Linux运维篇-PAM安全模块配置

PAM是什么？

PAM（可插入认证模块）是UNIX操作系统上一个实现模块化的身份验证的服务。当程序需要对用户进行身份验证时加载并执行。PAM文件通常位于/etc/pam.d目录中。
而Linux-PAM，是linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。

需要注意的是，/etc/pam.d目录中的文件默认只有root管理员用户有权限修改，也可针对root本身做一些配置，调整前需要了解每一个配置项的含义，防止出现乌龙配置，一旦配置失误错禁了root身份验证，导致系统无法登录，只能到单用户或救援模式紧急恢复。

常见的配置文件

在redhat中，pam.d目录下有以下内容：

重要文件介绍：

文件名	描述
login	本地登陆的认证方式
sshd	通过ssh服务远程登陆的认证方式
sudo	使用sudo提权时的认证方式
common-auth	通用身份认证模块
common-password	通用密码规则模块
common-account	通用账户管理模块，主要定义了账户权限的相关规则-
common-session	通用会话管理模块

pam认证的构成

每一行大致可以区分为三个字段：

 认证类型    控制类型    PAM模块及其参数

第一列代表PAM认证模块类型

auth：认证、授权（检查用户的名字、密码是否正确

account：检查用户的帐户是否到期、禁用等

session：控制会话

password：控制用户修改密码过程

第二列代表PAM控制标记

required：必须通过此认证，否则不再往下认证下去，直接退出

requisite：必须通过认证，但以后还有机会，可以往下认证

sufficient：一经通过，后面的不再认证（只要通过这个条件则直接通过）

optional：可选项，通不通过均可

第三列代表PAM模块和PAM模块的参数，默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径
常用pam模块：

名称	描述
pam_access.so	控制访问者的地址与帐号的名称
pam_listfile.so	控制访问者的帐号名称或登陆位置
pam_limits.so	控制为用户分配的资源
pam_rootok.so	对管理员（uid=0）无条件通过
pam_userdb.so	设定独立用户帐号数据库认证

常见配置修改

root用户登录设置

修改文件 /etc/pam.d/system-auth
在 pam_env.so下一行添加

pam_tally2.so onerr=fail deny=3 unlock_time=100 even_deny_root root_unlock_time=100

• onerr=fail 表示定义了当出现错误时的缺省返回值；
• even_deny_root 表示也限制root用户；
• deny 表示设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户；
• unlock_time 表示设定普通用户锁定后，多少时间后解锁，单位是秒；
• root_unlock_time 表示设定root用户锁定后，多少时间后自动解锁否则手动，单位是秒；

ssh远程登录限制

修改文件 /etc/pam.d/sshd
在 pam_sepermit.so下一行添加

pam_tally2.so onerr=fail deny=3 unlock_time=100 even_deny_root root_unlock_time=100

pam_tally2 –u 账号 查看失败登录

pam_tally2 --user <用户名> --reset 重置失败登录（需要管理员账户执行）