PAM认证
PAM认证
PAM(Pluggable Authentication Modules)
Sun公司于1995年开发的一种与认证相关的通用框架机制:PAM。
可插入式认证模块,是实现认证工作的一个模块。
因为每个服务都用到不同的认证方式,所以就需要不同的认证库。
认证库有文本文件,MySQL数据库,NIS ,LDAP等,这些库所对应的系统模块位于/lib64/security/目录下的所有库文件(以".so"后缀的文件)。
PAM是关注如何为服务验证用户的API(应用程序接口),通过提供一些动态链接库和一套统一的API,将系统提供的服务和该服务的认证方式分开。
使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式,而无需更改服务程序。
PAM是一种认证框架,自身不做认证。
PAM提供了对所有服务进行认证的中央机制,适用于login ,远程登录(telnet,rlogin,fsh,ftp, 点对点协议(PPP )),su等应用程序中。
系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略。
应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( )) 来实现对认证方法的调用。
PAM 服务模块的开发者则利用PAM SPI来编写模块(主要是引出一些函数pam_sm_xxxx( ) 供PAM 接口库调用),将不同的认证机制加入到系统中。
PAM 接口库(libpam )则读取配置文件,将应用程序和相应的PAM 服务模块联系起来 。
PAM架构
pam 认证原理
PAM 认证一般遵循这样的顺序:
Service(服务) →PAM( 配置文件) →pam_*.so。
PAM 认证首先要确定那一项服务,然后加载相应的PAM的配置文件( 位于/etc/pam.d 下) ,最后调用认证文件( 位于/lib/security 下) 进行安全认证。
PAM 认证过程
1)使用者执行/usr/bin/passwd程序,并输入密码。
2)passwd开始呼叫PAM模块,PAM模块会搜寻passwd程序的PAM 相关设定文件,这个设定文件一般是在/etc/pam.d/里边的与程序同名的文件 ,即PAM 会搜寻/etc/pam.d/passwd这个设置文件
3)经由/etc/pam.d/passwd 设定文件的数据,取用PAM 所提供的相关模块来进行验证
4)将验证结果回传给passwd 这个程序,而passwd 这个程序会根据PAM回传的结果决定下一个动作(重新输入密码或者通过验证)
PAM的配置文件
1)pam的配置文件当中为每种应用定义其需要用到的模块,包括驱动、授权机制等。
2)配置文件
模块文件目录: /lib64/security/*.so
模块配置文件: /etc/security/*.conf
环境相关的设置: /etc/security/
主配置文件: /etc/pam.conf ,默认不存在。
次级配置文件目录: /etc/pam.d/,该配置文件目录下的每个配置文件都对应一个应用模块的专用配置文件
注意:
如/etc/pam.d 存在,/etc/pam.conf 将失效
3)模块通过读取模块配置文件完成用户对系统资源的使用控制
4)注意:修改PAM 配置文件将马上生效
5)建议:编辑pam规则时 ,保持至少打开一个root会话,以防止root 身份验证错误
6)通用配置文件/etc/pam.conf 格式
application 、type 、control 、module-path 、module-arguments
7)专用配置文件/etc/pam.d/* 格式
type、control、module-path、module-arguments
8)说明:
1》tyoe(功能,模块类型):
包括auth,account,password,session。
auth: 认证和授权;
account: 与账号管理相关的非认证功能;
password: 用户修改密码时使用;
session: 用户获取到服务前后使用服务完成后要进行的一些附属性操作
-type: 表示因为缺失而不能加载的模块将不记录到系统日志, 对于那些不总是安装在系统上的模块有用
2》control:
pam如何处理与该服务相关的pam的成功或失败情况?同一种功能的多个检查之间如何进行组合?有两种实现机制。
1.使用一个关键词来定义:
required: 一票否决,表示本模块必须返回成功才能通过认证,但是如果该模块返回失败,失败结果也不会立即通知用户,而是要等到同一type中的所有模块全部执行完毕再将失败结果返回给应用程序。 必要条件
requisite: 一票否决,该模块必须返回成功才能通过认证,但是一旦该模块返回失败,将不再执行同一type 内的任何模块,而是直接将控制权返回给应用程序。必要条件
sufficient: 一票通过, 表明本模块返回成功则通过身份认证的要求,不必再执行同一type内的其它模块,但如果本模块返回失败可忽略。充分条件
optional: 表明本模块是可选的,它的成功与否不会对身份认证起关键作用,其返回值一般被忽略
include: 使用其他配置文件中同样功能的相关定义来进行检查
2.使用一到多组“return status=action”来定义;
[status1=action1 status2=action2....]
