Linux 第34天 pam
时间: 20180823
目录
NSSWITCH 名称解析
PAM 认证机制
NSSWITCH
nsswitch是network service switch的简称，叫做网络服务转换，主要用于调整网络服务的名称解析机制。一台主机的
每种服务都有不同的认证方式，如基于密码认证，指纹验证，虹膜验证等，这些服务的认
证所采用哪种方式?这个便是由nssiwtch来定义一个主机的某个服务所采用的验证的方式
nswitch是一个认证框架，即每个服务都可以调用此框架来实现验证功能，目的是为了统
一，这样有需要认证的服务，应用都使用统一的调用接口来调用即可。每个服务提供不同
的接口，但是每种接口都需要用专用的驱动(库文件): 也可以采用一个统一的框架，此
框架只提供一个接口，不同的应用程序可以在此框架之上定义不同的数据集(认证机制)。
很显然采用统一的框架结构很方便的进行统一管理，而NSS就是这个框架。
NSS的配置文件/etc/nsswitch.conf
格式为 解析库: 解析库类型
如 密码认证方式 passwd: files
表示密码的认证方式为本地文件认证方式。也可以根据自己的需求来更改认证方式
如passwd: ldap 如果想采用多种则可以再后边再跟，则会采取顺序先后进行认证
如果第一个所指定的认证不成功，则会接着找下一种认证方式里去查，如果成功
则直接返回。
在解析库里查询时，查询是有返回值的
SUCCESS: service ok, found name
NOTFOUND: service ok, name not found
UNAVAIL: service not avaliable
TRYAGAIN: temporary service failure
默认地动作为在第一次遇到SUCCESS状态之后，即return，否则continue，dns解析
过程就是这样。当然我们还可以自定义这些动作，如系统账号密码认证过程，当ldap
服务正常时如果验证后没有找到则直接返回结果，而不会进行后续的其它的解析库
只有当ldap验证服务出现故障时，才会通过本地账号密码文件进行认证，写法如下
passwd: ldap(NOTFOUND=return) files
PAM (Pluggable Authentication Modules)
可插入式认证模块，NSS是用来实现名称解析的，如同上面所讲的在密码认证过程当中
，NSS负责指定通过哪种方式去验证用户身份，而PAM就是接下来要去实现认证工作的
一个模块。同NSS一样每一种服务都用到不同的认证方式，因此就需要不同的认证库，认
证库可以是文件，数据库，ldap，nis等，同样这些认证库的系统模块位于
/lib64/security目录下的所有库文件。NSS定义了密码存储的位置，pam就要能够与对
应的存储接口进行通信，如ldap、shadow等，pam还可以通过自己的一些权限指派模块
来限制一些额外的资源，在pam的配置文件当中为每种应用定义其需要用到的模块，包括
驱动、授权机制等等。
pam的主配置文件为/etc/pam.conf 其它次配置文件位于/etc/pam.d/目录下的所有文
件，该目录下的文件为每个应用定义专用的配置。需要注意的是其中/etc/pam.conf在
centos6就已经取消掉了使用的是/etc/pam.d目录下对应的服务配置文件其格式为:
type control module-path module-arguments
type功能包括: auth, account, password, session
account: 与账号管理相关的非认证功能
auth: 认证和授权
password: 用户修改密码时使用
session: 用户获取到服务之前或使用服务完成之后要进行的一些附属性操作
control 同一种功能的多个检查之间如何进行组合，有两种机制：
用一个关键词来定义
使用一到多组 return value=action
简单的机制有
required
requisite
sufficient
optional
include 使用其它的配置文件中同样功能的相关定义来进行检查
复杂的机制
[value1=action1 value2=action2]
value 指此项检查的返回值，其可能的取值有多种如success等
action 采取的操作，其可能的取值常用的有6种如ok, done, die, ignore
bad, reset
module-path
模块路径
相对路径/lib64/security
绝对路径/path/module
module-arguments 模块参数
这里不再多做讲解了，个人感觉能把这个理解了，你就完全了解了linux是如何实现一个
用户的登录认证机制，以及可以根据自己的需求来修改这些参数了，我查了一下官方文档
但是不是特别理解，这里不作详解。文档可参考
Red_Hat_Enterprise_Linux-7-System-Level_Authentication_Guide-en-US
里边有一章讲解
USING PLUGGABLE AUTHENTICATION MODULES (PAM) 表示个人理解不深入，不太懂模块
所以只能研究到此哈哈。
