是否可以在 pam_ldap 身份验证期间从 LDAP 提取附加信息？

Question

当用户首次使用pam_ldap.但是，我似乎想不出一种方法可以在不提示用户登录后重新输入其 ldap 密码的情况下完成这项工作。

我想过使用pam_exec，但我不知道客户端如何pam_exec在不首先知道用户的 LDAP 密码的情况下对 LDAP 进行身份验证。

还有其他可能的解决方案吗？我知道 kerberos 可能更适合于此，但我读到的有关其复杂性的所有内容都让我像躲避瘟疫一样避免它。