菜鸟学Linux 第069篇笔记 nsswitch, PAM



管理资源授权服务

Authentication (认证)

Authorization (授权)

Audition (审计)




FQDN --> IP   (名称解析库)

dns

/etc/hosts

mysql

nis (Network Information System)

ldap (LlightWeight Directory Access Protocol)  查询数据比mysql要快一个数据级

对查询数据量比较大的时候比较适用，写速度相对慢一些




nsswitch (Network Service Switch)

位于程序和名称解析方式中间位置，实现为程序提供多种解析方式的一个中转站，比如说

当一个程序当前使用/etc/asswd来查询用户的ID，但现在程序又想使用基于mysql来查询用户ID

，这样就需要重新编写代码让该程序支持基于mysql来进行查询用户的ID，而nsswitch则是用来简化程序在设计名称解析时所使用的代码，当程序需要使用名称解析时，直接向该nsswitch程序发送使用何种解析方式（如mysql)，该程序则将其指向对应的解析方式(mysql)

这便为nsswitch的作用（个人见解）




配置文件(定义某种名称解析服务通过哪种手段实现)

/etc/nsswitch.conf

passwd: file

hostname: file dns


而上面所定义的库如file dns，在执行时其实是在调用相应的库文件实现名称解析的

/usr/lib

libnss_compat.so

libnss_db.so

libnss_dns.so

libnss_files.so

libnss_hesiod.so

libnss_ldap.so

libnss_nisplus.so

libnss_nis.so

libnssutil3.so

libnss_winbind.so

libnss_wins.so



查找对应服务返回结果

SUCCESS

NOTFOUND

UNAVAIL

TRYAGAIN




命令

getent (get entries from administrative database)

e.g. # getent hosts 

# getent passwd

# getent passwd root 




认证

和名称解析是两套独立运行的机制，此是用来比对用户输入的字符和某种认证机制所提供的是否一致,nsswitch只提供去哪里去找，而比对与用户所输入的用户名密码则是用认证来实现的, 认证本身也可以不用借助名称解析服务去查找用户存放的密码位置


验证密码

123456 --> md5,salt

passwd


用户认证过程

解析：root-->nsswitch.conf-->passwd:files

解析：'12345(password)' --> nsswitch.conf --> shadow:files

auth: 123456 --> md5(salt) --> compare




Authentication机制

md5:/etc/shadow

mysql

ldap

nis

Kerberos



PAM (类似nsswitch，只不过此程序是用来指定用户程序用哪里程序认证机制)

(Pluggable Authentication Modules)


库文件/lib/security

pam_*

pam_unix.so

[options: nullok shadow md5]

pam_unix.so use_authok

pam_sells.so

pam_securetty.so

pam_listfile

pam_rootok.so

pam_limits.so




配置文件

/etc/security/

/etc/pam.d/

type control module-path [module-arguments]


type

account

auth

password

session


control

required (不过，但继续向下检查)

requisite  (不过，不需要向下检查，过还需向下检查)

sufficient (过，则直接通过。 没通过不影响最终结果)

optional (可选)

include (权利移交给其它文件) [value=action]


action

ok

done

bad

die

ignore

reset


required [success=ok new_authok_reqd=ok ignore=ignore default=bad]

requisite [success=ok new_authtok_reqd=ok ignore=ignore default=die]

sufficient [success=done new_authtok_reqd=done default=ignore]

optional [success=ok new_authtok_reqd=ok default=ignore]




PAM 里边的每一个模块的详细配置说明，请参照 linux-PAM_SAG.pdf文档

SAG (System Administrators' Guide)  此文档可以直接百度到有官方网站