名称解析和Pam

迈不过友情╰ 2022-05-17 01:54 160阅读 0赞

*  用户在登陆过程中,打印在终端上面上面的消息,来自于`/etc/issue`文件,这个文件里面的内容如下:  
    ![这里写图片描述][70]
 *  `\`表示的是逃逸符号,常见的含义,通过`man mingetty`来进行显示  
    
    
     *  `\d`:`insert current day (localtime)`;
     *  `\l`:`insert line on which mingetty is running`;
     *  `\m`:`inserts machine architecture (uname -m)`;
     *  `\n`:`inserts machine’s network node hostname (uname -n)`;
     *  `\o`:`inserts domain name`
 *  对于使用的是`agetty`那么就需要使用`man agetty`来进行查看;
 *  文件系统挂载可以通过查看目录`/proc/mounts`来进行查看  
    ![这里写图片描述][70 1]
 *  **关于PAM**
 *  称为可插入式i认证模块,`Pluggable Authentication Module`,配置文件在`/etc/pam.d/`目录里面;

[root@localhost ~]# ls /etc/pam.d/
    atd        other             sudo-i
    authconfig     passwd            su-l
    authconfig-gtk     pirut             system-auth
    authconfig-tui     pm-hibernate          system-auth-ac
    chfn           pm-powersave          system-cdinstall-helper
    chsh           pm-suspend            system-config-authentication
    config-util    pm-suspend-hybrid         system-config-date
    cpufreq-selector   poweroff          system-config-display
    crond          ppp               system-config-kdump
    cups           pup               system-config-keyboard
    dateconfig     reboot            system-config-language
    eject          remote            system-config-lvm
    ekshell        rhn_register          system-config-netboot
    gdm        run_init          system-config-network
    gdm-autologin      runuser           system-config-network-cmd
    gdmsetup       runuser-l             system-config-printer

*  关于资源授权服务:  
    
    
     *  认证`Authentication`:表示进行用户身份的认证,验证用户的身份是否合法,一般使用用户和口令的方式进行用户身份的认证,因为某些用户名是公开的,所以用户名是不能够作用用户验证的基本手段的;
     *  授权`Authorization`:用于决定一个用户是否能够访问某些资源或者服务;
     *  系统识别户是按照 `UID`和`GID`来识别的,将字符串转换成对应的数字的过程成为名称解析,名称解析,通常是双向的;
     *  当需要进行用户名称和`ID`进行转换的时候,在开始可以使用一个文件来进行保存,然后让程序去该文件中进行读取,但是随着数据量的增大,这样就不方便,而且大量的应用程序的源代码不支持进行文件位置的重写;当多个应用程序都需要进行这样的重写时,就需要引 `nsswitch`中间 层 , 称 为: `network service switch`(网络服务转换),本身也是一些库文件,当使用时进行调用;这个库本身提供了多种的调用方式,在具体到某一个应用程序时,必须在配置文件里面说明使用的方式, ,配置文件是`/etc/nsswitch.conf`;
     *  `nsswitch.conf`:

#passwd: db files nisplus nis
    #shadow: db files nisplus nis
    #group: db files nisplus nis
    
    passwd:     files
    shadow:     files
    group:      files
    
    #hosts: db files nisplus nis dns
    hosts:      files dns
    
    # Example - obey only what nisplus tells us...
    #services: nisplus [NOTFOUND=return] files
    #networks: nisplus [NOTFOUND=return] files
    #protocols: nisplus [NOTFOUND=return] files
    #rpc: nisplus [NOTFOUND=return] files
    #ethers: nisplus [NOTFOUND=return] files
    #netmasks: nisplus [NOTFOUND=return] files 
    // 上面语法表示的含义是如果查找的结果是NOTUOUND那么就直接返回,后面的不进行查找

*  对于查找的返回结果:  
    
