![在 CentOS 7 上使用 pam_ldap 和 ssh 时抑制奇怪的“身份验证失败”日志](https://linux22.com/image/714416/%E5%9C%A8%20CentOS%207%20%E4%B8%8A%E4%BD%BF%E7%94%A8%20pam_ldap%20%E5%92%8C%20ssh%20%E6%97%B6%E6%8A%91%E5%88%B6%E5%A5%87%E6%80%AA%E7%9A%84%E2%80%9C%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%A4%B1%E8%B4%A5%E2%80%9D%E6%97%A5%E5%BF%97.png)
我们已经在 CentOS 7 上成功设置了具有 LDAP 身份验证的 ssh 守护程序。
但是即使用户成功登录(第一行),/var/log/secure 中也会出现奇怪的日志消息:
Dec 5 08:28:13 HOSTNAME.SERVER sshd[11195]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=HOSTNAME.CLIENT user=USERNAME
Dec 5 08:28:13 HOSTNAME.SERVER sshd[11195]: Accepted password for USERNAME from IP.CLIENT port 25423 ssh2
Dec 5 08:28:13 HOSTNAME.SERVER sshd[11195]: pam_unix(sshd:session): session opened for user USERNAME by (uid=0)
我们如何才能抑制“身份验证失败”日志?
以下是我们猜测相关的设置文件:
/etc/pam.d/系统身份验证-ac
auth required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 1000 quiet_success
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
account required pam_unix.so broken_shadow
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 1000 quiet
account [default=bad success=ok user_unknown=ignore] pam_ldap.so
account required pam_permit.so
password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password sufficient pam_ldap.so use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
-session optional pam_systemd.so
session optional pam_mkhomedir.so umask=0077
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_ldap.so
/etc/pam.d/密码验证
auth required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 1000 quiet_success
auth sufficient pam_ldap.so use_first_pass
auth required pam_deny.so
account required pam_unix.so broken_shadow
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 1000 quiet
account [default=bad success=ok user_unknown=ignore] pam_ldap.so
account required pam_permit.so
password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password sufficient pam_ldap.so use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
-session optional pam_systemd.so
session optional pam_mkhomedir.so umask=0077
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_ldap.so
答案1
根据 Red Hat 知识库文章881103
这是预期的行为,
pam_unix
并且该消息是正常且无害的。没有配置选项
pam_unix
可以停止记录这些消息。默认 pam 配置首先尝试使用来验证用户
pam_unix
,pam_ldap.so
如果验证pam_unix
失败,则使用模块来验证用户。
如果您想从日志中删除这些默认故障错误,本文还将展示可能的配置更改。