linux下PAM模块全称是Pluggable Authentication Module for linux（可插入式授权管理模块），该由Sun公司提供，在Linux中，PAM是可动态配置的，本地系统管理员可以自由选择应用程序如何对用户进行身份验证。PAM应用在许多程序与服务上，比如登录程序(login、su)的PAM身份验证（口令认证、限制登录），passwd强制密码，用户进程实时管理，向用户分配系统资源等。

PAM的配置文件位置 /etc/pam.conf,也可以在/etc/pam.d/文件夹下配置单独的文件，当存在/etc/pam.d文件夹时，Linux-PAM将会使用/etc/pam.d文件夹下的配置文件而忽略/etc/pam.conf配置文件。

1. pam.conf配置文件中，配置内容写在一行内，也可以以““作为连接符将配置内容写在多行；
2. pam.conf以空格作为分割标记，#代表标注信息；
3. -如果在配置语句前面加上该符号，在系统登录时如果该模块未被正确加载，不会将该事件记录到系统日志中，即“-”表示可选项。

xxxxxxxxxx
3
1
#直接在/etc/pam.conf中
2
service  type   control   module-path module-arguments
3
服务名称    类型  控制       模块路径     模块参数

如果配置文件放置在/etc/pam.d文件夹下，则配置文件中没有service选项配置段，且配置文件的名字为service名字，文件名必须小写，配置语法区分大小写，配置规则格式为：

xxxxxxxxxx
1
#/etc/pam.d/下
2
type   control   module-path module-arguments
3
类型    控制       模块路径     模块参数

配置段说明

type类型

control控制

control分为简单和复杂两种语法结构，简单语法中仅有一个关键字，而复杂语法通过[ ]引入[value=action]选项

control简单语法选项

control复杂语法

[value1=action1 value2=action2 …]

valueN代表对应模块中控制语句的返回值，可以是下面的值：success,open_err,symbol_err,service_err,system_err,buf_err,perm_denied,default等，其中default表示所有未被显式提到的所有值

PAM所有的错误信息列表在 /usr/include/security/_pam_types.h文件夹中

actionN可以使下列值中的某一个：

module-path

模块路径可以使应用程序使用的PAM模块的文件名，也可是是默认模块的相对路径名：/lib/security 或者/lib64/security

module-arguments

模块参数是以空格作为分隔符的列表，可以用来指定PAM特殊的动作，如果需要在参数中包含空格，需要使用”[ ]”,当需要在语法中使用[]时，需使用“”,如 [..[..]..]→..[..]..；语法中的任何一个错误都会导致验证失败，而且会被记录到系统日志中

pam module

xxxxxxxxxx
12
1
[root@centos76 ~]# ls /lib64/security/
2
pam_access.so    pam_faildelay.so  pam_listfile.so    pam_pwhistory.so       pam_succeed_if.so   pam_unix_session.so
3
pam_cap.so       pam_faillock.so   pam_localuser.so   pam_pwquality.so       pam_systemd.so      pam_unix.so
4
pam_chroot.so    pam_filter        pam_loginuid.so    pam_rhosts.so          pam_tally2.so       pam_userdb.so
5
pam_console.so   pam_filter.so     pam_mail.so        pam_rootok.so          pam_time.so         pam_warn.so
6
pam_cracklib.so  pam_ftp.so        pam_mkhomedir.so   pam_securetty.so       pam_timestamp.so    pam_wheel.so
7
pam_debug.so     pam_group.so      pam_motd.so        pam_selinux_permit.so  pam_tty_audit.so    pam_xauth.so
8
pam_deny.so      pam_issue.so      pam_namespace.so   pam_selinux.so         pam_umask.so
9
pam_echo.so      pam_keyinit.so    pam_nologin.so     pam_sepermit.so        pam_unix_acct.so
10
pam_env.so       pam_lastlog.so    pam_permit.so      pam_shells.so          pam_unix_auth.so
11
pam_exec.so      pam_limits.so     pam_postgresok.so  pam_stress.so          pam_unix_passwd.so
12