    
     *  `SUCCESS`:服务正常,已经实现解析;
     *  `NOTFOUND`:表示服务正常,当时要求查找的,查找不到;
     *  `UNAVAIL`:表示服务不正常;
     *  `tryagain`:表示服务有临时性的故障;
 *  默认的动作是,前者成功后,后者不进行查找,前者失败,后者进行查找;
 *  查找的过程是:首先应用程序在使用名称转换机制时,首先根据/`etc/nsswitch.conf`去匹配对应的库文件,如果使用的是`files`类型,就需要匹配`/usr/lib/libnss_files.so`这个库文件,然后执行库文件,最后查找合适的文件,完成解析过程;
 *  对于不同的解析机制,就需要不同库文件提供支持,配置文件提供了名称解析的步骤,同时也指明了库的调用方式
 *  库文件的位置在`/usr/lib/`

[root@localhost ~]# ls /usr/lib/ | grep 'nss'
    libgnutls-openssl.so.13
    libgnutls-openssl.so.13.0.6
    libnss3.so
    libnssckbi.so
    libnss_db.so
    libnss_ldap.so
    libnssutil3.so
    nss
    [root@localhost ~]# ls /usr/lib64/ | grep 'nss'
    libgnutls-openssl.so.13
    libgnutls-openssl.so.13.0.6
    libnfsidmap_nsswitch.so
    libnfsidmap_nsswitch.so.0
    libnfsidmap_nsswitch.so.0.0.0
    libnss3.so
    libnssckbi.so
    libnss_db.so
    libnss_ldap.so
    libnssutil3.so
    libnss_winbind.so
    libnss_wins.so
    nss

*  不同的协议使用的转换的文件是不同的,对于文件的使用的机制都是`files`,但是是不同的文件;
 *  `/etc/protocols`定义的是协议和端口的对应文件

[root@localhost ~]# cat /etc/protocols 
    # /etc/protocols:
    # $Id: protocols,v 1.5 2006/10/11 15:39:11 pknirsch Exp $
    #
    # Internet (IP) protocols
    #
    # from: @(#)protocols 5.1 (Berkeley) 4/17/89
    #
    # Updated for NetBSD based on RFC 1340, Assigned Numbers (July 1992).
    #
    # See also http://www.iana.org/assignments/protocol-numbers
    
    ip  0   IP      # internet protocol, pseudo protocol number
    hopopt  0   HOPOPT      # hop-by-hop options for ipv6
    icmp    1   ICMP        # internet control message protocol
    igmp    2   IGMP        # internet group management protocol
    ggp 3   GGP     # gateway-gateway protocol
    ipencap 4   IP-ENCAP    # IP encapsulated in IP (officially ``IP'')
    st  5   ST      # ST datagram mode
    tcp 6   TCP     # transmission control protocol
    cbt 7   CBT     # CBT, Tony Ballardie <A.Ballardie@cs.ucl.ac.uk>
    egp 8   EGP     # exterior gateway protocol
    igp 9   IGP     # any private interior gateway (Cisco: for IGRP)
    bbn-rcc 10  BBN-RCC-MON # BBN RCC Monitoring
    nvp 11  NVP-II      # Network Voice Protocol
    pup 12  PUP     # PARC universal packet protocol
    argus   13  ARGUS       # ARGUS
    emcon   14  EMCON       # EMCON
    xnet    15  XNET        # Cross Net Debugger
    chaos   16  CHAOS       # Chaos
    udp 17  UDP     # user datagram protocol
    mux 18  MUX     # Multiplexing protocol
    dcn 19  DCN-MEAS    # DCN Measurement Subsystems
    hmp 20  HMP     # host monitoring protocol
    prm 21  PRM     # packet radio measurement protocol
    xns-idp 22  XNS-IDP     # Xerox NS IDP
    trunk-1 23  TRUNK-1     # Trunk-1
    trunk-2 24  TRUNK-2     # Trunk-2
    leaf-1  25  LEAF-1      # Leaf-1
    leaf-2  26  LEAF-2      # Leaf-2
    rdp 27  RDP     # "reliable datagram" protocol
    irtp    28  IRTP        # Internet Reliable Transaction Protocol
    iso-tp4 29  ISO-TP4     # ISO Transport Protocol Class 4

