在CentOS及其衍生的RHEL（Red Hat Enterprise Linux）系统中，/etc/pam.d/system-auth 文件扮演着至关重要的角色，它是整个系统认证机制的核心枢纽，这个文件并非由某个特定服务直接调用，而是作为一个通用的认证配置模板，被系统中绝大多数需要用户认证的服务（如 sshd, login, sudo 等）通过PAM（Pluggable Authentication Modules，可插拔认证模块）框架的 include 指令所引用，理解 system-auth 的内容、结构和管理方式，是进行系统安全加固、集成集中认证（如LDAP、Active Directory）以及定制用户行为策略的关键。
PAM框架基础
要深入理解 system-auth，首先必须对PAM框架有一个基本的认识，PAM提供了一套灵活的、模块化的方式来管理应用程序的认证流程，它将认证过程分解为四种独立的模块类型，每种类型负责一个特定的阶段：
- 认证模块：验证用户的身份，检查用户输入的密码是否正确。
- 账户模块：在用户通过认证后，检查其账户是否满足登录条件，账户是否已过期、是否在允许的登录时间段内、是否达到了最大并发会话数。
- 密码模块：用于更新用户的认证令牌，最常见的就是修改密码，此模块可以强制执行密码复杂度策略。
- 会话模块：在用户成功登录后和注销前执行的操作，挂载用户家目录、记录登录日志、设置用户资源限制等。
system-auth 文件正是这四类模块配置的集合体，它定义了系统默认的认证“栈”。
system-auth 文件的结构与解析
一个典型的 system-auth 文件由多行规则组成，每一行都遵循统一的语法格式：
module_type control_flag module_path module_arguments
module_type：即上述四种模块类型之一。
control_flag：控制标志，决定了当该模块执行成功或失败后，PAM栈的下一步行为，常见的控制标志有：
required：模块必须成功，如果失败，PAM会继续调用后续模块，但最终会向应用程序返回失败。requisite：模块必须成功，如果失败，PAM会立即终止并返回失败，不再执行后续模块。sufficient：如果该模块成功，并且之前没有required模块失败，PAM会立即返回成功，不再执行后续模块。optional：该模块的成功与否对整个认证栈的结果影响不大，通常用于记录日志或执行非关键操作。include：包含另一个PAM配置文件中的所有规则，在system-auth中，你通常不会看到include，但其他文件会include system-auth。
module_path：要调用的PAM模块的完整路径，通常位于
/lib64/security/目录下。module_arguments：传递给PAM模块的参数，用于定制其行为。
下面是一个 system-auth 文件的典型示例片段，并结合表格进行解析：
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 1000 quiet
auth required pam_deny.so
account required pam_unix.so
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 1000 quiet
account required pam_permit.so
password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so解析关键模块与参数
| 模块类型 | 模块路径 | 主要功能与参数解释 |
|---|---|---|
| auth | pam_env.so | 在认证前设置环境变量，例如从 /etc/security/pam_env.conf 读取配置。 |
| auth | pam_unix.so | 核心的Linux/UNIX认证模块，通过 /etc/passwd 和 /etc/shadow 文件验证用户。nullok 允许空密码（不推荐），try_first_pass 尝试使用之前模块已缓存的密码。 |
| auth | pam_succeed_if.so | 根据特定条件判断是否成功。uid >= 1000 表示只允许普通用户（UID大于等于1000）通过此认证阶段。 |
| password | pam_pwquality.so | 密码质量检查模块。retry=3 允许用户在密码不符合策略时重试3次，它强制执行 /etc/security/pwquality.conf 中定义的密码复杂度策略。 |
| password | pam_unix.so | 负责更新密码文件。sha512 指定使用SHA-512哈希算法，shadow 表示使用 /etc/shadow 文件，use_authtok 表示使用之前模块验证过的密码来修改，防止重复输入。 |