status: 指定此项检查的返回值,其可能的取值有多种。如success。
action: 采取的操作,其可能的取值常用的有6种,如ok,done,die,ignore,bad,reset。
ok 模块通过,继续检查
done 模块通过,返回最后结果给应用
bad 结果失败,继续检查
die 结果失败,返回失败结果给应用
ignore 结果忽略,不影响最后结果
reset 忽略已经得到的结果
3》module-path:
模块路径,用来指明本模块对应的程序文件的路径名。
相对路径
绝对路径
4》module-argument:
模块参数,用来传递给该模块的参数。
pam_unix.so:
nullok: 允许使用空密码;
try_first_pass: 提示用户输入密码之前,首先检查此前栈中已经得到的密码;
pam_env.so: 通过配置文件来为用户设定或撤销环境变量,/etc/security/pam_env.conf
pam_shells.so: 检查用户使用的是否为合法shell,/etc/shells
pam_limits.so: 资源限制,/etc/sercurity/limits.conf ;/etc/sercurity/limits.d/*
pam文档
/user/share/doc/pam-*
rpm -qd pam
man –k pam
man 模块名,如man rootok
《The Linux-PAM System Administrators' Guide》
限制的实现方式
共有3种方式:
1)通过ulimit命令
2)在/etc/security/limits.d/目录下创建限制文件来实现
3)修改/etc/pam.d/目录下的配置文件,这是使用pam模块来实现的
1)ulimit 命令,修改shell资源的限制,立即生效,但无法保存。
ulimit-Modify shell resource limits.
ulimit [-SHacdefilmnpqrstuvx] [limit]
Options:
-S 使用软资源限制
-H 使用硬资源限制
-a 所有当前限制的报告
-b 套接字缓存尺寸
-c 最大的核心文件创建尺寸
-d 最大程序的数据分割尺寸
-e 最大的调度优先级(`nice')
-f 被shell及其子进程写入文件的最大尺寸
-i 最大待定信号的数值
-l 进程可能锁定到内存的最大尺寸
-m 最大驻留设置尺寸
-n 最大打开文件描述符的数值
-p 管道缓存尺寸
-q POSIX 消息队列中的最大字节数
-r 最大实时调度优先级
-s 最大堆尺寸
-t cpu 时间的最大值 (以秒为单位)
-u 用户进程的最大值
-v 虚拟内存的尺寸
-x 文件锁定的最大数值
-n 最多的打开的文件描述符个数
-u 最大用户进程数
-S 使用 `soft' (软)资源限制
-H 使用 `hard' (硬)资源限制
2)创建限制文件:
/etc/security/limits.conf:
说明文件,也可以直接在这里面进行定义!
/etc/security/limits.d/*.conf:
限制文件,每行一个定义;
限制文件中的限制语法为:
<domain> <type> <item> <value>
<domain>:
应用于哪些对象
username 单个用户
@group 组内所有用户
* 所有用户
<type>:
限制的类型
Soft 软限制, 普通用户自己可以修改
Hard 硬限制, 由root用户设定,且通过kernel强制生效
- 二者同时限定
<item>:
限制的资源
nofile 所能够同时打开的最大文件数量, 默认为1024
nproc 所能够同时运行的进程的最大数量, 默认为1024
...
<value>:
指定item所对应的具体值
3)修改/etc/pam.d/目录下的配置文件
使用PAM模块实现:
1》模块:pam_shells
功能:检查有效shell
man pam_shells
示例:不允许使用/bin/csh 的用户本地登录
vim /etc/pam.d/login
auth required pam_shells.so
vim /etc/shells
去掉 /bin/csh
useradd –s /bin/csh testuser
testuser 将不可登录
tail /var/log/secure
2》模块:pam_securetty.so
功能:只允许root 用户在/etc/securetty 列出的安全终端上登陆
示例:允许root 在telnet 登陆
vi /etc/pam.d/login
#auth required pam_securetty.so # 将这一行加上注释
或者/etc/securetty 文件中加入pts/0,pts/1…pts/n
3》模块:pam_nologin.so
功能: 如果/etc/nologin 文件存在, 将导致非root用户不能登陆,如果 用户shell 是/sbin/nologin 时,当该用户登陆时,会显示/etc/nologin.txt 文件内容,并拒绝登陆
4》模块:pam_limits.so
功能:在用户级别实现对其可使用的资源的限制,例如:可打开的文件数量,可运行的进程数量,可用内存空间,最多打开的文件数和运行进程数。
vim /etc/pam.d/system-auth
session required pam_limits.so
vim /etc/security/limits.conf
apache – nofile 10240 apache用户可打开10240个文件
student hard nproc 20 不能运行超过20个进程
PAM认证的更多相关文章
- centos6.5下vsftpd服务的安装及配置并通过pam认证实现虚拟用户文件共享
FTP的全称是File Transfer Protocol(文件传输协议),就是专门用来传输文件的协议.它工作在OSI模型的第七层,即是应用层,使用TCP传输而不是UDP.这样FTP客户端和服务器建立 ...