*  还有一个文件是`/etc/services`

bsquare-voip    1071/udp            # BSQUARE-VOIP
    cardax      1072/tcp            # CARDAX
    cardax      1072/udp            # CARDAX
    bridgecontrol   1073/tcp            # Bridge Control
    bridgecontrol   1073/udp            # Bridge Control
    fastechnologlm  1074/tcp            # FASTechnologies License Manager
    fastechnologlm  1074/udp            # FASTechnologies License Manager
    rdrmshc     1075/tcp            # RDRMSHC
    rdrmshc     1075/udp            # RDRMSHC
    dab-sti-c   1076/tcp            # DAB STI-C
    dab-sti-c   1076/udp            # DAB STI-C
    imgames     1077/tcp            # IMGames
    imgames     1077/udp            # IMGames
    avocent-proxy   1078/tcp            # Avocent Proxy Protocol
    avocent-proxy   1078/udp            # Avocent Proxy Protocol
    asprovatalk 1079/tcp            # ASPROVATalk
    asprovatalk 1079/udp            # ASPROVATalk
    pvuniwien   1081/tcp            # PVUNIWIEN
    pvuniwien   1081/udp            # PVUNIWIEN
    amt-esd-prot    1082/tcp            # AMT-ESD-PROT
    amt-esd-prot    1082/udp            # AMT-ESD-PROT
    ansoft-lm-1 1083/tcp            # Anasoft License Manager
    ansoft-lm-1 1083/udp            # Anasoft License Manager
    ansoft-lm-2 1084/tcp            # Anasoft License Manager
    ansoft-lm-2 1084/udp            # Anasoft License Manager
    webobjects  1085/tcp            # Web Objects
    webobjects  1085/udp            # Web Objects
    cplscrambler-lg 1086/tcp            # CPL Scrambler Logging
    cplscrambler-lg 1086/udp            # CPL Scrambler Logging
    cplscrambler-in 1087/tcp            # CPL Scrambler Internal
    cplscrambler-in 1087/udp            # CPL Scrambler Internal
    cplscrambler-al 1088/tcp            # CPL Scrambler Alarm Log
    cplscrambler-al 1088/udp            # CPL Scrambler Alarm Log
    ff-annunc   1089/tcp            # FF Annunciation
    ff-annunc   1089/udp            # FF Annunciation
    ff-fms      1090/tcp            # FF Fieldbus Message Specification
    ff-fms      1090/udp            # FF Fieldbus Message Specification
    ff-sm       1091/tcp            # FF System Management
    ff-sm       1091/udp            # FF System Management
    obrpd       1092/tcp            # Open Business Reporting Protocol
    obrpd       1092/udp            # Open Business Reporting Protocol
    proofd      1093/tcp            # PROOFD
    proofd      1093/udp            # PROOFD
    rootd       1094/tcp            # ROOTD
    rootd       1094/udp            # ROOTD
    nicelink    1095/tcp            # NICELink
    nicelink    1095/udp            # NICELink
    cnrprotocol 1096/tcp            # Common Name Resolution Protocol
    cnrprotocol 1096/udp            # Common Name Resolution Protocol
    sunclustermgr   1097/tcp            # Sun Cluster Manager
    sunclustermgr   1097/udp            # Sun Cluster Manager
    rmiactivation   1098/tcp            # RMI Activation
    rmiactivation   1098/udp            # RMI Activation
    rmiregistry 1099/tcp            # RMI Registry
    rmiregistry 1099/udp            # RMI Registry
    mctp        1100/tcp            # MCTP
    mctp        1100/udp            # MCTP
    pt2-discover    1101/tcp            # PT2-DISCOVER
    pt2-discover    1101/udp            # PT2-DISCOVER
    adobeserver-1   1102/tcp            # ADOBE SERVER 1
    adobeserver-1   1102/udp            # ADOBE SERVER 1
    adobeserver-2   1103/tcp            # ADOBE SERVER 2

