![pam_ldap.so 先于 pam_unix.so?有可能吗?](https://linux22.com/image/601859/pam_ldap.so%20%E5%85%88%E4%BA%8E%20pam_unix.so%EF%BC%9F%E6%9C%89%E5%8F%AF%E8%83%BD%E5%90%97%EF%BC%9F.png)
我们有几台带有 PAM+LDAP 的服务器。
标准配置(见http://arthurdejong.org/nss-pam-ldapd/setup或者http://wiki.debian.org/LDAP/PAM)。例如,/etc/pam.d/common-auth 包含:
auth sufficient pam_unix.so nullok_secure
auth requisite pam_succeed_if.so uid >= 1000 quiet
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
当然,它适用于 ldap 和本地用户。但每次登录都会先转到 pam_unix.so,失败,然后才成功尝试 pam_ldap.so。因此,我们为每个 ldap 用户登录都提供了一条众所周知的失败消息:
pam_unix(<some_service>:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=<some_host> user=<some_user>
我每天最多有 60000 条这样的日志消息,我想更改配置,以便 PAM 首先尝试 ldap 身份验证,并且只有当身份验证失败时才尝试 pam_unix.so(我认为它可以提高服务器的 i/o 性能)。但如果我将 common-auth 更改为以下内容:
auth sufficient pam_ldap.so use_first_pass
auth sufficient pam_unix.so nullok_secure
auth required pam_deny.so
然后我就无法再使用本地(非 ldap)用户登录(例如通过 ssh)。
有人知道正确的配置吗?为什么 Debian 和 nss-pam-ldapd 一开始默认就有 pam_unix.so?真的没有办法改变它吗?
先感谢您。
PS 我不想禁用日志,但首先想设置 ldap 身份验证。
答案1
hayalci 在评论中回答了这个问题:
auth sufficient pam_ldap.so
auth sufficient pam_unix.so nullok_secure try_first_pass
auth required pam_deny.so
答案2
如果本地用户和网络用户位于不同的 uid 范围内(这是一个好主意),您可以添加如下一行(假设本地用户位于 0-4999 范围内):
auth [success=1 default=ignore] pam_succeed_if.so uid >= 5000 quiet
行之前pam_unix.so
。如果 uid >= 4999,它将传递 1 行。它将直接转到 pam_ldap.so。
如果之前没有要求输入密码的行,则您必须更改pam_ldap.so use_first_pass
为pam_ldap.so
或。pam_ldap.so try_first_pass
pam_ldap.so
我会测试:
auth [success=1 default=ignore] pam_succeed_if.so uid >= 4999 quiet
auth sufficient pam_unix.so nullok_secure
auth requisite pam_succeed_if.so uid >= 4999 quiet
auth sufficient pam_ldap.so
auth required pam_deny.so
答案3
你的:
auth sufficient pam_unix.so nullok_secure
auth requisite pam_succeed_if.so uid >= 1000 quiet
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
更改为:(use_first_pass 表示使用前一个模块即 pam_ldap.so 的密码)
auth sufficient pam_ldap.so
auth requisite pam_succeed_if.so uid >= 1000 quiet
auth sufficient pam_unix.so use_first_pass nullok_secure
auth required pam_deny.so
缺点(对于 hpux):如果你的 ldap 服务器挂了(同步攻击;参见https://fedorahosted.org/389/ticket/47554) 您的客户端也会挂起,这种情况发生在 HPUX 服务器上(不是 Linux 和 AIX;hpux 进程名为 ldapclientd)。这意味着所有登录(甚至从 ILO/MP 以 root 身份登录)都被阻止。解决方案是重新启动服务器 :-(。所以我更喜欢在 hpux 上使用 pam_unix 而不是 pam_ldap
答案4
我想说这个解决方案对我有用!我在使用 free-ipa 时遇到了同样的问题,在我的 /etc/pam.d/system-auth 文件中使用此设置避免了额外的“身份验证失败”错误:
auth required pam_env.so
auth sufficient pam_sss.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 1000 quiet_success
auth required pam_deny.so