Configuración del PAM mediante SSSD

Configure el PAM en Linux mediante el servicio SSSD.

El servicio SSSD debe estar instalado. Si no está instalado, instálelo mediante sudo yum install sssd.
El servicio debe estar configurado para que se inicie cuando se reinicie el sistema. Puede realizar esta configuración con sudo chkconfig sssd on.
Ejecute los pasos Aplicación de SELinux cuando la propiedad SELINUX se defina como aplicada en el archivo /etc/selinux/config.
También puede definir SELINUX=permissive o SELINUX=disabled, caso en el que no es necesario aplicar SELinux

Nota

Reinicie Linux si actualiza /etc/selinux/config.

Verifique que exista el archivo /etc/sssd/sssd.conf, que tenga el permiso 600 y que sea propiedad del usuario raíz. Si el archivo ya no existe, créela de esta manera y ejecute chmod 600 /etc/sssd/sssd.conf.

/etc/sssd/sssd.conf

[sssd]
config_file_version = 2
services = nss, pam
### domains specify the look up order, 
### which should always be LOCAL and then IDCS.
domains = LOCAL,IDCS
 
[nss]
#Backfill cache at 75%, do not cache bad lookups,
# no in-mem cache
entry_cache_nowait_percentage = 75
### 1 Hour caching for non existent user
entry_negative_timeout = 3600
 
[pam]
pam_id_timeout = 600
 
[domain/LOCAL]
# Prior to 1.15, must use older files provider
id_provider = proxy
proxy_lib_name = files
# Disable authentication, files provider 
# always provides local access, enumerate files
auth_provider = none
access_provider = permit
enumerate = true
 
[domain/IDCS]
re_expression = (?P<domain>[^\\]*?)\\?(?P<name>[^\\]+$)
auth_provider =  proxy
id_provider = proxy
proxy_lib_name = oracle_cloud
proxy_pam_target = sssd_proxy_oracle_cloud
enumerate =  false
cache_credentials = true
# Default cache timeout 90 mins for user/group info entries, 
#before it reaches to IDCS for new updates
entry_cache_timeout = 5400

De manera opcional, puede configurar direcciones de correo electrónico como nombres de usuario de SSO. Para ello, agregue la línea en negrita al archivo /etc/sssd/sssd.conf para especificar la expresión regular.

...
[pam]
[domain/proxy_proxy]
re_expression = (?P<domain>[^\\]*?)\\?(?P<name>[^\\]+$)
auth_provider =  proxy
id_provider = proxy
...

Verifique que el archivo /etc/pam.d/sssd_proxy_oracle_cloud existe y que es propiedad del usuario raíz. Si el archivo ya no existe, créelo como usuario raíz y agregue el siguiente:
/etc/pam.d/sssd_proxy_oracle_cloud file
```
auth          required      pam_oracle_cloud.so
account       required      pam_oracle_cloud.so
password      required      pam_oracle_cloud.so
session       required      pam_oracle_cloud.so
```
Edite /etc/pam.d/sshd y agregue el módulo pam_oracle_cloud:
/etc/pam.d/sshd
```
auth sufficient pam_oracle_cloud.so
```
Nota

Agregue esta información antes de la línea auth include password-auth o auth substack password-auth*.
Edite /etc/ssh/sshd_config para configurar sshd a fin de permitir el uso de la autenticación multifactor (MFA):

/etc/ssh/sshd_config

Busque la propiedad ChallengeResponseAuthentication y defínala en yes. Si la propiedad no se encuentra en el archivo de configuración, agréguela.

Edite /etc/opc.conf para permitir que el plugin interactúe con IAM:

/etc/opc.conf

#This is sample format of opc.conf file, please use the correct information to configure this file.
#Enter the Oracle Identity Cloud Service tenancy base url.
base_url = https://identity-cloud-service-instance-url
#There is no need to change value of scope.
scope = urn:opc:idm:__myscopes__
#Enter the location of the wallet.
wallet_location = /etc/opc-wallet
#Enter the log level, this is optional and the default is 0, which means no log. 0 - None, 1 - Error, 2 - Info, 3 - Debug.
log_level = 0
#Enter the log file path, this is optional and defaults to /var/log/opc/pam_nss.log
log_file_path = /var/log/opc/pam_nss.log
#Enter the value for proxy usage to connect to Oracle Identity Cloud Service.
#Set the value to 1 to use a proxy and 0 to not use a proxy.
use_proxy=0
#Enter the information below if you set: use_proxy=1
#Enter the proxy url
#proxy_url=http://proxy.example.com
#Enter the proxy port
#proxy_port=80#Enter the username to connect to the proxy url.
#proxy_username=username_example
#Enter the password of username to connect proxy url.
#proxy_pwd=pwd_example

Reinicie sssd y sshd:
1. Para OEL6 y OEL7: authconfig --enablemkhomedir --enablepamaccess --update.
2. Para OEL8: authselect select sssd with-mkhomedir with-pamaccess.
3. Ejecución: service sshd restart.
4. Ejecución: service sssd restart.

Documentación de Oracle Cloud Infrastructure

Configuración del PAM mediante SSSD