【PAM】 How to Configure and Use PAM in Linux？

一、什么是PAM

PAM（Pluggable Authentication Modules ）是由Sun提出的一种认证机制。

它通过提供一些动态链接库和一套统一的API，将系统提供的服务 和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序，同时也便于向系 统中添加新的认证手段。

PAM最初是集成在Solaris中，目前已移植到其它系统中，如Linux、SunOS、HP-UX 9.0等。

二、PAM配置文件

PAM的配置是通过单个配置文件/etc/pam.conf。

RedHat还支持另外一种配置方式，即通过配置目录/etc/pam.d/，且这种的优先级要高于单 个配置文件的方式。

/etc/pam.d/目录下的每个文件的名字对应服务名，例如ftp服务对应文件/etc/pam.d/ftp。

如果名为service-name的服务所对应的配置文件/etc/pam.d/service-name不存 在，则该服务将使用默认的配置文件/etc/pam.d/other。

service-name 服务的名字，比如telnet、login、ftp等，服务名字“other”代表所有没有在该文件中明确配置的其它服务。

# ll /etc/pam.d/

PAM该文件是由如下列所组成的：

module-type    control-flag    module-path    arguments

#  cat   /etc/pam.d/sshd

module-type 模块类型有四种：auth、account、session、password，即对应PAM所支持的四种管理方式。

同一个服务可以调用多个PAM模块进行认证，这些模块构成一个stack。

control-flag 用来告诉PAM库该如何处理与该服务相关的PAM模块的成功或失败情况。

它有四种可能的值：required，requisite，sufficient，optional。

required 表示本模块必须返回成功才能通过认证，但是如果该模块返回失败的话，失败结果也不会立即通知用户，而是要等到同一stack 中的所有模块全部执行完毕再将失败结果返回给应用程序，可以认为是一个必要条件。

requisite 与required类似，该模块必须返回成功才能通过认证，但是一旦该模块返回失败，将不再执行同一stack内的任何模块，而是直 接将控制权返回给应用程序，是一个必要条件。

sufficient 表明本模块返回成功已经足以通过身份认证的要求，不必再执行同一stack内的其它模块，但是如果本模块返回失败的话可以 忽略。可以认为是一个充分条件。

optional表明本模块是可选的，它的成功与否一般不会对身份认证起关键作用，其返回值一般被忽略。

对于control-flag，从Linux-PAM-0.63版本起，支持一种新的语法，具体可参看LinuxPAM文档。

module-path 用来指明本模块对应的程序文件的路径名，一般采用绝对路径，如果没有给出绝对路径，默认该文件在目录/usr/lib64/security下面。

# ll /usr/lib64/security

arguments 是用来传递给该模块的参数。

一般来说每个模块的参数都不相同，可以由该模块的开发者自己定义，但是也有以下几个共同 的参数：

debug    该模块应当用syslog( )将调试信息写入到系统日志文件中。

no_warn    该模块不应把警告信息发送给应用程序。

use_first_pass  该模块不能提示用户输入密码，而应使用前一个模块从用户那里得到的密码。

try_first_pass   该模块首先应当使用前一个模块从用户那里得到的密码，如果该密码验证不通过，再提示用户输入新的密码。

use_mapped_pass   该模块不能提示用户输入密码，而是使用映射过的密码。

expose_account   该模块 允许显示用户的帐号名等信息，一般只能在安全的环境下使用，因为泄漏用户名会对安全造成一定程度的威胁。

三、设置操作系统用户的密码复杂度

CentOS7.x  密码复杂度通过/etc/pam.d/system-auth这个文件来实现，我们先看一下默认有什么内容：

# cat /etc/pam.d/system-auth

在这个文件中我们会用到pam_pwquality.so这个模块。

pam_pwquality.so是一个常用并且非常重要的PAM模块，该模块主要的作用是对用户密码的强健性进行检测，即检查和限制用户自定义密码的长度、复杂度和历史等，如不满足上述强度的密码将拒绝使用！

pam_pwquality.so比较重要和难于理解的是它的一些参数和计数方法，其常用参数包括： 　

debug       将调试信息写入日志

type=xxx    当添加/修改密码时，系统给出的缺省提示符是“New UNIX password:”以及“Retype UNIX password:”，而使用该参数可以自定义输入密码的提示符，比如指定type=your own word

retry=N        定义登录/修改密码失败时，可以重试的次数

Difok=N       定义新密码中必须有几个字符要与旧密码不同，但是如果新密码中有1/2以上的字符与旧密码不同时，该新密码将被接受

minlen=N     定义用户密码的最小长度

dcredit=N     定义用户密码中必须包含多少个数字

ucredit=N     定义用户密码中必须包含多少个大写字母

lcredit=N      定义用户密码中必须包含多少个小些字母

ocredit=N     定义用户密码中必须包含多少个特殊字符（除数字、字母之外）

根据需要将密码策略制定如下：必须包含至少一个小写字母、数字、特殊字符，密码长度至少8位

# cp  cat /etc/pam.d/system-auth   /root/system-auth.bak

#  vim  /etc/pam.d/system-auth

###############################################################

assword requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= Difok=3 minlen=8 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

