PAM (présentation)

La structure PAM (Pluggable Authentication Module, module d'authentification enfichable) permet ''d'enficher'' de nouveaux services d'authentification sans modifier les services de saisie système tels que login, ftp et telnet. Vous pouvez également utiliser PAM pour intégrer la connexion UNIX à d'autres mécanismes de sécurité tels que Kerberos. Des mécanismes de compte, d'informations d'identification, de session et de gestion des mots de passe peuvent également être "enfichés" grâce à cette structure.

Avantages de l'utilisation de PAM

La structure PAM permet de configurer l'utilisation des services de saisie système (tels que ftp, login, telnet ou rsh) pour authentifier l'utilisateur. La liste ci-dessous répertorie les avantages principaux de PAM :

• Flexibilité de la stratégie de configuration

  • Stratégie d'authentification par application

  • Possibilité de choisir un mécanisme d'authentification par défaut

  • Possibilité de demander plusieurs autorisations sur les systèmes haute sécurité

• Facilité d'utilisation pour l'utilisateur final

  • Pas de nouvelle saisie des mots de passe s'ils ne varient pas d'un service d'authentification à l'autre

  • Possibilité d'inviter l'utilisateur à saisir des mots de passe pour plusieurs services d'authentification sans qu'il ait à taper plusieurs commandes

• Possibilité de transmettre des options facultatives aux services d'authentification des utilisateurs

• Possibilité de mettre en place une stratégie de sécurité spécifique au site sans avoir à modifier les services de saisie système

Présentation de la structure PAM

La structure PAM s'organise autour de quatre composants :

• Consommateurs PAM

• Bibliothèque PAM

• Fichier de configuration pam.conf(4)

• Modules de service PAM, également appelés fournisseurs

La structure permet d'uniformiser les activités liées à l'authentification. Cette approche permet aux développeurs d'applications d'utiliser les services PAM sans connaissance préalable de la sémantique de la stratégie. Les algorithmes sont fournis de manière centralisée. Ils peuvent être modifiés indépendamment de chaque application. Grâce à PAM, les administrateurs peuvent adapter le processus d'authentification aux besoins d'un système particulier sans avoir à modifier aucune application. Les ajustements sont effectués par le biais du fichier de configuration PAM pam.conf.

La figure ci-dessous illustre l'architecture PAM. Les applications communiquent avec la bibliothèque PAM par l'intermédiaire de l'API (Application Programming Interface, interface de programmation d'application) PAM. Les modules PAM communiquent avec la bibliothèque PAM par l'intermédiaire de la SPI (Service Provider Interface, interface de fournisseur de services) PAM. Ainsi, la bibliothèque PAM permet aux applications et modules de communiquer entre eux.

Figure 15-1 Architecture PAM

Modifications apportées à la structure des modules PAM pour cette version

La structure PAM pour la version Oracle Solaris 11 Express inclut un nouveau module pam_allow . Le module peut être utilisé pour accorder l'accès à tous les utilisateurs, sans imposer de sécurité. Le module doit être utilisé avec précaution. Pour plus d'informations, reportez-vous à la page de manuel pam_allow(5).