Questions tagged «pam»

在我的一台服务器上，我注意到SSH登录确实很延迟。 使用ssh -vvv选项连接时，延迟发生在 debug1: Entering interactive session. 连接摘录： debug1: Authentication succeeded (publickey). Authenticated to IP_REDACTED ([IP_REDACTED]:22). debug1: channel 0: new [client-session] debug3: ssh_session2_open: channel_new: 0 debug2: channel 0: send open debug1: Requesting no-more-sessions@openssh.com debug1: Entering interactive session. debug2: callback start debug2: fd 3 setting TCP_NODELAY debug3: packet_set_tos: set IP_TOS 0x10 …

39 ssh  debian  pam  systemd 

我讨厌PAM，因为它出现了。 如何在管理员级别的Debian Squeeze中打开PAM调试？ 我检查了我能找到的所有资源。Google，手册页，等等。我还没有尝试过的唯一事情（我根本不敢，我是否提到我讨厌PAM？）正在挖掘PAM的库源。 我试图谷歌寻求解决方案，什么也没有。到目前为止，我发现： http://www.bitbull.ch/wiki/index.php/Pam_debugging_funktion（/etc/pam_debug）和 http://nixdoc.net/man-pages/HP-UX/man4/pam.conf.4.html（debug对PAM项选项在/etc/pam.d/）。 不，不起作用。 没有PAM输出，什么也没有，绝对无声。 在寻找解决方案时，我什至关注了指向Pam（德国加油站）的链接。好吧，是的，也许在所有这些数十亿次点击中可能都隐藏了一个线索，但是开枪射击我会在我被发现之前就死了。 其余就是仅供参考： 我有什么问题？ 升级到Debian Squeeze后，有些事情变得很奇怪（嗯，曾经是，呃，刻蚀是正确的..啊，是的，伍迪）。所以这可能不是Debian的错，只是一个长期存在的问题。我立即感觉到它必须与PAM一起使用，但是我真的不知道发生了什么。YKWIM，我完全处于黑暗中，独自一人，无助，婴儿。有些ssh登录有效，有些则无效。真是有趣。没有任何线索ssh -v，没有任何线索/var/log/*。只是“身份验证成功”或“身份验证失败”，有时同一用户同时并行登录一个会话成功，而另一个会话同时失败。而且您什么都无法掌握。 在挖掘其他选项的火车后，我得以找到答案。有nullokand nullok_secure，是Debian的特殊功能。某些东西搞砸了/etc/securetty，具体取决于tty（有些随机）登录是否被拒绝。真不错，！ 修复很容易，现在一切都很好。 但这给我留下了一个问题，即将来如何调试这种混乱情况。这不是PAM第一次让我发疯。因此，我希望看到最终的解决方案。最终如“已解决”中所述，而不是最终如“世界末日”中所示。谢谢。 啊，顺便说一句，这再次加强了我的信念，即自从出现PAM以来，讨厌它是一件好事。我有提到我吗？

34 syslog  pam  debug 

我有用来在其上运行网络服务器的vps，它当前正在运行ubuntu服务器12.04。几个星期以来，我在ssh控制台中不断收到很多错误。 2014 Apr 11 08:41:18 vps847 PAM service(sshd) ignoring max retries; 6 > 3 2014 Apr 11 08:41:21 vps847 PAM service(sshd) ignoring max retries; 6 > 3 2014 Apr 11 08:41:24 vps847 PAM service(sshd) ignoring max retries; 6 > 3 2014 Apr 11 08:41:25 vps847 PAM service(sshd) ignoring max retries; …

32 ubuntu  ssh  pam 

通过失败的恶意SSH尝试可以了解有关“用户”的哪些信息？ 输入的用户名（/var/log/secure） 输入密码（如果已配置，即使用PAM模块） 源IP地址（/var/log/secure） 是否有其他提取方法？无论是隐藏在日志文件中的信息，随机技巧还是来自第三方工具等。