- PAM认证机制详情
PAM(Pluggable Authentication Modules)认证机制详情 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 一.介绍PAM PAM(Plugga ...
- AIDE,sudo,TCP_Wrappers,PAM认证等系统安全访问机制
AIDE 高级入侵检测环境:是一个入侵检测工具,主要用途是检查文件的完整性,审计计算机上的那些文件被更改过了. AIDE能够构造一个指定文件的数据库,它使用aide.conf作为其配置文件.AIDE数 ...
- PAM认证机制
PAM:Pluggable Authentication Modules 认证库:文本文件,MySQL,NIS,LDAP等 Sun公司于1995 年开发的一种与认证相关的通用框架机制 PAM 是关注如 ...
- 什么是PAM认证
PAM(Pluggable Authentication Modules )是由 Sun 提出的一种用于实现应用程序的认证机制.其核心是一套共享库,目的是提供一个框架和一套编程接口,将认证工作由程序员 ...
- Vsftpd: 基于PAM认证的虚拟用户和匿名用户
目录 环境说明效果说明及截图①. 安装组件②. 系统账户建立③. 编辑vsftpd的配置文件④. 生成虚拟用户的数据库文件⑤. 生成一个使用vsftpd_login.db数据文件的PAM认证文件⑥. ...
- linux的PAM认证和shadow文件中密码的加密方式
它是一种统一的认证方案.PAM 让您能随时改变您的认证方法以及需求,并且不需要重新编译任何代码就封装了所有本地认证方法.具体见 PAM 网站. 对于 PAM 您只需要做: 对您的密码采用不同于 DES ...
- 实现基于pam认证的vsftpd
1 需求 使用指定虚拟用户Allen与Barry登录ftp,认证的源是mysql服务器: Allen可以上传文件,Barry不可以上传文件: 2 环境 [root@centos7 ~]# cat /e ...
- 检查是否使用PAM认证模块禁止wheel组之外的用户su为root
编辑su文件(vi /etc/pam.d/su),在开头添加下面两行: auth sufficient pam_rootok.so 和 auth required pam_wheel.so group ...
随机推荐
- sqoop job 增量导入
使用sqoop job做增量导入 在执行导入模式为 incremental 的sqoop job 时,sqoop会获取上次导入操作的 –check-column的value值,也就是说使用sqoop ...
- php 简单判断是否微信浏览器
今天遇到一问题,让一个页面在微信上打开和浏览器打开显示不同的按钮,这是一个建议的方法 $user_agent = $_SERVER['HTTP_USER_AGENT']; if (strpos($us ...
- 【海量之道】海量之道之SET模型
本文介绍了set模型. 一 提供海量服务时面对的场景 场景1:如何令黄村机房的TWS机器访问黄村机房的APP服务,避免TWS跨机房调用永丰机房的APP机器? 场景2:DB和Redis如何实现快慢分离, ...
- DELPHI线程例子-FC
{优秀的数据库应用应当充分考虑数据库访问的速度问题.通常可以通过优化数据库.优化 查询语句.分页查询等途径收到明显的效果.即使是这样,也不可避免地会在查询时闪现一个带有 SQL符号的沙漏,即鼠标变成了 ...
- 分享知识-快乐自己:揭秘HBase
揭秘HBase: 一):大数据(hadoop)初始化环境搭建 二):大数据(hadoop)环境搭建 三):运行wordcount案例 四):揭秘HDFS 五):揭秘MapReduce 六):揭秘HBa ...
- POJ1363 Rails 验证出栈序列问题
题目地址: http://poj.org/problem?id=1363 此题只需验证是否为合法的出栈序列. 有两个思路: 1.每个已出栈之后的数且小于此数的数都必须按降序排列.复杂度O(n^2),适 ...
- 雅礼集训 2017 Day2 水箱 可并堆
题目描述 给出一个长度为 n 宽度为 1 ,高度无限的水箱,有 n−1 个挡板将其分为 n 个 1 - 1 的小格,然后向每个小格中注水,水如果超过挡板就会溢出到挡板的另一边,这里的水是满足物理定律 ...
- 根据sid或sqlID查询SQL
根据sid查询已经执行过的sql select sql_text from v$sqlarea a,v$session b where a.SQL_ID=b.PREV_SQL_ID and b.SID ...
- Anthem.NET的 "Bad Response" 问题,及脚本调试技巧小结
今天解决了一位朋友使用 Anthem.NET 遇到的问题.他的代码在 Windows XP 的开发机器上反应正常,而部署到 2003 Server 的服务器上就提示 "BADRESPONSE ...
- logback个人使用配置
提供一个目前个人供词使用的,无需日志汇总的日志配置文件: <?xml version="1.0" encoding="UTF-8"?> <co ...