1. 1
14 PAM14 PAM
P3 Intranet servicesP3 Intranet services

2. 2
Nội dungNội dung
 Pluggable Authentication Modules (PAM).
 Giới thiệu
 Cấu hình

3. 3
Pluggable Authentication ModulesPluggable Authentication Modules
 Mỗi ứng dụng có một kiểu xác thực => phức tạp hệ
thống.
 Pluggable Authentication Modules – PAM: cung cấp
một phương thức xác thực tập trung.
 Ứng dụng không trực tiếp xác thực, mà chuyển
request cho PAM, yêu cầu xác thực.
 PAM làm việc và trả về kết quả xác thực cho ứng
dụng.
 Ứng dụng quyết định cho phép user login hay không.

4. 4
PAM (tt)PAM (tt)
 Theo cách hiểu của Windows, PAM đóng vai trò như
DLL đối với các ứng dụng khác.
 Theo cách hiểu của Linux, PAM là một thư viện.
 PAM cung cấp nhiều module xác thực /lib/security từ
đơn giản đến phức tạp.
 Khi ứng dụng cần xác thực theo phương thức nào thì
gọi phương thức đó của trong thư viện của PAM.
 Thông tin về các module xác thực của PAM:
 man [pam_module]

5. 5
PAM (tt)PAM (tt)
 /lib/security: những module xác thực của
PAM.
 /etc/security: file cấu hình tương ứng của
từng module xác thực của PAM.
 /etc/pam.d: file cấu hình của những ứng dụng
sử dụng PAM xác thực.
 => mỗi ứng dụng xác thực bằng PAM có một
file cấu hình trong /etc/pam.d

6. 6
PAM (tt)PAM (tt)
 module_type control_flag module_path arguments
 module_type: nhận một trong 4 giá trị: auth, account,
session, password.
 control_flag: cấu hình cách xử lí của ứng dụng với
kết quả xác thực do PAM trả về.
 module_path: đường dẫn cụ thể của module xác
thực.
 arguments: các tham số khác.

7. 7
PAM (tt)PAM (tt)
module_type Mô tả
auth Ứng dụng yêu cầu user phải nhập
password.
account Không thực hiện chứng thực, dựa vào
các yếu tố khác để quyết định user có
được login không: login từ đâu, vào giờ
nào…
session Chỉ định những thao tác cần thực hiện
trước hoặc sau khi user login.
password Cho phép user đổi password.

8. 8
PAM (tt)PAM (tt)
control_flag Mô tả
required Module phải chứng thực thành công,
nếu không kết quả fail sẽ được gởi về.
requisite Nếu module này fail, kết quả sẽ được trả
về ngay lập tức, không sử dụng đến các
module sau.
sufficient Nếu module này thành công, và không
có module required nào nữa, kết quả
thành công sẽ được trả về.
optional Cho phép tiếp tục kiểm tra module khác,
dù module này bị fail.

9. 9
PAM (tt)PAM (tt)
argument Mô tả
debug Log lại thông tin debug
no_warn Không gởi msg waring đến ứng dụng.
use_first_pass Lưu lại password, để sử dụng cho lần
xác thực sau.
try_first_pass Giống option trên, tuy nhiên nếu
password fail, yêu cầu user nhập lại.

10. 10
PAM (tt)PAM (tt)
Dùng lệnh man [pam_module] để tìm hiểu về từng module xác
thực:
Vd: man pam_nologin

11. 11
Hỏi & ĐápHỏi & Đáp