24 linux  ssh  logging  pam  hacking 

在正在初始化的VM上，我可以使用公共密钥身份验证通过SSH以一个非root用户（admin）身份登录，而不能以另一个（tbbscraper）登录。我可以在任何日志文件中找到的唯一错误消息是 Sep 18 17:21:04 [REDACTED] sshd[18942]: fatal: Access denied for user tbbscraper by PAM account configuration [preauth] 在客户端，综合症是 $ ssh -v -i [REDACTED] tbbscraper@[REDACTED] ... debug1: SSH2_MSG_SERVICE_ACCEPT received debug1: Authentications that can continue: publickey debug1: Next authentication method: publickey debug1: Offering public key: [REDACTED] debug1: Authentications that can continue: publickey …

24 ssh  remote-access  pam 

我使用两因素身份验证管理服务器。输入正常的服务器密码后，我必须使用Google Authenticator iPhone应用程序获取要输入的6位验证码。此处描述了该设置：http : //www.mnxsolutions.com/security/two-factor-ssh-with-google-authenticator.html 我想要一种仅使用笔记本电脑而不是通过iPhone获取验证码的方法。必须有一种方法来植入命令行应用程序，该应用程序会生成这些验证代码并为您提供当前30秒窗口的代码。 有程序可以做到这一点吗？

23 ssh  authentication  pam 

在最近的日子里，我已经建立了一些具有LDAP身份验证的Linux系统，并且一切正常，但是经过大量研究，对于NSS和PAM还是有些我不了解的地方。 引用： NSS允许管理员指定来源列表，在这些来源中将存储和搜索身份验证文件，主机名和其他信息 和 PAM是一组库，它们为应用程序和基础操作系统提供可配置的身份验证平台。 我不了解的是PAM和NSS是如何工作并相互作用的。在这本书的架构是解释得很好：我PAM配置为使用pam_ldapLDAP的帐户和pam_unix本地帐户，然后我配置nsswitch.conf来从本地文件和LDAP信息。 如果我正确理解，则使用LDAP两次：首先pam_ldap由NSS 使用，然后由NSS使用，后者本身是从调用的pam_unix。那正确吗？LDAP是否真的使用过两次？但是，为什么我需要同时配置NSS和PAM？我的解释是，PAM执行与NSS不同的任务，并且被其他程序使用。但是，正如我在本页中所读到的那样，那么应该仅可以使用NSS或仅使用PAM 。 因此，我做了一些实验，首先尝试从中删除LDAP nsswitch.conf（并且身份验证停止工作，好像只有pam_ldap不足以完成这项工作）。然后，我在NSS中重新启用了LDAP，并从PAM配置中将其删除（这次一切正常，好像pam_ldap没用，NSS足以验证用户身份）。 有谁可以帮助我澄清这一点？提前谢谢了。 更新 我刚刚尝试过一些东西。我再次删除了所有pam_ldappam配置字段中的所有条目，并且也从中删除shadow: ldap了nsswitch.conf。像现在一样，所有系统中只有行：passwd: ldap files和group: ldap files中nsswitch.conf。好吧...用LDAP用户登录非常有效，这两行（加号/etc/ldap.conf）足以配置LDAP身份验证。 据我了解，PAM独立于NSS，但我的测试表明事实并非如此。所以我问自己，是否可以完全禁用NSS而仅使用PAM？

21 ldap  authentication  pam  nss 

我在一个新的对话框设置基于密钥验证的SSH，并读取提及设置几篇文章UsePAM，以no沿PasswordAuthentication。 我的问题是，什么是设置的目的UsePAM来no，如果你已经有了PasswordAuthentication和ChallengeResponseAuthentication设置为no？

