質問: 3段階認証? 私はubuntuを使用しています。libpam-google-authenticator(携帯電話で生成されたコードを使用してログインできる)と証明書認証を連携させることができるかどうか、そして可能であれば、どうすればよいか疑問に思っています。それを設定します。したがって、私のアカウントにログインするには、私のパスワード、私の電話(およびそのパスコード)、および私の証明書/秘密鍵とそのパスワードが必要になります。私は両方を独立して動作させることができましたが、一緒に動作させることはできませんでした。どういうわけかそれは可能だと確信しています。ありがとう。
回答: pamモジュールをチェーン化することでこれを行うことができます。しかし、詳細に入る前に:pamを正しく構成しないと、システムにログインできなくなる可能性がありますありがたいことに、いつでもシングルユーザーモードで起動して問題を修正できますが、pamは必要以上に混乱させたいものではないことに注意してください。とにかく、この背後にある考え方は、スタッキングpamモジュールを利用して、pam-google-authenticator、pam_unix(これはパスワードをチェックします)および証明書モジュールがすべて成功してアクセスできるようにすることができるということです。デフォルトでは、pamは、他の認証モジュールをスキップして、任意の認証モジュールがユーザーを認証できるように構成されています。/etc/pam.d/common-authで、上部近くに次のような行が表示されます。auth [success=2 default=ignore] pam_unix.so nullok_secure try_first_pass これは、pam_unix.soが成功する必要があることをpamに通知し、次の2つのルール(通常は別の認証モジュールであり、次にpam_deny.so)をスキップして、オプションのモジュールに進みます。ただし、モジュールに障害が発生した場合、そのモジュールは無視され、制御はチェーン内の次のモジュールに渡されます。これは、コントロールがオプションのブロックにスキップするか、pamがpam_deny.soにヒットしてそこで失敗するまで、各認証モジュールを下に進みます。これを利用して、pam-google-authenticator、pam_unix.so、および証明書pamモジュールがすべて成功してアクセスできるようにする必要があります。使用しているgoogle認証システムモジュールまたは証明書モジュールの名前はわかりませんが、common-authファイルで見つけることができるはずです。したがって、このようなものを一番上に置くことによって:auth requisite pam_unix.so nullok_secure auth requisite pam_google_authenticator.so auth requisite pam_certificate_auth.so auth [success=<n>] pam_permit.so <n>をここのpam_permit.soモジュールと次のpam_permit.soモジュールの間のモジュール数に置き換えます。つまり、これは最上位の認証モジュールの[success = n default = ignore]に設定する必要があります。コード+1。この構文は少しファンキーですが、上記のモジュールが成功した後、基本的に認証モジュールをスキップします。もちろん、この3段階の認証をユーザーアカウントだけに制限する方法について疑問に思われるかもしれません。これはpam_succeed_if.soモジュールを使用して実行でき、上記の3ステップの認証ブロックの上に挿入する必要があります。auth [success=ignore default=4] pam_succeed_if.so user = <username> <username>はユーザー名に置き換えられます。この行は、pam_succeed_if.soが成功した場合(つまり、ユーザー名がその行のユーザー名と一致する場合)、pamは次のモジュール(3ステップの認証モジュール)に進む必要があることを示しています。それ以外の場合、pamは実際のモジュールにジャンプする必要があります。実際のモジュールはこのモジュールから4モジュール離れています。グループのメンバーシップと特定のユーザー名など、複数のものを照合するには、次のように複数の行を使用する必要があります。auth [success=1 default=ignore] pam_succeed_if.so user = <username> auth [success=ignore default=4] pam_succeed_if.so user ingroup <group> これを行う前に、common-authファイルをバックアップし、シングルユーザーモードと緊急時に古いファイルを復元する方法についても理解しました。この構成は私によってテストされていませんが、機能するはずです。これを初めてテストする場合は、ルートシェルを1つか2つ開いて、そのままにしておきます。 common-authをバックアップに簡単に置き換えることができるため、これらは問題が発生した場合のフォールバックとして機能します。次に、これらの変更を行います。次に、suを使用してユーザーアカウントにログインしてみてください。3段階の認証プロセスを実行する必要があります。pam_succeed_if.soモジュールの完全なドキュメントは、 http://linux.die.net/man/8/pam_succeed_if にあります。