Linux에서 PAM을 구성하고 사용하는 방법

지원되는 제어 플래그는 다음과 같습니다.

• 필수: 오류가 발생하면 첫 번째 모듈 오류의 성격을 나타내는 제어권이 즉시 애플리케이션에 반환됩니다.
• 필수: libpam이 애플리케이션에 성공을 반환하려면 이러한 모듈이 모두 성공해야 합니다.
• 충분: 이전 모듈이 모두 성공한 경우 이 모듈의 성공은 즉각적이고 성공적인 애플리케이션 복귀로 이어집니다(이 모듈의 실패는 무시됩니다).
• 선택 사항: 이 모듈의 성공 또는 실패는 일반적으로 기록되지 않습니다.

위의 키워드 외에도 두 가지 유효한 제어 플래그가 있습니다.

• include 및 substack: 이 컨트롤에 대한 인수로 지정된 구성 파일에서 지정된 유형의 모든 행을 포함합니다.

PAM을 통해 SSH 서비스에 대한 루트 액세스를 제한하는 방법

예를 들어 PAM을 사용하여 SSH 및 로그인 프로그램을 통해 시스템에 대한 루트 사용자 액세스를 비활성화하는 방법을 구성합니다. 여기서는 로그인 및 sshd 서비스에 대한 액세스를 제한하여 시스템에 대한 루트 사용자 액세스를 비활성화하려고 합니다.

특정 계정의 권한을 제한하는 데 뛰어난 유연성을 제공하는 /lib/security/pam_listfile.so 모듈을 사용할 수 있습니다. 표시된 대로 /etc/pam.d/ 디렉터리에서 대상 서비스에 대한 파일을 열고 편집합니다.

sudo vim /etc/pam.d/sshd
OR
sudo vim /etc/pam.d/login

두 파일 모두에 이 규칙을 추가합니다.

auth    required       pam_listfile.so \
        onerr=succeed  item=user  sense=deny  file=/etc/ssh/deniedusers

위 규칙의 토큰을 설명하면 다음과 같습니다.

• auth: 모듈 유형(또는 컨텍스트)입니다.
• 필수: 모듈이 사용되는 경우 다른 모듈의 상태에 관계없이 모듈이 통과해야 하며 그렇지 않으면 전체 결과가 실패함을 의미하는 제어 플래그입니다.
• pam_listfile.so: 임의의 파일을 기반으로 서비스를 거부하거나 허용하는 방법을 제공하는 모듈입니다.
• onerr=succeed: 모듈 인수.
• item=user: 파일에 나열되고 확인되어야 하는 항목을 지정하는 모듈 인수입니다.
• sense=deny: 파일에서 항목을 찾을 경우 수행할 작업을 지정하는 모듈 인수입니다. 항목이 파일에서 발견되지 않으면 반대 작업이 요청됩니다.
• file=/etc/ssh/deniedusers: 한 줄에 하나의 항목을 포함하는 파일을 지정하는 모듈 인수입니다.

다음으로 /etc/ssh/deniedusers 파일을 만들고 여기에 root 이름을 추가해야 합니다.

sudo vim /etc/ssh/deniedusers

변경 사항을 저장하고 파일을 닫은 후 필요한 권한을 설정하세요.

sudo chmod 600 /etc/ssh/deniedusers

이제부터 위 규칙은 PAM에게 /etc/ssh/deniedusers 파일을 참조하고 나열된 사용자의 SSH 및 로그인 서비스에 대한 액세스를 거부하도록 지시합니다.

Linux에서 고급 PAM을 구성하는 방법

더 복잡한 PAM 규칙을 작성하려면 다음 형식으로 유효한 제어 플래그를 사용할 수 있습니다.

type [value1=action1 value2=action2 …] module module-arguments

여기서 valueN은 해당 줄이 정의된 모듈에서 호출된 함수의 반환 코드에 해당합니다. 온라인 PAM 관리자 가이드에서 지원되는 값을 찾을 수 있습니다. 특별한 값은 기본값이며 명시적으로 언급되지 않은 모든 valueN을 의미합니다.

actionN은 다음 형식 중 하나를 취할 수 있습니다.

• 무시: 이 작업을 모듈 스택과 함께 사용하는 경우 모듈의 반환 상태는 애플리케이션이 얻는 반환 코드에 영향을 미치지 않습니다.
• bad: 반환 코드가 모듈 실패를 나타내는 것으로 간주되어야 함을 나타냅니다. 이 모듈이 스택에서 가장 먼저 실패하는 경우 해당 모듈의 상태 값이 전체 스택의 상태 값으로 사용됩니다.
• die: bad와 동일하지만 모듈 스택을 종료하고 PAM이 즉시 애플리케이션으로 돌아갈 수 있습니다.
• ok: 이는 시스템 관리자가 이 반환 코드가 전체 모듈 스택의 반환 코드에 직접 기여해야 한다고 생각한다고 PAM에 지시합니다.
• done: ok와 동일하지만 모듈 스택을 종료하고 PAM이 즉시 애플리케이션으로 돌아갈 수 있습니다.
• N(부호 없는 정수): ok와 동일하지만 스택의 다음 N 모듈을 뛰어넘을 수 있습니다.
• 재설정: 이 작업은 모듈 스택 상태의 모든 메모리를 지우고 다음 스택 모듈로 다시 시작합니다.

4개의 키워드 각각: 필수; 필요한; 충분한; 선택 사항인 경우 [...] 구문 측면에서 동등한 표현식을 사용하면 더 복잡한 규칙을 작성할 수 있으며 다음과 같습니다.

• 필수: [success=ok new_authtok_reqd=ok 무시=무시 기본값=나쁨]
• 필수: [success=ok new_authtok_reqd=ok 무시=무시 기본값=죽음]
• 충분: [success=done new_authtok_reqd=done default=ignore]
• 선택 사항: [success=ok new_authtok_reqd=ok 기본값=무시]

다음은 최신 CentOS 7 시스템의 예입니다. /etc/pam.d/postlogin PAM 파일에서 다음 규칙을 고려해 보겠습니다.

#%PAM-1.0
This file is auto-generated.
User changes will be destroyed the next time authconfig is run.
session     [success=1 default=ignore] pam_succeed_if.so service !~ gdm* service !~ su* quiet
session     [default=1]   pam_lastlog.so nowtmp showfailed
session     optional      pam_lastlog.so silent noupdate showfailed

다음은 /etc/pam.d/smartcard-auth PAM 파일의 또 다른 구성 예입니다.

#%PAM-1.0
This file is auto-generated.
User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        [success=done ignore=ignore default=die] pam_pkcs11.so nodebug wait_for_card
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password    required      pam_pkcs11.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so

자세한 내용은 pam.d 매뉴얼 페이지를 참조하세요.

man pam.d 

마지막으로 구성 파일 구문과 모든 PAM 모듈에 대한 포괄적인 설명은 Linux-PAM 설명서에서 찾을 수 있습니다.

요약

PAM은 Linux 시스템의 애플리케이션에 대한 인증에 의존하는 프로그램을 허용하는 강력한 고급 API입니다. 강력하지만 이해하고 사용하기가 매우 어렵습니다.

이 기사에서는 Ubuntu 및 CentOS에서 PAM의 고급 기능을 구성하는 방법을 설명했습니다. 질문이나 공유하고 싶은 의견이 있으면 아래 피드백 양식을 사용하세요.