18 security  ssh  pam 

我正在使用Ubuntu 10.04 Server。

18 ubuntu  active-directory  samba  cifs  pam 

服务器：RHEL 5.9 / smbd 3.0.33-客户端：各种，尽管都使用当前的mount.cifs（5.2） 我已经解决了这个问题，但是追捕这些错误代码真是一场噩梦，我觉得这需要通用文档。 症状：从一个特定的cifs客户端到linux samba服务器的意外的，间歇性的安装失败。我所有的Linux客户端pam_mount用户在登录时均已登录。随机地，偶尔地，主目录安装在一台计算机上开始失败。登录和挂载继续在所有其他客户端上正常运行。最初，我认为损坏的客户端上发生了异常活动，导致smbd异常运行，但即使使用中断后，间歇性故障仍然存在。 尝试手动安装失败并报告： Errors from underlying mount program mount error(12): Cannot allocate memory Refer to the mount.cifs(8) manual page (e.g. man mount.cifs) <debug enable="1"/>在/etc/security/pam_mount.conf.xml中进行设置，以从pam_mount获取更多信息： command: 'mount' '-t' 'cifs' '//my_server/watdo' '/home/watdo' '-o' 'user=watdo,uid=666,gid=666' pam_mount(misc.c:38): set_myuid<pre>: (ruid/rgid=0/0, e=0/0) pam_mount(misc.c:38): set_myuid<post>: (ruid/rgid=0/0, e=0/0) pam_mount(mount.c:64): Errors from underlying …

16 mount  pam  server-message-block  cifs  smb-conf 

我试图提高ubuntu计算机上所有用户的打开文件描述符最大值。 我将以下几行添加到/etc/security/limits.conf： * soft nofile 100000 * hard nofile 100000 并且，基于此问题，我检查了以下/etc/pam.conf设置pam_limits： $ grep "pam_limits" /etc/pam.d/* /etc/pam.d/atd:session required pam_limits.so /etc/pam.d/common-session:session required pam_limits.so /etc/pam.d/cron:session required pam_limits.so /etc/pam.d/login:session required pam_limits.so /etc/pam.d/sshd:session required pam_limits.so /etc/pam.d/su:session required pam_limits.so /etc/pam.d/sudo:session required pam_limits.so 而且我的最大文件似乎很好： $ cat /proc/sys/fs/file-max 762659 但是当我检查时，我仍然具有默认的1024 ulimit -a： $ ulimit -a | grep files …

16 linux  ubuntu  pam  ulimit 

成功配置Kerberos之后，这是我在/etc/pam.d/common-auth文件中找到的内容： auth [success=2 default=ignore] pam_unix.so nullok_secure auth [success=1 default=ignore] pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass auth requisite pam_deny.so auth required pam_permit.so success=2控制值是否表示如果pam_unix.so 失败，则身份验证跳至该auth requisite pam_deny.so行或最后一行？

16 linux  pam 

一直在为RedHat盒制定一些安全性强化程序，我想知道一旦密码过期，是否可以防止用户更改密码。 对于我们的一位客户，要求是他们只能通过临时帐户访问服务器，这意味着一旦创建了用户凭据，密码必须在4小时内过期，并且一旦密码过期，则只有root用户才能更改它。 对于第一个要求（密码在4小时后过期），我想可以通过设置passwordMaxAge = 144000来实现。但是我仍然找不到防止用户更改过期密码而不关闭密码过期的方法。 有人可以帮忙吗？

14 security  redhat  pam  hardening 

我希望某些PAM / LDAP专家可以在这里为我提供帮助。我最近在Ubuntu Server上设置了一个LDAP目录，以同时为我的客户端（用于基于Web的系统）和工作人员（需要通过SSH登录）保留帐户。 LDAP身份验证运行正常。但是我无法使用帐户限制：员工帐户将具有ID之间的ID 2001，2999并且将成为该ssh-users组的成员以允许他们登录服务器。 有问题的限制是/etc/ldap.conf，和是pam_min_uid，pam_max_uid和pam_groupdn。 pam_groupdn包含我ssh-users组的完整DN 。 pam_min_uid= 2000和pam_max_uid= 2999。 现在，我设法通过添加以下内容使它们工作： account [success=1 default=ignore] pam_ldap.so 上面的pam_unix.so在线/etc/pam.d/common-account。但是，本地Unix帐户然后将无法登录：SSH服务器会在尝试后立即终止连接。 我已经在上面的文件中将pam_ldap.so模块设置为sufficient，但是无效的用户会收到一条消息，指出他们无法登录，但是无论如何它都会登录。 因此，如何在仍允许UNIX用户登录的同时为LDAP用户设置这些帐户限制？ 您可能会猜到我是PAM的新手，尽管我设法使“自动创建主目录”模块起作用了:-) 非常感谢，安迪