*  几乎每一个端口都已经被占用
 *  操作系统提供的一个特殊的命令`getent`
 *  `getent`:`get entries from administrative database`;
 *  可以用于验证`nss`配置完成之后,是否能够正常执行,这个命令没有选项;

root:x:0:0:root:/root:/bin/bash
    bin:x:1:1:bin:/bin:/sbin/nologin
    daemon:x:2:2:daemon:/sbin:/sbin/nologin
    adm:x:3:4:adm:/var/adm:/sbin/nologin
    lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
    sync:x:5:0:sync:/sbin:/bin/sync
    shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
    halt:x:7:0:halt:/sbin:/sbin/halt
    mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
    news:x:9:13:news:/etc/news:
    uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
    operator:x:11:0:operator:/root:/sbin/nologin
    games:x:12:100:games:/usr/games:/sbin/nologin
    gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
    ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin

*  或者获取某个条目的具体信息

[root@localhost ~]# getent passwd root
    root:x:0:0:root:/root:/bin/bash
    [root@localhost ~]# getent hosts 
    127.0.0.1       localhost.localdomain localhost

*  上面的机制完成的是字符串和`ID`的转换过程,接下来就是验证的过程
 *  认证是将用户标示和认证口令进行对比的过程;
 *  用户登录的过程:  
    
    
     *  以`root`用户为为例,`root`首先进行按照`nsswitch`查找`passwd:files`得到用户的`ID`;
     *  其次在根据用户输入的密码,同时结合`nsswitch`查找`shados:files`文件;
     *  用户认证的过程就是使用对应的算法并结合加密字符串,并且进行对比的过程;
 *  对于认证过程,可以借助于名称解析实现对应条目的查找,但是也可以自己实现名称解析;
 *  认证的过程类似于名称解析,通过中间层来实现认证机制的切换,这个中间层是`PAM`,是一个认证框架,通过库文件来实现认证;  
    ![这里写图片描述][70 2]
 *  `pam_unix.so`是用来实现创痛意义上面的,通过`/etc/shadow`来实现用户认证机制的库文件;
 *  具体通过那种机制来实现用户认证的过程,是通过配置文件`/etc/pam.d/login`来实现的,对于不同的服务,存在不同的配置文件;  
    ![这里写图片描述][70 3]
 *  `pam`实现认证的过程  
    ![这里写图片描述][70 4]
 *  关于上面一些解释,说明:  
    
    
     *  `AUTH`:用于检查,用户输入的帐号密码是否是匹配的,就是用于进行用户认证的;
     *  `ACCOUNT`:用于检查用户账户的状态,
     *  `PASSWORD`:在用户修改密码时进行相关的设定,比如检查密码的复杂度,用户密码的使用时间等;
     *  `session`:用于定义用户会话的相关属性,例如登陆时间等问题;
 *  `pam`的配置文件是在`/etc/pam.d/service`,一般是和服务名称相同的;  
    
    
     *  `type`:表示的是类型,例如:`AUTH`,`ACCOUNT`,`PASSWORD`,`SESSION`等;
     *  `control`:表示控制.当认证存在多个时,之间的关系;
     *  `module-path`:需要完成功能使用的认证模块;
     *  `module-argument`:表示认证的模块的参数;
     *  关于`service`的说明:服务名必须是小写字母;`other`文件是用来定义默认的规则的;
     *  `control`的说明:  
        
