PAM 框架介绍

PAM 框架由四个部分组成：

• PAM 使用者

• PAM 库

• pam.conf(4) 配置文件

• PAM 服务模块，也称为提供者

该框架为与验证相关的活动提供了统一的执行方式。采用该方式，应用程序开发者不必了解策略的语义即可使用 PAM 服务。算法是集中提供的。可以独立于各个应用程序对算法进行修改。借助 PAM，管理员可以根据特定系统的需要调整验证过程，而不必更改任何应用程序。调整是通过 PAM 配置文件 pam.conf 来实现的。

下图说明了 PAM 体系结构。应用程序通过 PAM 应用编程接口 (Application Programming Interface, API) 与 PAM 库进行通信。PAM 模块通过 PAM 服务提供者接口 (Service Provider Interface, SPI) 与 PAM 库进行通信。通过这种方式，PAM 库可使应用程序和模块相互进行通信。

图 3-1 PAM 体系结构

PAM 服务模块

PAM 服务模块是一个共享库，用于为系统登录应用程序（如 login、rlogin 和 telnet 提供验证和其他安全服务。PAM 服务的四种类型是：

• 验证服务模块－用于授予用户访问帐户或服务的权限。提供此服务的模块可以验证用户并设置用户凭证。

• 帐户管理模块－用于确定当前用户的帐户是否有效。提供此服务的模块可以检查口令或帐户的失效期以及限时访问。

• 会话管理模块－用于设置和终止登录会话。

• 口令管理模块－用于强制实施口令强度规则并执行验证令牌更新。

PAM 模块可以实现其中的一项或多项服务。将简单模块用于明确定义的任务可以增加配置灵活性。因此，应该在不同的模块中实现 PAM 服务。然后，可以按照 pam.conf(4) 文件中定义的方式根据需要使用这些服务。

例如，Oracle Solaris OS 为系统管理员提供了用于配置站点口令策略的 pam_authtok_check(5) 模块。pam_authtok_check(5) 模块可以检查符合各种强度条件的建议口令。

有关 Oracle Solaris PAM 模块的完整列表，请参见手册页第 5 节：标准、环境与宏。PAM 模块的前缀为 pam_。

PAM 库

PAM 库 libpam(3LIB) 是 PAM 体系结构中的中心元素：

• libpam 可以导出 API pam(3PAM)。应用程序可以调用此 API 以执行验证、帐户管理、凭证建立、会话管理以及口令更改。

• libpam 可以导入主配置文件 pam.conf(4)。PAM 配置文件可指定每种可用服务的 PAM 模块要求。pam.conf 由系统管理员进行管理。

• libpam 可以导入 SPI pam_sm(3PAM)，而导出则由服务模块完成。

PAM 验证过程

以使用者如何使用 PAM 库进行用户验证为例，请考虑 login 如何验证用户：

1. login 应用程序通过调用 pam_start(3PAM) 并指定 login 服务来启动 PAM 会话。

2. 该应用程序将调用 pam_authenticate(3PAM)，它是 PAM 库 libpam(3LIB) 导出的 PAM API 的一部分。

3. 该库将在 pam.conf 文件中搜索 login 项。

4. 对于 pam.conf 中为 login 服务配置的每个模块，PAM 库将调用 pam_sm_authenticate(3PAM)。pam_sm_authenticate() 函数是 PAM SPI 的一部分。pam.conf 控制标志和每个调用的结果将确定是否允许用户访问系统。《System Administration Guide: Security Services》中的"PAM Configuration (Reference)"对此过程进行了详细介绍。

通过此方式，PAM 库可以将 PAM 应用程序与系统管理员已配置的 PAM 模块连接起来。

PAM 使用者的要求

PAM 使用者必须与 PAM 库 libpam 链接。应用程序可以使用模块提供的任何服务之前，必须通过调用 pam_start(3PAM) 初始化其 PAM 库的实例。调用 pam_start() 可初始化必须传递给所有后续 PAM 调用的句柄。应用程序完成使用 PAM 服务后，系统将调用 pam_end() 以清除 PAM 库已使用的任何数据。

PAM 应用程序与 PAM 模块之间的通信是通过项进行的。例如，以下各项有助于进行初始化：

• PAM_USER－当前验证的用户

• PAM_AUTHTOK－口令

• PAM_USER_PROMPT－用户名提示

• PAM_TTY－用户借此进行通信的终端

• PAM_RHOST－用户借此进入系统的远程主机

• PAM_REPOSITORY－对用户帐户系统信息库的任何限制

• PAM_RESOURCE－对资源的任何控制

有关可用项的完整列表，请参见 pam_set_item(3PAM)。应用程序可以通过 pam_set_item(3PAM) 对项进行设置。应用程序可以通过 pam_get_item(3PAM) 检索模块已设置的值。但是，应用程序不能检索 PAM_AUTHTOK 和 PAM_OLDAUTHTOK。无法设置 PAM_SERVICE 项。