Linux进阶_PAM认证机制

最新推荐文章于 2023-09-06 20:28:20 发布
最新推荐文章于 2023-09-06 20:28:20 发布
阅读量3.9k 收藏 22
点赞数 4
分类专栏： # Linux进阶 文章标签： pam
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42758707/article/details/94738684
版权

本意内容

PAM认证机制

PAM:Pluggable Authentication Modules
认证库：文本文件，MySQL，NIS，LDAP等
Sun公司于1995 年开发的一种与认证相关的通用框架机制
PAM 是关注如何为服务验证用户的 API，通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开
使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序
一种认证框架，自身不做认证
它提供了对所有服务进行认证的中央机制，适用于本地登录，远程登录，如：telnet,rlogin,fsh,ftp,点对点协议PPP，su等应用程序中，系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略；应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( ))来实现对认证方法的调用；而PAM服务模块的开发者则利用PAM SPI来编写模块（主要调用函数pam_sm_xxxx( )供PAM接口库调用，将不同的认证机制加入到系统中；PAM接口库（libpam）则读取配置文件，将应用程序和相应的PAM服务模块联系起来

PAM架构

在这里插入图片描述

PAM相关文件

  1. 模块文件目录：/lib64/security/*.so
  2. 环境相关的设置：/etc/security/
  3. 主配置文件：/etc/pam.conf，默认不存在
  4. 为每种应用模块提供一个专用的配置文件：/etc/pam.d/APP_NAME
    注意：如/etc/pam.d/存在，/etc/pam.conf将失效

pam认证原理

  1. PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so
  2. PAM认证首先要确定那一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib64/security下)进行安全认证
    在这里插入图片描述

PAM认证机制

  • PAM认证过程：
    1.使用者执行passwd程序，并输入密码
    2.passwd开始调用PAM模块，PAM模块会搜寻passwd程序的PAM相关设置文件，这个设置文件一般是在/etc/pam.d/里边的与程序同名的文件，即PAM会搜寻/etc/pam.d/pam_unix_passwd.so此设置文件
    3.经由/etc/pam.d/pam_unix_passwd.so设定文件的数据，取用PAM所提供的相关模块来进行验证
    4.将验证结果回传给passwd这个程序，而passwd这个程序会根据PAM回传的结果决定下一个动作（重新输入密码或者通过验证）
    在这里插入图片描述

PAM的配置文件

  1. 通用配置文件/etc/pam.conf格式
    application type control module-path arguments
  2. 专用配置文件/etc/pam.d/* 格式
    type control module-path arguments
  3. 说明：
    • 服务名（application）
      telnet、login、ftp等，服务名字“OTHER”代表所有没有在该文件中明确配置的其它服务
    • 模块类型（module-type）
      control PAM库该如何处理与该服务相关的PAM模块的成功或失败情况
      module-path 用来指明本模块对应的程序文件的路径名
      Arguments 用来传递给该模块的参数
      Auth 账号的认证和授权
      Account 与账号管理相关的非认证类的功能，如：用来限制/允许用户对某个服务的访问时间，当前有效的系统资源(最多可以有多少个用户)，限制用户的位置(例如：root用户只能从控制台登录)
      Password 用户修改密码时密码复杂度检查机制等功能
      Session 用户获取到服务之前或使用服务完成之后需要进行一些附加的操作，如：记录打开/关闭数据的信息，监视目录等
      -type 表示因为缺失而不能加载的模块将不记录到系统日志,对于那些不总是安装在系统上的模块有用
  4. 简单方式实现：一个关健词实现
    • required ：一票否决，表示本模块必须返回成功才能通过认证，但是如果该模块返回失败，失败结果也不会立即通知用户，而是要等到同一type中的所有模块全部执行完毕再将失败结果返回给应用程序，即为必要条件
    • sufficient ：一票通过，表明本模块返回成功则通过身份认证的要求，不必再执行同一type内的其它模块，但如果本模块返回失败可忽略，即为充分条件
    • optional ：表明本模块是可选的，它的成功与否不会对身份认证起关键作用，其返回值一般被忽略
    • include： 调用其他的配置文件中定义的配置信息
  5. 复杂详细实现：使用一个或多个“status=action”
    [status1=action1 status2=action …]
    • Status:检查结果的返回状态
    • Action:采取行为 ok，done，die，bad，ignore，reset
      ok 模块通过，继续检查
      done 模块通过，返回最后结果给应用
      bad 结果失败，继续检查
      die 结果失败，返回失败结果给应用
      ignore 结果忽略，不影响最后结果
      reset 忽略已经得到的结果
  • module-path: 模块路径
    + 相对路径：
    /lib64/security目录下的模块可使用相对路径
    如：pam_shells.so、pam_limits.so
    + 绝对路径：
  • 模块通过读取配置文件完成用户对系统资源的使用控制
    /etc/security/*.conf
    注意：修改PAM配置文件将马上生效
    建议：编辑pam规则时，保持至少打开一个root会话，以防止root身份验证错误
    Arguments 用来传递给该模块的参数