14 ubuntu  ldap  pam 

背景 我试图更好地理解OS X登录过程，以便确定实现VPN Single Sign On的最佳方法。 如果我错了，请纠正我，但我相信- launchd(8)调用gettyent(3)，并且因此确定从ttys(5)执行loginwindow.app对/dev/console。 loginwindow.app尝试获取system.login.console授权，授权数据库为此指定了以下机制（与我对其功能的理解一起列出）；那些特权的authd进程在进程内运行（作为根用户），而那些没有特权的SecurityAgent进程在进程内运行（作为_securityagent）： builtin:policy-banner（显示“ 登录窗口”横幅，如果已设置）。 loginwindow:login （提示输入凭据）。 builtin:login-begin builtin:reset-password,privileged（执行使用Apple ID重置密码）。 builtin:forward-login,privileged （在启动时从EFI转发凭据）。 builtin:auto-login,privileged （在启动时应用自动登录凭据）。 builtin:authenticate,privileged（所调用pam_authenticate(3)用于authorization服务;集“UID”上下文值）。 PKINITMechanism:auth,privileged （通过获取TGT初始化Kerberos）。 builtin:login-success loginwindow:success （确保登录会话免受未经授权的远程访问；将登录记录在系统的utmp和utmpx数据库中；设置控制台终端的所有者和权限）。 HomeDirMechanism:login,privileged （挂载用户的主目录）。 HomeDirMechanism:status （显示主目录安装的进度）。 MCXMechanism:login （应用配置文件）。 loginwindow:done （重置用户的首选项以包括全局系统默认值；使用用户的首选项配置鼠标，键盘和系统声音；设置用户的组权限；从目录服务中检索用户记录并将该信息应用于会话；加载用户的计算环境-包括首选项，环境变量，设备和文件权限，钥匙串访问等；启动Dock，Finder和SystemUIServer；为用户启动登录项）。 问题 我非常想确认我对每种机制功能的理解： 他们的源代码公开吗？ 我知道非builtin机制是由可以在下找到的插件定义的/System/Library/CoreServices/SecurityAgentPlugins，但是我找不到从中构建它们的源。我也找不到在哪里builtin定义机制。 如果来源不可用，这些机制是否记录在任何地方？ 观察结果 loginwindow:login如果在 builtin:forward-login和之前调用凭证，如何提示输入凭证builtin:auto-login？它是否检查上下文中的此类凭据，如果存在则跳过自身？似乎很奇怪。 此外，如Apple的802.1X身份验证技术白皮书中所述： 配置登录窗口模式并在登录窗口中输入用户名和密码后，将发生两件事。首先，登录窗口将使用用户输入的用户名和密码通过802.1X对计算机进行身份验证。802.1X身份验证成功后，登录窗口将向外部目录验证相同的用户名和密码。 由于该认证的第二阶段由pam_opendirectory.so模块处理，并且取决于存在的网络，因此第一阶段（通过802.1X认证到网络）必须在此之前发生。也就是说，它必须在builtin:authenticate机制之前发生。 从对loginwindow插件二进制文件的随意检查来看，它似乎可以处理802.1X身份验证-但在该插件之前调用的唯一机制builtin:authenticate是loginwindow:login。我认为这种机制不仅会显示登录提示，还会尝试802.1X身份验证，是否正确？（如果是这样，这不仅看起来有点草率，恕我直言，而且表明EFI /自动登录的凭据不能用于802.1X登录窗口身份验证。）

13 security  mac-osx  authentication  login  pam