Системным администраторам и программистам часто требуется ограничить доступ к некоторым частям системы или функциям конкретного приложения. Если бы не было PAM, приложения необходимо было бы адаптировать к каждому новому механизму авторизации: LDAP, Samba, Kerberos. Такая адаптация также требовалась бы при появлении любого другого механизма авторизации. Эта процедура требует значительных временных ресурсов и подвержена ошибкам. Единственный путь для устранения этих недостатков - выделить авторизационный механизм из приложения и делегировать авторизацию централизованно управляемым модулям. После этого, при необходимости использовать новую схему аутентификации, ее достаточно адаптировать или написать подходящий модуль PAM для этой схемы.

Концепция PAM включает в себя:

Есть два способа конфигурации PAM:

Файлы в /etc/pam.d/ определяют модули PAM используемые для авторизации. Каждый файл состоит из строк, определяющих службу и каждая строка содержит до четырех компонентов:

TYPECONTROLMODULE_PATHMODULE_ARGS

Эти компоненты имеют следующее значение:

Кроме этого, существуют глобальные файлы настроек для модулей PAM в директории /etc/security, которые определяют точное поведение этих модулей (примерами являются файлы pam_env.conf и time.conf). Каждое приложение, которое использует модуль PAM, в действительности вызывает некоторый набор функций PAM, которые обрабатывают информацию в различных файлах конфигурации и возвращают результат запросившему его приложению.

Для облегчения создания и поддержки модулей PAM, были созданы общие дефолтные файлы конфигурации для типов модулей auth, account, password и session. Они извлечены из конфигурации PAM для каждого приложения. Обновления глобальных модулей конфигурации PAM в common-* распространяются таким образом на файлы конфигурации PAM, и администратору не требуется обновлять каждый файл конфигурации PAM по отдельности.

Глобальные файлы конфигурации PAM обслуживаются с помощью утилиты pam-config. Эта утилита автоматически добавляет новые модули в конфигурацию, изменяя конфигурацию существующих модулей или удаляет модули (или опции) из конфигурации. Ручные изменения при обслуживании конфигурации PAM сведены к минимуму или не требуются вовсе.

	Смешанные 64-битные и 32-битные инсталляции
При использовании 64-битной операционной системы возможно также включать окружение для запуска 32-битных приложений. В этом случае убедитесь, что Вы установили обе версии PAM модулей.

В качестве примера рассмотрим конфигурацию PAM для sshd:

#%PAM-1.0                               
auth     requisite      pam_nologin.so 
auth     include        common-auth 
account  requisite      pam_nologin.so 
account  include        common-account 
password include        common-password 
session  required       pam_loginuid.so 
session  include        common-session 

Включая эти файлы вместо добавления каждого модуля по отдельности в соответствующую конфигурацию PAM, Вы автоматически получаете обновляемую конфигурацию PAM в случае, если администратор сменит дефолтные настройки. Ранее после изменений в PAM или после установки нового приложения Вам приходилось бы изменять конфигурационные файлы для всех приложений вручную. Сейчас настройка PAM производится централизованно и все изменения автоматически наследуются конфигурацией каждой службы PAM.

Первый подключаемый файл (common-auth) вызывает три модуля типа auth: pam_env.so, pam_gnome_keyring.so и pam_unix2.so.См. Пример 2.2, «Дефолтная конфигурация секции auth (common-auth)».

auth    required        pam_env.so           
auth    optional        pam_gnome_keyring.so 
auth    required        pam_unix2.so         

Весь стек модулей auth обрабатывается до получения sshd любой информации о результате авторизации. Поскольку все модули стека имеют управляющий флаг required, они должны быть успешно обработаны до получения sshd сообщения об успехе. Если один из модулей вернет отрицательный результат, весь стек модулей будет обработан до конца и только затем sshd будет уведомлен об отрицательном результате.