pam文档说明

/user/share/doc/pam-*
rpm -qd pam
man 模块名 (如man pam_rootok)
Linux-PAM系统管理员指南:《The Linux-PAM System Administrators’ Guide》

PAM模块示例

模块：pam_shells

  • 功能：检查有效shell
  • man pam_shells
  • 示例：不允许使用/bin/csh的用户本地登录
vim /etc/pam.d/login
      添加 auth required pam_shells.so
vim /etc/shells
      去掉 /bin/csh

#添加用户，指定为csh
useradd –s /bin/csh testuser
#testuser将不可登录
tail /var/log/secure

模块：pam_securetty.so

  • 功能：只允许root用户在/etc/securetty列出的安全终端上登陆
  • 示例：允许root在telnet登陆
vi /etc/pam.d/remote
      #将下面一行加上注释
      #auth required pam_securetty.so 
#或者/etc/securetty文件中加入：pts/0,pts/1…pts/n

模块：pam_nologin.so

  • 功能：
    1. 如果/etc/nologin文件存在,将导致非root用户不能登陆
    2. 如果用户shell是/sbin/nologin 时，当该用户登陆时，会显示/etc/nologin文件内容，并拒绝登陆

模块：pam_limits.so

  • 功能：在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用内存空间
  • 修改限制的实现方式：
    (1) ulimit命令，立即生效，但无法保存
    -n 每个进程最多的打开的文件描述符个数
    -u 最大用户进程数
    -S 使用 soft（软）资源限制
    -H 使用 hard（硬）资源限制
    (2) 配置文件：/etc/security/limits.conf, /etc/security/limits.d/*.conf
    配置文件：每行一个定义:<domain> <type> <item> <value>
    1. <domain> 应用于哪些对象
    Username 单个用户
    @group 组内所有用户
    * 所有用户
    2. <type> 限制的类型
    Soft 软限制,普通用户自己可以修改
    Hard 硬限制,由root用户设定，且通过kernel强制生效
    - 二者同时限定
    3. <item> 限制的资源
    nofile 所能够同时打开的最大文件数量,默认为1024
    nproc 所能够同时运行的进程的最大数量,默认为1024
    4. <value> 指定具体值
     
