如果只允许公钥登录，那么在 OpenSSH 中禁用 PAM 有什么缺点？

Question

/etc/ssh/sshd_config默认情况下有以下行

UsePAM yes

我阅读了可用的文档并得出结论，如果我仅使用公钥登录，则不会使用 PAM。如果我禁用 PAM，可能会产生什么负面后果？例如

UsePAM no

Answer 1

PAM 不仅提供身份验证，还提供授权和会话服务。您可能希望保留它，因为它增加了相当多的灵活性。

将调用 PAM 来进行成功的公钥认证，因为仍然需要检查会话和帐户服务。

PAM 可以完成 SSH 无法完成的任务。以下列表并不详尽：

• 如果 SELinux 未处于强制模式 (如果这是您的意愿)，则拒绝用户访问。
• 设置资源限制，例如允许的最大进程数和最大登录数。
• 根据用户和远程源 IP 灵活地拒绝用户（在 SSH 中也可以，但在 PAM 中相当简洁）
• 设置您可能想要传递的一系列环境变量。
• 如果用户主目录不存在，则为其创建一个主目录。
• 根据用户访问尝试的时间/日期拒绝用户。
• 拒绝不活跃的用户。
• 拒绝用户使用无效的 shell。
• 设置输入的键盘记录功能。