| session | pam_limits.so | 在会话建立时设置用户资源限制，如最大进程数、内存使用等，配置文件为 /etc/security/limits.conf。 |
如何正确管理 system-auth
文件顶部的注释明确指出：“此文件是自动生成的，用户更改将在下一次 authconfig 运行时被销毁。” 这揭示了一个关键的管理原则：永远不要手动编辑 /etc/pam.d/system-auth 文件。
在CentOS 7及更早版本中，系统使用 authconfig 工具来管理认证配置，管理员应使用 authconfig-tui（文本界面）或 authconfig 命令行工具来修改策略（如启用LDAP、设置密码哈希算法等），这些工具会自动重写 system-auth 和相关文件，确保配置的一致性和正确性。
要启用LDAP认证并更新所有相关配置,应执行：authconfig --enableldap --enableldapauth --ldapserver=ldap://example.com --ldapbasedn="dc=example,dc=com" --update
在CentOS 8及更高版本中，authconfig 已被 authselect 取代。authselect 提供了更现代、更灵活的配置管理方式，它引入了“配置文件”的概念，每个配置文件都包含了一整套预定义的PAM和系统服务配置。
管理员首先选择一个配置文件,然后进行微调。
- 选择
sssd配置文件以支持集中式认证：
authselect select sssd - 启用某个特定功能,如
with-faillock以实现账户锁定：
authselect enable-feature with-faillock
authselect 的修改会应用到一组文件中，而不仅仅是 system-auth，这大大简化了复杂认证环境的维护。
/etc/pam.d/system-auth 是CentOS系统安全策略的基石，它通过PAM框架，将认证、账户、密码和会话管理逻辑集中化，为系统上所有的服务提供统一的认证标准，虽然其内容看似复杂，但通过理解PAM的四种模块类型和控制标志，并结合对常用模块功能的认识，管理员可以清晰地解读系统的认证流程，最重要的是，必须遵循最佳实践，使用 authconfig 或 authselect 等官方工具来管理此文件，避免手动修改带来的配置冲突和系统风险，从而确保系统的稳定性和安全性。
相关问答FAQs
问题1：我误操作直接编辑了 /etc/pam.d/system-auth 文件，导致部分用户无法登录，应该如何恢复？
解答：
不要慌张，如果你有备份（这是一个非常好的习惯），可以直接从备份恢复，如果没有备份，恢复方法取决于你的CentOS版本：
- 对于CentOS 7系统：你可以尝试重新运行之前用于生成该文件的
authconfig命令，如果你不记得确切的命令，可以检查/etc/sysconfig/authconfig文件，里面记录了你通过authconfig设置的选项，根据这些选项重新构造并运行authconfig --update命令，这会根据系统已知的配置重新生成system-auth文件，覆盖你的错误修改。 - 对于CentOS 8及更高版本：情况更简单，运行
authselect reapply命令，这个命令会根据当前authselect选择的配置文件和启用的功能，重新生成所有受管理的配置文件，包括system-auth，这将立即恢复到上一个通过authselect设置的正确状态。
如果以上方法都无效，你可能需要进入单用户模式或救援模式，从系统安装介质中提取一个默认的system-auth文件作为临时恢复，然后再使用正确的工具进行配置。
问题2：/etc/pam.d/system-auth 和 /etc/pam.d/password-auth 这两个文件有什么区别？为什么它们的内容看起来几乎一样？
解答：
这是一个常见的困惑点，这两个文件在功能上有所区分，但在大多数默认配置中，它们的内容确实完全相同或非常相似。
：主要用于需要完整认证流程的系统级服务，例如本地登录（ login）、SSH登录（sshd）、sudo权限提升等，它定义了“你是谁？”以及“你被允许做什么？”的完整过程。：主要用于那些只需要验证用户身份以执行特定操作的服务，最典型的例子是修改密码，当你运行 passwd命令时，它会引用password-auth来验证你的旧密码，然后再调用password类型的模块来设置新密码。
在默认的CentOS安装中,为了简化管理，authconfig 和 authselect 工具会生成两个内容相同的文件，在更复杂的定制场景下，管理员可能会希望对它们进行区分，你可能希望 password-auth 在修改密码时有更严格的策略检查，而 system-auth 在登录时则相对宽松一些，尽管技术上可以这样做，但通过官方工具实现这种区分比较困难，因此实践中保持两者一致是最稳妥的选择，它们的存在主要是为了提供概念上的分离，以便在需要时可以独立配置。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复