PAM配置详解，你必须知道！

在提供的PAM配置中，每个auth、account、password和session模块行都用于处理用户认证、账户管理、密码更改和会话管理方面的不同任务。下面是对这些配置行的简要解释：

auth 模块

• pam_env.so：设置环境变量。
• pam_tally2.so：限制用户连续认证失败的次数，超过后锁定账户。
• pam_unix.so：传统的UNIX认证模块。
• pam_succeed_if.so：基于特定条件（如UID）进行认证。
• pam_deny.so：拒绝所有认证请求。

account 模块

• pam_unix.so：检查账户有效性。
• pam_localuser.so：仅允许本地用户。
• pam_succeed_if.so：基于特定条件（如UID）允许账户访问。
• pam_permit.so：允许所有账户访问。

password 模块

• pam_pwquality.so：检查密码质量，包括长度、字符类型等。
• pam_pwhistory.so：防止用户使用最近使用过的密码。
• pam_unix.so：管理UNIX用户密码。
• pam_deny.so：拒绝所有密码更改请求。

session 模块

• pam_limits.so：设置会话资源限制。
• pam_keyinit.so：初始化加密密钥。
• pam_systemd.so：集成systemd管理会话。
• pam_succeed_if.so：基于特定条件（如服务类型）管理会话。
• pam_unix.so：管理UNIX用户会话。

关键点

• try_first_pass：尝试使用之前已经提供的密码。
• use_authtok：使用已认证的密码。
• nullok：允许密码字段为空。
• quiet：静默模式，不输出错误信息。

注意事项

• 在password部分，pam_deny.so会拒绝所有密码更改请求，这通常是不需要的。
• 在auth部分，pam_deny.so会拒绝所有认证请求，这同样通常是不合理的。

建议

• 移除password和auth部分的pam_deny.so，因为它们会阻止任何认证和密码更改操作。
• 根据安全策略调整pam_pwquality.so和pam_pwhistory.so的参数，以确保足够的密码强度和历史记录。
• 仔细考虑是否需要pam_localuser.so，这可能会阻止非本地用户登录。

这些PAM配置是系统安全的关键部分，因此应当谨慎修改，并在修改后进行充分的测试，以确保系统功能和安全性的平衡。