  • 命令：ulimit
选项意义示例解释
-H设置硬资源限制，一旦设置不能增加ulimit -Hs 64限制线程栈大小为64K
-S设置软资源限制，设置后可以增加ulimit -Sn 32限制最大32个文件描述符
-a显示当前所有的limit信息ulimit -a显示当前所有的limit信息
-c最大的core文件的大小，单位blocksulimit -c unlimited对生成的core文件不限制
-d进程最大的数据段大小，单位Kulimit -d unlimited不限制进程数据段大小
-f最大可以加锁内存大小，单位blocksulimit -f 2048限制进程可以创建最大文件为2048blocks
-l最大可加锁内存大小，单位Kulimit -l 32限制最大可加锁内存大小为32K
-m最大内存大小，单位Kulimit -m unlimited对最大内存不做限制
-n可以打开最大的文件描述符数量ulimit -n 128可以最大使用128个文件描述符
-p管道缓冲区大小，单位Kulimit -p 512限制管道缓冲区大小为512K
-s线程栈大小，单位Kulimit -s 512限制线程栈大小为512K
-t最大的CPU占用时间，单位秒ulimit -t unlimited对最大CPU占用时间不限制
-u用户最大可用进程数ulimit -u 64限制用户最多可用64个进程
-v进程最大可用虚拟内存，单位Kulimit -v 2000限制最大可用2000K虚拟内存
  • 示例：限制用户最多打开的文件数和运行进程数
[root]$ vim /etc/pam.d/system-auth
      session required pam_limits.so
[root]$ vim /etc/security/limits.conf
      apache – nofile 10240 #用户apache可打开10240个文件
      student hard nproc 20 #用户student不能运行超过20个进程
  • 生产案例
      *  soft  core  unlimited
      *  hard  core  unlimited
      *  soft  nproc  1000000
      *  hard  nproc  1000000
      *  soft  nofile  1000000
      *  hard  nofile  1000000
      *  soft  memlock  32000
      *  hard  memlock  32000
      *  soft  msgqueue  8192000
      *  hard  msgqueue  8192000
【Linux系统进阶】Linux用户及组认证机制原理及passwd,chpasswd,chage讲解并结合特殊权限suid/sgid
走向CTO的路上...
07-17 250
SUID权限允许普通用户在执行具有该权限的程序时获得超级用户权限，有效地提高了用户对系统资源的掌控能力。提高普通用户权限：管理员可以使用SUID权限来提供程序所需的几乎所有权限，例如，用户需要访问特定目录下的文件或程序，但这些文件或程序只能由特定用户组或root用户访问。设置密码策略：管理员可以使用chage命令来设置用户密码的最短及最长有效期以及过期前警告时间，从而更好地增强系统安全性。管理员修改用户密码：管理员可以使用passwd、chpasswd命令来修改和重置用户密码。
Linux下使用pam_python实现SSH的双因子认证登录
chenglanqi6606的博客
05-09 1304
引言 Linux系统管理员（System Administrator，SA）经常碰到的问题就是放在公网的服务器经常被人猜测密码，每天都可以从系统日志里看到探测密码的信息，再加上最近很多厂商泄露了包含用户密码的数据库，撞库的行为也逐步开始转移到SSH上。 最初SA的防御手段一般是限制IP地...
Linux中的进程管理和性能相关工具的使用
FaMeiDeXiong的博客
03-22 882
Linux系统状态的查看及管理工具：pstree, ps, pidof, pgrep, top, htop, glance, pmap, vmstat, dstat, kill, pkill, job, bg, fg, nohup 进程树 pstree pstree 可以用来显示进程的父子关系，以树形结构显示 格式： pstree [OPTION] [ PID | USER ] 常用选项： -p 显示PID -T 不显示线程thread,默认显示线程 -u 显示用户切换
linux操作系统PAM模块实例
11-06
linux操作系统PAM模块实例，linux操作系统PAM模块实例。
Linux中pam认证详解,linux中pam认证解析
weixin_39686634的博客
05-15 396
pam认证机制：简单来说就是linux系统采取的这一种对不同用户以及系统中的不同服务进行的安全认证机制。认证流程：linux系统首先确定所需认证的服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib/security下)进行安全认证。举个例子，我们登陆的时候，会向 PAM 发出验证要求的通知， PAM 经过一连串的验证后，将验证的结果回报给该程序，然后...
Linux-PAM认证机制
weixin_34387468的博客
12-08 179
http://www.cnblogs.com/marility/articles/9235522.html https://www.jianshu.com/p/342c05b51b7c https://www.jianshu.com/p/ac3e7009a764
深入 Linux PAM 体系结构
Louis的专栏
08-21 2063
深入 Linux PAM 体系结构内容：什么是Linux-PAMPAM 的分层体系结构第一层：模块层第二层：应用接口层配置文件口令映射结束语关于作者信息反馈在 Linux 专区
