pam_ldap

实现 pam_ldap 时，用户使用在 pam_ldap 的 serviceAuthenticationMethod 参数（如果存在的话）中定义的验证方法绑定到 LDAP 服务器。否则，将使用 authenticationMethod。

如果 pam_ldap 能够使用用户的标识和提供的口令绑定到服务器，它将对用户进行验证。

启用 pam_ldap 帐户管理之后，所有用户在每次登录系统时都必须提供口令。进行验证时必须提供登录口令。因此，使用 rsh、rlogin 或 ssh 等工具进行的不基于口令的登录将会失败。

pam_ldap 不读取 userPassword 属性。因此，除非其他客户机正在使用 pam_unix，否则无需授予对 userPassword 属性的读取访问权限。此外，pam_ldap 不支持 none 验证方法。因此，您必须定义 serviceAuthenticationMethod 或 authenticationMethod 属性，以便客户机可以使用 pam_ldap。有关更多信息，请参见 pam_ldap(5) 手册页。

如果使用 simple 验证方法，则 userPassword 属性在传输过程中可被第三方读取。

请参见pam_ldap 的示例 pam.conf 文件。

下表概述了 pam_unix 和 pam_ldap 之间的主要区别。