控制，也就是說，用來控制使用者可以訪問服務的時間，配置檔案為：/etc/security/pam.conf。

可帶引數：無

配置檔案說明：
每一行的構成語法如下：
services; ttys; users; times
services：服務名稱
ttys：規則生效的終端名，可以*號表示任何終端，！表示非。
users：規則作用的使用者，可以*號表示任何使用者，！表示非。
times：指定時間，通常使用日期時間格式。用兩個字母指定日期，比如MoTuSa就是指星期一星期二和星期六。注意重複的部分將被排除在外，比如MoTuMo就指星期二，MoWk指除了星期一以外的每一天。兩個字母的組合有：
Mo Tu We Th Fr Sa Su Wk Wd Al
Mo到Su分別指從星期一到星期天，Wk指每一天，Wd指週末，Al也指每一天。
採用24小時制指定時間，也即採用HHMM的形式。比如Mo1800-0300就是每個星期一的下午6點到第二天的凌晨3點。

24.pam_unix認證模組

所屬型別： account; auth; password; session

功能描述：該模組是標準UNIX認證模組pam_unix的替代模組。

在作為auth型別使用時，此時該模組可識別的引數有debug、audit、use_first_pass、try_first_pass、nullok、nodelay，主要功能是驗證使用者密碼的有效性，在預設情況下（即不帶任何引數時），該模組的主要功能是禁止密碼為空的使用者提供服務；

在作為account型別使用時，此時該模組可識別的引數有debug、audit，該模組主要執行建立使用者帳號和密碼狀態的任務，然後執行提示使用者修改密碼，使用者採用新密碼後才提供服務之類的任務；

在作為password型別使用時，此時該模組可識別的引數有debug、 audit、 nullok;、not_set_pass、use_authtok、try_first_pass、use_first_pass、md5、bigcrypt、shadow、nis、
remember，該模組完成讓使用者更改密碼的任務；

在作為session型別使用時，此時該模組沒有可識別的引數，該模組僅僅完成記錄使用者名稱和服務名到日誌檔案的工作。

可帶引數：
debug：將除錯資訊寫入日誌
audit：記錄更為資訊的資訊
nullok：預設情況下，如果使用者輸入的密碼為空，則系統能夠不對其提供任何服務。但是如果使用引數，使用者不輸入密碼就可以獲得系統提供的服務。同時，也允許使用者密碼為空時更改使用者密碼。
nodelay：當使用者認證失敗，系統在給出錯誤資訊時會有一個延遲，這個延遲是為了防止
駭客猜測密碼，使用該引數時，系統將取消這個延遲。通常這是一個1秒鐘的延遲。
try_first_pass：在用作auth模組時，該引數將嘗試在提示使用者輸入密碼前，使用前面一個堆疊的auth模組提供的密碼認證使用者；在作為password模組使用時，該引數是為了防止使用者將密碼更新成使用以前的老密碼。
use_first_pass：在用作auth模組時，該引數將在提示使用者輸入密碼前，直接使用前面一個堆疊的auth模組提供的密碼認證使用者；在作為password模組使用時，該引數用來防止使用者將密碼設定成為前面一個堆疊的password模組所提供的密碼。
no_set_pass：使密碼對前後堆疊的password模組無效。
use_authok：強制使用前面堆疊的password模組提供的密碼，比如由pam_cracklib模組提供的新密碼。
md5：採用md5對使用者密碼進行加密。
shadow：採用影子密碼。
unix：當使用者更改密碼時，密碼被放置在/etc/passwd中。
bigcrype：採用DEC C2演算法加密使用者密碼。
nis：使用NIS遠處過程呼叫來設定新密碼。
remember=x：記錄x個使用過的舊密碼，這些舊密碼以MD5方式加密後被儲存在/etc/security/opasswd檔案中。
broken_shadow：在作為account使用時，該引數用來忽略對影子密碼的讀錯誤。
likeauth：未知。

配置例項：
參考/etc/pam.d/system-auth

25.pam_userdb認證模組

所屬型別： auth

功能描述：使用該模組允許您透過一個Berkeley資料庫來驗證使用者，假如您使用這種資料庫來儲存使用者資訊的話。

可帶引數：
debug：將除錯資訊寫入日誌
icase：忽略密碼大小寫
dump：將資料庫中的所有條目記錄在日誌檔案中，有安全隱患。
db=filename：指定資料庫檔案的完整路徑。
use_authok：強制使用前面堆疊的auth模組提供的密碼。
unknown_ok：當資料庫中沒有使用者資訊時，不返回錯誤。

配置例項：
#%PAM-1.0
auth required pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=succeed
auth sufficient pam_userdb.so icase db=/tmp/dbtest
auth required pam_pwdb.so shadow nullok try_first_pass
auth required pam_shells.so
account required pam_pwdb.so
session required pam_pwdb.so

26.pam_warn認證模組

所屬型別： auth，password

功能描述：記錄服務、終端名、使用者名稱、遠端主機等資訊到日誌檔案。

27.pam_stack認證模組

所屬型別： auth，account， password，session

功能描述：該模組可以用來實現pam認證的遞迴呼叫。

可帶引數：
debug：將除錯資訊寫入日誌
service=name：指定呼叫的配置檔案。

配置例項：
參考/etc/pam.d/login

常見的PAM認證模組簡介(3) (zt)

相關文章