################################################################

注：  *credit=-1 表示至少有一个

配置完密码复杂度，我们还需要在/etc/login.defs配置密码有效期。

其中的PASS_MIN_LEN这个参数在我们配置了上一个文件,在这里的配置就不起作用了。

#  cat   /etc/login.defs 

PASS_MAX_DAYS   99999   密码的最大有效期, 99999:永久有期

PASS_MIN_DAYS   0           是否可修改密码,0可修改,非0多少天后可修改

PASS_MIN_LEN    5            密码最小长度,使用pam_cracklib module,该参数不再有效

PASS_WARN_AGE   7         密码失效前多少天在用户登录时通知用户修改密码

#  cp   /etc/login.defs    /root/login.defs.bak

#  vim   /etc/login.defs    

根据需要更改 PASS_MAX_DAYS

SSH 登录时出现如下错误：requirement "uid >= 1000" not met by user "root" 怎么处理？

通过 SSH 客户端或 管理终端 登录服务器。

通过 cat 等指令查看异常登录模式，对应的 PAM 配置文件。

/etc/pam.d/login               控制台（管理终端）对应配置文件

/etc/pam.d/sshd               ssh登录对应配置文件

/etc/pam.d/system-auth   系统全局配置文件

注：每个启用了 PAM 的应用程序，在 /etc/pam.d 目录中都有对应的同名配置文件。

例如，login 命令的配置文件是 /etc/pam.d/login，可以在相应配置文件中配置具体的策略。

检查前述配置文件中，是否有类似如下配置信息：

auth required pam_succeed_if.so uid >= 1000

如果需要修改相关策略配置，在继续之前建议进行文件备份。

使用 vi 等编辑器，修改相应配置文件中的上述配置，或者整个删除或注释（在最开头添加 # 号）整行配置：

#  cp /etc/pam.d/system-auth   /root/pam.d/system-auth.bak

#  vim /etc/pam.d/system-auth 

#####################################################

auth required pam_succeed_if.so uid <= 1000  quiet_success

######################################################

四、密码修改验证

#  ssh  [email protected]

#  useradd Michael 

#  passwd  Michael 

# echo "123456" | passwd --stdin Michael 

#  ssh  [email protected]

# passwd  

当设置完成这些之后我们可以去验证一下系统中已经存在的用户在设置密码的时候是否会强制验证密码复杂度，不过需要先退出root，因为root用户并不会受这些限制，它可以设置任意的密码。

从上可以看出，root用非交互式的方式设置密码，可以绕过密码强度的设置机制。

五、参考

Linux-PAM Documentation

http://www.linux-pam.org

保护 SSH 的三把锁

https://www.ibm.com/developerworks/cn/aix/library/au-sshlocks/index.html

PAM (简体中文)

https://wiki.archlinux.org/index.php/PAM_(%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87)

了解和配置 PAM

https://www.ibm.com/developerworks/cn/linux/l-pam/index.html

深入 Linux PAM 体系结构

https://www.ibm.com/developerworks/cn/linux/l-cn-pam/index.html

Red Hat USING PLUGGABLE AUTHENTICATION MODULES (PAM)

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/managing_smart_cards/pluggable_authentication_modules

How to Configure and Use PAM in Linux

https://www.tecmint.com/configure-pam-in-centos-ubuntu-linux

HOW TO  User PAM  Authentication

http://tldp.org/HOWTO/User-Authentication-HOWTO/x115.html

通过 SSH 客户端或 管理终端 登录服务器。

通过 cat 等指令查看异常登录模式，对应的 PAM 配置文件。说明如下：

文件 功能说明

/etc/pam.d/login 控制台（管理终端）对应配置文件

/etc/pam.d/sshd 登录对应配置文件

/etc/pam.d/system-auth 系统全局配置文件

注：每个启用了 PAM 的应用程序，在 /etc/pam.d 目录中都有对应的同名配置文件。例如，login 命令的配置文件是 /etc/pam.d/login，可以在相应配置文件中配置具体的策略。

检查前述配置文件中，是否有类似如下配置信息：

auth required pam_succeed_if.so uid >= 1000

如果需要修改相关策略配置，在继续之前建议进行文件备份。

使用 vi 等编辑器，修改相应配置文件中的上述配置，或者整个删除或注释（在最开头添加 # 号）整行配置，比如：

auth required pam_succeed_if.so uid <= 1000 # 修改策略