PAM (descripción general)

La estructura del módulo de autenticación conectable (PAM) permite “conectar” nuevos servicios de autenticación sin modificar los servicios del sistema, como login, su y ssh. También puede utilizar PAM para integrar el inicio de sesión de UNIX con otros mecanismos de seguridad, como Kerberos. También se pueden “conectar” mediante esta estructura mecanismos para la gestión de cuentas, credenciales, sesiones y contraseñas.

Ventajas del uso de PAM

La estructura PAM permite configurar el uso de servicios del sistema (como su, login o ssh) para la autenticación del usuario. Algunas ventajas que ofrece PAM son:

• Política de configuración flexible

  • Política de autenticación por aplicación

  • Política de autenticación por usuario

  • La capacidad de elegir un mecanismo de autenticación predeterminado

  • La capacidad de requerir varias autorizaciones en sistemas de seguridad elevada

• Facilidad de uso para el usuario final

  • La capacidad de no tener que volver a escribir las contraseñas si son iguales para diferentes servicios de autenticación

  • La capacidad de solicitar al usuario contraseñas para varios servicios de autenticación sin necesidad de que el usuario escriba varios comandos

• La capacidad de transferir opciones a los servicios de autenticación de usuario.

• La capacidad de implementar una política de seguridad específico del sitio sin tener que cambiar los servicios de entrada del sistema

Introducción a la estructura PAM

La estructura PAM consta de cuatro partes:

• Consumidores PAM

• Biblioteca PAM

• Configuración PAM

• Módulos de servicios PAM, también denominados proveedores

La estructura proporciona un modo uniforme para llevar a cabo las actividades relacionadas con la autenticación. Este enfoque permite a los desarrolladores de aplicaciones usar los servicios PAM sin tener que conocer la semántica de la política. Los algoritmos se proporcionan de forma centralizada. Los algoritmos se pueden modificar independientemente de las aplicaciones individuales. Con PAM, los administradores pueden adaptar el proceso de autenticación a las necesidades de un determinado sistema sin tener que cambiar ninguna aplicación. Los ajustes se realizan a través de la configuración PAM.

La siguiente figura ilustra la arquitectura PAM. Las aplicaciones se comunican con la biblioteca PAM a través de la interfaz de programación de aplicaciones (API) de PAM. Los módulos PAM se comunican con la biblioteca PAM a través de la interfaz del proveedor de servicios (SPI) de PAM. Por lo tanto, la biblioteca PAM permite a las aplicaciones y los módulos comunicarse entre sí.

Figura 14-1 Arquitectura PAM

Cambios en PAM para esta versión

La estructura PAM incluida en la versión Oracle Solaris 11.1 incluye varias características nuevas, entre las que se incluyen:

• Indicador de control definitive

• Configuración por servicio

• Configuración por usuario