Configuración del PAM mediante SSSD

Configure el PAM en Linux mediante el servicio SSSD.

El servicio SSSD debe estar instalado. Si no está instalado, realice la instalación mediante sudo yum install sssd.
El servicio debe estar configurado para que se inicie cuando se reinicie el sistema. Puede realizar esta configuración con sudo chkconfig sssd on.
Ejecute los pasos Aplicación de SELinux cuando la propiedad SELINUX esté definida como aplicada en el archivo /etc/selinux/config.
También puede definir SELINUX=permissive o SELINUX=disabled, en cuyo caso no es necesario aplicar SELinux

Nota

Reinicie Linux si actualiza /etc/selinux/config.

Verifique que el archivo /etc/sssd/sssd.conf existe, que tiene el permiso 600 y que es propiedad del usuario raíz. Si el archivo no existe, cree el archivo de la siguiente manera y ejecute chmod 600 /etc/sssd/sssd.conf.

/etc/sssd/sssd.conf

[sssd]
config_file_version = 2
services = nss, pam
### domains specify the look up order, 
### which should always be LOCAL and then IDCS.
domains = LOCAL,IDCS
 
[nss]
#Backfill cache at 75%, do not cache bad lookups,
# no in-mem cache
entry_cache_nowait_percentage = 75
### 1 Hour caching for non existent user
entry_negative_timeout = 3600
 
[pam]
pam_id_timeout = 600
 
[domain/LOCAL]
# Prior to 1.15, must use older files provider
id_provider = proxy
proxy_lib_name = files
# Disable authentication, files provider 
# always provides local access, enumerate files
auth_provider = none
access_provider = permit
enumerate = true
 
[domain/IDCS]
re_expression = (?P<domain>[^\\]*?)\\?(?P<name>[^\\]+$)
auth_provider =  proxy
id_provider = proxy
proxy_lib_name = oracle_cloud
proxy_pam_target = sssd_proxy_oracle_cloud
enumerate =  false
cache_credentials = true
# Default cache timeout 90 mins for user/group info entries, 
#before it reaches to IDCS for new updates
entry_cache_timeout = 5400

De manera opcional, puede configurar direcciones de correo electrónico como nombres de usuario de SSO. Para ello, agregue la línea en negrita en el archivo /etc/sssd/sssd.conf para especificar la expresión regular.

...
[pam]
[domain/proxy_proxy]
re_expression = (?P<domain>[^\\]*?)\\?(?P<name>[^\\]+$)
auth_provider =  proxy
id_provider = proxy
...

Verifique que el archivo /etc/pam.d/sssd_proxy_oracle_cloud existe y que es propiedad del usuario raíz. Si el archivo no existe, cree el archivo como usuario raíz y agregue lo siguiente:
/etc/pam.d/sssd_proxy_oracle_cloud file
```
auth          required      pam_oracle_cloud.so
account       required      pam_oracle_cloud.so
password      required      pam_oracle_cloud.so
session       required      pam_oracle_cloud.so
```
Edite /etc/pam.d/sshd y agregue el módulo pam_oracle_cloud:
/etc/pam.d/sshd
```
auth sufficient pam_oracle_cloud.so
```
Nota

Agregue esto antes de la línea auth include password-auth o auth substack password-auth*.
Edite /etc/ssh/sshd_config para configurar sshd de modo que permita el uso de la autenticación multifactor (MFA):

/etc/ssh/sshd_config

Busque la propiedad ChallengeResponseAuthentication y defínala en yes. Si la propiedad no está en el archivo de configuración, agréguela.

Edite /etc/opc.conf para permitir que el plugin interactúe con IAM:

/etc/opc.conf

#This is sample format of opc.conf file, please use the correct information to configure this file.
#Enter the Oracle Identity Cloud Service tenancy base url.
base_url = https://identity-cloud-service-instance-url
#There is no need to change value of scope.
scope = urn:opc:idm:__myscopes__
#Enter the location of the wallet.
wallet_location = /etc/opc-wallet
#Enter the log level, this is optional and the default is 0, which means no log. 0 - None, 1 - Error, 2 - Info, 3 - Debug.
log_level = 0
#Enter the log file path, this is optional and defaults to /var/log/opc/pam_nss.log
log_file_path = /var/log/opc/pam_nss.log
#Enter the value for proxy usage to connect to Oracle Identity Cloud Service.
#Set the value to 1 to use a proxy and 0 to not use a proxy.
use_proxy=0
#Enter the information below if you set: use_proxy=1
#Enter the proxy url
#proxy_url=http://proxy.example.com
#Enter the proxy port
#proxy_port=80#Enter the username to connect to the proxy url.
#proxy_username=username_example
#Enter the password of username to connect proxy url.
#proxy_pwd=pwd_example

Reinicie sssd y sshd:
1. Para OEL6 y OEL7: authconfig --enablemkhomedir --enablepamaccess --update.
2. Para OEL8: authselect select sssd with-mkhomedir with-pamaccess.
3. Ejecute: service sshd restart.
4. Ejecute: service sssd restart.

Documentación de Oracle Cloud Infrastructure

Configuración del PAM mediante SSSD