После успешного завершения всех модулей типа auth будет обработано следующее выражение. В нашем случае Пример 2.3, «Дефолтная конфигурация секции account (common-account)». common-account содержит всего один модуль, pam_unix2. Если pam_unix2 сообщит, что пользователь существует, sshd будет уведомлен об этом и будет обработан следующий стек модулей (password), показанный в Пример 2.4, «Дефолтная конфигурация секции password (common-password)».

account required        pam_unix2.so

password requisite      pam_pwcheck.so  nullok cracklib
password        optional        pam_gnome_keyring.so    use_authtok
password        required        pam_unix2.so    use_authtok nullok

Итак, конфигурация PAM для sshd включает в себя только выражение include, ссылающееся на дефолтную конфигурацию модулей password, которая находится в common-password. Эти модули должны завершиться успешно (управляющие флаги requisite и required) при запросе приложением смены токена авторизации.

Изменение пароля или другого токена авторизации требует проверки безопасности. Она производится при помощи модуля pam_pwcheck. Модуль pam_unix2 используемый далее, подхватывает любые новые и старые пароли у pam_pwcheck, так что пользователю не требуется повторная авторизация после смены пароля. Эта процедура делает невозможным обход проверок, производимых модулем pam_pwcheck. В случае, если нужно настроить типы account или auth на блокировку аккаунтов после истечения срока действия пароля, модули password тоже должны быть использованы.

session required        pam_limits.so
session required        pam_unix2.so
session optional        pam_apparmor.so
session optional        pam_umask.so
session optional        pam_gnome_keyring.so    auto_start only_if=gdm,lxdm

Последними вызываются модули типа session (встроенные в файл common-session) для настройки сессии пользователя в соответствии с конкретным пользователем. Модуль pam_limits загружает файл /etc/security/limits.conf, который может определять ограничения на использование определенных ресурсов системы. Модуль pam_unix2 обрабатывается снова. Модуль pam_umask может быть использован для определения маски битов доступа создаваемых файлов. Поскольку этот модуль задан с флагом optional, отказ этого модуля не повлияет на успешное выполнение всего стека модулей сессии. Модули session вызываются во второй раз при выходе пользователя из системы.

Некоторые из модулей PAM можно конфигурировать. Файлы настроек находятся в директории /etc/security. Эта секция кратко описывает файлы конфигурации имеющие отношение к примеру с sshd — pam_env.conf и limits.conf.

VARIABLE  [DEFAULT=value]  [OVERRIDE=value]

REMOTEHOST     DEFAULT=localhost OVERRIDE=@{PAM_RHOST}
DISPLAY        DEFAULT=${REMOTEHOST}:0.0 OVERRIDE=${DISPLAY}

Утилита pam-config поможет Вам настроить глобальные файлы конфигурации PAM (/etc/pam.d/common-*-pc), а также несколько других приложений. Для отображения списка поддерживаемых модулей используйте команду pam-config --list-modules. Команда pam-config используется для сопровождения файлов конфигурации PAM. С ее помощью можно добавлять модули в Вашу конфигурации PAM, удалять их, или модифицировать их опции. При изменении глобальных файлов конфигурации PAM не требуется ручная настройка PAM для каждого отдельного приложения.

Простой пример использования pam-config выглядит так:

Подробную информацию о команде pam-config и ее опциях можно получить в справочном руководстве о команде pam-config(8).

Если Вы предпочитаете создавать и поддерживать файлы конфигурации PAM вручную, убедитесь, что pam-config запрещена для этих файлов.

Когда Вы создаете файлы конфигурации PAM с нуля используя команду pam-config --create, она создает символические ссылки с файлов common-* на файлы common-*-pc. Удаление этих символических ссылок эффективно для отключения pam-config, так как pam-config оперирует только файлами common-*-pc и эти файлы не изменятся при отсутствии символических ссылок.

После установки системы в директории /usr/share/doc/packages/pam можно найти дополнительную документацию: