linux下PAM模块全称是Pluggable Authentication Module for linux（可插入式授权管理模块），该由Sun公司提供，在Linux中，PAM是可动态配置的，本地系统管理员可以自由选择应用程序如何对用户进行身份验证。PAM应用在许多程序与服务上，比如登录程序(login、su)的PAM身份验证（口令认证、限制登录），passwd强制密码，用户进程实时管理，向用户分配系统资源等。

PAM的配置文件位置 /etc/pam.conf,也可以在/etc/pam.d/文件夹下配置单独的文件，当存在/etc/pam.d文件夹时，Linux-PAM将会使用/etc/pam.d文件夹下的配置文件而忽略/etc/pam.conf配置文件。

1. pam.conf配置文件中，配置内容写在一行内，也可以以““作为连接符将配置内容写在多行；
2. pam.conf以空格作为分割标记，#代表标注信息；
3. “-”如果在配置语句前面加上该符号，在系统登录时如果该模块未被正确加载，不会将该事件记录到系统日志中，即“-”表示可选项。

#直接在/etc/pam.conf中
service  type   control   module-path module-arguments
服务名称 类型   控制      模块路径    模块参数

如果配置文件放置在/etc/pam.d文件夹下，则配置文件中没有service选项配置段，且配置文件的名字为service名字，文件名必须小写，配置语法区分大小写，配置规则格式为：

#/etc/pam.d/下
type   control   module-path module-arguments
类型   控制      模块路径    模块参数

control分为简单和复杂两种语法结构，简单语法中仅有一个关键字，而复杂语法通过[ ]引入[value=action]选项

valueN代表对应模块中控制语句的返回值，可以是下面的值：success,open_err,symbol_err,service_err,system_err,buf_err,perm_denied,default等，其中default表示所有未被显式提到的所有值

PAM所有的错误信息列表在 /usr/include/security/_pam_types.h文件夹中

actionN可以使下列值中的某一个：

模块路径可以使应用程序使用的PAM模块的文件名，也可是是默认模块的相对路径名：/lib/security 或者/lib64/security

模块参数是以空格作为分隔符的列表，可以用来指定PAM特殊的动作，如果需要在参数中包含空格，需要使用”[ ]”,当需要在语法中使用[]时，需使用“”,如 [..[..]..]→..[..]..；语法中的任何一个错误都会导致验证失败，而且会被记录到系统日志中

[root@centos76 ~]# ls /lib64/security/
pam_access.so    pam_faildelay.so  pam_listfile.so    pam_pwhistory.so       pam_succeed_if.so   pam_unix_session.so
pam_cap.so       pam_faillock.so   pam_localuser.so   pam_pwquality.so       pam_systemd.so      pam_unix.so
pam_chroot.so    pam_filter        pam_loginuid.so    pam_rhosts.so          pam_tally2.so       pam_userdb.so
pam_console.so   pam_filter.so     pam_mail.so        pam_rootok.so          pam_time.so         pam_warn.so
pam_cracklib.so  pam_ftp.so        pam_mkhomedir.so   pam_securetty.so       pam_timestamp.so    pam_wheel.so
pam_debug.so     pam_group.so      pam_motd.so        pam_selinux_permit.so  pam_tty_audit.so    pam_xauth.so
pam_deny.so      pam_issue.so      pam_namespace.so   pam_selinux.so         pam_umask.so
pam_echo.so      pam_keyinit.so    pam_nologin.so     pam_sepermit.so        pam_unix_acct.so
pam_env.so       pam_lastlog.so    pam_permit.so      pam_shells.so          pam_unix_auth.so
pam_exec.so      pam_limits.so     pam_postgresok.so  pam_stress.so          pam_unix_passwd.so

T1

cat /var/log/secure

Mar  5 14:49:06 centos76 useradd[5058]: new group: name=testdel, GID=1003
Mar  5 14:49:06 centos76 useradd[5058]: new user: name=testdel, UID=1003, GID=1003, home=/home/testdel, shell=/bin/bash
Mar  5 14:49:17 centos76 passwd: pam_unix(passwd:chauthtok): password changed for testdel
Mar  5 14:50:29 centos76 su: pam_unix(su:session): session opened for user testdel by root(uid=0)
Mar  5 14:50:32 centos76 unix_chkpwd[5109]: check pass; user unknown
Mar  5 14:50:35 centos76 unix_chkpwd[5110]: check pass; user unknown
Mar  5 14:50:35 centos76 unix_chkpwd[5110]: password check failed for user (root)
Mar  5 14:50:35 centos76 su: pam_unix(su-l:auth): authentication failure; logname=root uid=1003 euid=1003 tty=pts/0 ruser=testdel rhost=  user=root
Mar  5 14:50:35 centos76 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"
Mar  5 14:50:41 centos76 su: pam_unix(su:session): session closed for user testdel
#出现场景，
[root@centos76 ~]# chmod u-s /bin/su 
[root@centos76 ~]# ls -alh /bin/su
-rwxr-xr-x 1 root root 32K Dec  3 01:46 /bin/su
#默认权限为
[root@ ~]# ls -alh /bin/su
-rwsr-xr-x 1 root root 32K Dec  3 01:46 /bin/su
[root@centos76 ~]# chmod u+s /bin/su 
#还原权限后，正常su -

如高亮标注，问题服务器文件 /etc/pam.d/system-auth-ac 加入了错误粘贴的参数[补，默认的文件中没有此行，其它行一致。]，并未去验证。直到后期的某一天禁用root登陆，通过普通用户切换到root时：su -切换时提示 su Module not found 。修改为第2行正确的之后，su - 正常使用。 本问题中引入的模块为pam_tally2.so 具体报错

#报错中提示无法加载模块（所有的参数都因复制粘贴错误而被当作一个模块名了）：/usr/lib64/security/pam_tall2.soonerr=faildeny=5

Feb 25 17:25:45 centos77 su: PAM unable to dlopen(/usr/lib64/security/pam_tall2.soonerr=faildeny=5): /usr/lib64/security/pam_tall2.soonerr=faildeny=5: cannot open shared object file: No such file or directory
Feb 25 17:25:45 centos77 su: PAM adding faulty module: /usr/lib64/security/pam_tall2.soonerr=faildeny=5
Feb 25 17:25:50 centos77 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"
Feb 25 17:29:39 centos77 su: PAM unable to dlopen(/usr/lib64/security/pam_tall2.soonerr=faildeny=5): /usr/lib64/security/pam_tall2.soonerr=faildeny=5: cannot open shared object file: No such file or directory
Feb 25 17:29:39 centos77 su: PAM adding faulty module: /usr/lib64/security/pam_tall2.soonerr=faildeny=5
Feb 25 17:29:46 centos77 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"

#%PAM-1.0
auth    required    pam_tally2.so onerr=fail deny=5 even_deny_root unlock_time=300
#auth    required    pam_tall2.soonerr=faildeny=5 even_deny_rootunlock_time=300
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password     requisite    pam_cracklib.so  retry=5    minlen=8    difok=3  ucredit=-1  lcredit=-1  dcredit=-1 ocredit=-1
password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok  remenber=5
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so