常用到的配置文件

TroubleShooting

权限异常

1
cat /var/log/secure
2
Mar 5 14:49:06 centos76 useradd[5058]: new group: name=testdel, GID=1003
3
Mar 5 14:49:06 centos76 useradd[5058]: new user: name=testdel, UID=1003, GID=1003, home=/home/testdel, shell=/bin/bash
4
Mar 5 14:49:17 centos76 passwd: pam_unix(passwd:chauthtok): password changed for testdel
5
Mar 5 14:50:29 centos76 su: pam_unix(su:session): session opened for user testdel by root(uid=0)
6
Mar 5 14:50:32 centos76 unix_chkpwd[5109]: check pass; user unknown
7
Mar 5 14:50:35 centos76 unix_chkpwd[5110]: check pass; user unknown
8
Mar 5 14:50:35 centos76 unix_chkpwd[5110]: password check failed for user (root)
9
Mar 5 14:50:35 centos76 su: pam_unix(su-l:auth): authentication failure; logname=root uid=1003 euid=1003 tty=pts/0 ruser=testdel rhost= user=root
10
Mar 5 14:50:35 centos76 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"
11
Mar 5 14:50:41 centos76 su: pam_unix(su:session): session closed for user testdel
12
#出现场景，
13
[root@centos76 ~]# chmod u-s /bin/su
14
[root@centos76 ~]# ls -alh /bin/su
15
-rwxr-xr-x 1 root root 32K Dec 3 01:46 /bin/su
16
#默认权限为
17
[root@ ~]# ls -alh /bin/su
18
-rwsr-xr-x 1 root root 32K Dec 3 01:46 /bin/su
19
[root@centos76 ~]# chmod u+s /bin/su
20
#还原权限后，正常su -

模块参数错误

如高亮标注，问题服务器文件/etc/pam.d/system-auth-ac加入了错误粘贴的参数[补，默认的文件中没有此行，其它行一致。]，并未去验证。直到后期的某一天禁用root登陆，通过普通用户切换到root时：su -切换时提示su Module not found。修改为第2行正确的之后，su - 正常使用。 本问题中引入的模块为pam_tally2.so 具体报错

xxxxxxxxxx
8
1
#报错中提示无法加载模块（所有的参数都因复制粘贴错误而被当作一个模块名了）：/usr/lib64/security/pam_tall2.soonerr=faildeny=5
2
 
3
Feb 25 17:25:45 centos77 su: PAM unable to dlopen(/usr/lib64/security/pam_tall2.soonerr=faildeny=5): /usr/lib64/security/pam_tall2.soonerr=faildeny=5: cannot open shared object file: No such file or directory
4
Feb 25 17:25:45 centos77 su: PAM adding faulty module: /usr/lib64/security/pam_tall2.soonerr=faildeny=5
5
Feb 25 17:25:50 centos77 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"
6
Feb 25 17:29:39 centos77 su: PAM unable to dlopen(/usr/lib64/security/pam_tall2.soonerr=faildeny=5): /usr/lib64/security/pam_tall2.soonerr=faildeny=5: cannot open shared object file: No such file or directory
7
Feb 25 17:29:39 centos77 su: PAM adding faulty module: /usr/lib64/security/pam_tall2.soonerr=faildeny=5
8
Feb 25 17:29:46 centos77 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"

xxxxxxxxxx
26
1
#%PAM-1.0
2
auth    required    pam_tally2.so onerr=fail deny=5 even_deny_root unlock_time=300
3
#auth    required    pam_tall2.soonerr=faildeny=5 even_deny_rootunlock_time=300
4
# This file is auto-generated.
5
# User changes will be destroyed the next time authconfig is run.
6
auth        required      pam_env.so
7
auth        required      pam_faildelay.so delay=2000000
8
auth        sufficient    pam_unix.so nullok try_first_pass
9
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
10
auth        required      pam_deny.so
11
 
12
account     required      pam_unix.so
13
account     sufficient    pam_localuser.so
14
account     sufficient    pam_succeed_if.so uid < 1000 quiet
15
account     required      pam_permit.so
16
 
17
password     requisite    pam_cracklib.so  retry=5    minlen=8    difok=3  ucredit=-1  lcredit=-1  dcredit=-1 ocredit=-1
18
password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
19
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok  remenber=5
20
password    required      pam_deny.so
21
 
22
session     optional      pam_keyinit.so revoke
23
session     required      pam_limits.so
24
-session     optional      pam_systemd.so
25
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
26
session     required      pam_unix.so

无