linux-PAM
weixin_30387799的博客
02-13 506
PAM(PluggableAuthenticationModules)即可插拔式认证模块，一种用户级别的认证方式，它也是当前Linux服务器普遍使用的认证方式。 PAM认证原理：参考资料来自http://blog.51cto.com/tyjhz/1436175 　　一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so。PAM认证首先要确定那一项服务，然后加载相应...
Rufus Linux进阶使用：系统性能与安全设置优化秘籍
[Rufus Linux进阶使用：系统性能与安全设置优化秘籍](https://www.trickyenough.com/wp-content/uploads/2023/03/WhatsApp-Image-2023-03-09-at-1.12.52-AM-2-1024x576.jpeg) # 1. Rufus Linux简介及安装配置 ## ...
权限管理进阶：掌握Linux用户权限控制与锁定机制
[权限管理进阶：掌握Linux用户权限控制与锁定机制](https://www.linuxcool.com/wp-content/uploads/2023/08/1690977843125_0.png) # 摘要 Linux权限管理是保障系统安全的关键机制。本文首先概述了Linux权限管理的...
Linux学习进阶：张勤&鲜学丰高清版教程
- 用户认证和授权机制，如PAM（Pluggable Authentication Modules）。 #### 11. Linux系统服务和守护进程 - 服务管理工具`systemctl`的使用。 - 常见系统服务如`sshd`、`httpd`、`mysql`的启动、停止和重启。 - ...
Linux系统 PAM
elihe2011的专栏
03-15 820
PAM: Pluggable Authentication Modules 插件式鉴别模块，由Sun提出的一种认证机制。它通过提供一些动态链接库和一套统一的API，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系统中添加新的认证手段。 PAM体系结构 app1 app2 app3
Linux--PAM机制
TYJhhxx的博客
06-26 4717
一、PAM是什么? 二、PAM模块设置语法 2.1 /etc/pam.d/里面的配置文件 2.1.1第一个字段:验证类别(Type) 2.1.2第二个字段:验证的控制标识(control flag) 三、常用模块简介 总结
Linux下PAM模块学习总结
wo4owen的博客
09-30 1131
转载于： https://www.cnblogs.com/kevingrace/p/8671964.html 如有侵权请联系删除 Linux下PAM模块学习总结 在Linux中执行有些程序时，这些程序在执行前首先要对启动它的用户进行认证，符合一定的要求之后才允许执行，例如login, su等。在Linux中进行身份或是状态的验证程序是由PAM来进行的，PAM（Pluggable Authentication Modules）可动态加载验证模块，因为可以按需要动态的对验证的内容进行变更，所以可以大.
Linux-PAM简介
thinker
11-06 1298
Linux-PAM简介 注： PAM的implementation在不同的＊Nix系统上稍有不同，这里我以RedHat Enterprise Linux 4为蓝本。如果你系统的PAM配置有不同，请安实际情况配置。 Linux-PAM（Pluggable Authentication Modules). 有人翻译成“可插拔式认证模块”, 或是“可插入式认证模块”. 它表示一种性能健硕而且灵
关于Linux中PAM（Pluggable Authentication Modules）限制说明
qq_43714097的博客
04-26 930
是一个配置文件，用于管理Linux系统中的PAM（Pluggable Authentication Modules）限制。PAM限制是一种机制，用于限制用户或进程在系统上使用的资源，例如CPU时间、内存、文件描述符等。通过编辑文件，您可以定义在系统上应用的PAM限制规则，以确保系统资源得到最佳使用。
Linux-PAM认证模块
最新发布
qq_55914897的博客
09-06 684
当pam_unix验证模块与auth验证类型一起使用时，此模块可以使用的选项有debug、audit、use_first_pass、 try_first_pass、nullok和nodelay，主要功能是验证用户密码的有效性，在缺省情况下（即不带任何参数时），该模块的主要功能是 禁止密码为空的用户提供服务；在/etc/pam.d/下的文件中，与服务名称相对应的文件，为该服务的pam验证文件，例如服务为sshd，则在/etc/pam.d下存在 sshd这个文件，里面包含sshd验证规则。
深入Linux PAM 体系结构
flyoxs的专栏
10-25 979
本文阐述了 Linux-PAM 的概念，同时还与读者一道分析了 Linux-PAM 的体系结构，作者希望籍此以加深读者对 Linux-PAM 的理解，以便对其有更深层的把握。   一、什么是Linux-PAM   为安全起见，计算机系统只有经过授权的合法用户才能访问，在这里如何正确鉴别用户的真实身份是一个关键的问题。所谓用户鉴别，就是用户向系统以一种安全的方式提交自己的身份证明，然后由系统确认用户的身份是否属实的过程。换句话说，用户鉴别是系统的门户，每个用户进入到系统中都必须经过鉴别这一道关。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

十三y

你的鼓励就是我创作最大的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值