        
         *  `required` :表示里面的参数如果通过,那么继续后面的检查,如果没有通过,直接返回不通过,后面的检查任然需要进行,;否决,仍然检查,但是结果是否决的
         *  `requisite`:如果通过继续检查后面的,如果没有通过那么就返回无法通过,后面的检查就不需要进行了,一票否决,后面不检查
         *  `suffcient`:表示通过那么就直接通过,后面的检查就不需要进行了,如果没有通过,那么不受影响;一票通过权;
         *  `optional`:表 示建 议性 意见,不进 行 采 纳;
         *  `include`:表 示 包 含 其 他 文 件,通过其他文件的定义进行说明;
 *  `pam`支持通过下面的方式进行定义:

auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so

*  关于`[]`里面的返回值,包括`success, open_err,symbol_err, service_error,system_err,buf_err, perm_denied, auth_err, cred_insufficient`;
 *  模块认证完成后的动作:
    
     *  `OK`:表示这个模块通过,需要继续检查;
     *  `Done`:表示这个模块通过,后面的不需要检查;
     *  `Bad`:表示结果失败,继续检查;
     *  `Die`: :表示结果失败,后面的不进行检查;
     *  `Ignore`:表示忽略检查;
     *  `Reset`:表示忽略以前的所有结果,从这项开始检查;
 *  上面的动作类似于下面的图  
    ![这里写图片描述][70 5]
 *  一个配置文件:

#%PAM-1.0
    # This file is auto-generated.
    # User changes will be destroyed the next time authconfig is run.
    auth        required      pam_env.so
    auth        sufficient    pam_unix.so nullok try_first_pass
    auth        requisite     pam_succeed_if.so uid >= 500 quiet
    auth        required      pam_deny.so
    
    account     required      pam_unix.so
    account     sufficient    pam_succeed_if.so uid < 500 quiet
    account     required      pam_permit.so
    
    password    requisite     pam_cracklib.so try_first_pass retry=3
    password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
    password    required      pam_deny.so
    
    session     optional      pam_keyinit.so revoke
    session     required      pam_limits.so
    session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
    session     required      pam_unix.so
    ~

*  常见的几个模块的意义:  
    
    
     *  `pam_unix`:传统意义上面的密码认证模块,用于到`/etc/shadow`里面进行用户认证;  
        
        
         *  `nullok`:表示允许为空;
         *  `shadow`:表示通过`shadow`的方式进行验证;
         *  `md5`:表示密码是通过`md5`的方式进行存放的;
         *  `try_first_pass`:如果用户之前输入过密码,使用之前输入的密码进行尝试;
         *  `use_first_pass`:如果用户之前输入过密码,直接使用用户之前输入的密码;
     *  `pam_permit`:表示允许访问,否则就什么都不做;
     *  `pam_deny`:是用来拒绝访问的,通知应用成程序,认证不通过,通常用于`other`服务里面;
     *  `pam_cracklib`:用于检查字典中包含的密码,如果包括,就不通过,用于检查密码的安全性;  
        
        
         *  `minlen`:表示用户密码的最短长度;
         *  `difok`:用于验证密码和之前的是否相同;
         *  `dcredit`:用于定义最少包含多少个数字;
         *  `ucredit`:用于定义最少包含多少个大写字母;
         *  `lcredit`:用于定义最少包含多少个小写字母;
         *  `ocredit`:用于定义包含几个其他字符;
         *  `retry`:用于定义允许尝试的次数;
 *  例如这一段的信息:

password    requisite     pam_cracklib.so try_first_pass retry=3
    password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok  //表示的含义是设置密码为i第一次用户检查通过的哪个密码;
    password    required      pam_deny.so

* `pam_shells`:表示用户使用`shell`必须是`/etc/shells`里面设置的`shell`;
    * `pam_security`:限制管理员登陆的设备,可以通过增加`/etc/securetty`来进行定义;
    * `pam_listfile`:表示的含义是,通过自己定义的文件,来定义那些用户可以登录系统,那些用户不可以登陆系统;
            * `item=[tty|user|rhost|ruser|group|shell]`:表示的这个条目的含义是什么;
            * `sense=[allow|deny]`:表示的是允许的动作是什么;
            * `file=/path/to/filename`:表示是通过哪个文件进行定义的;
            * `onerr=[success|fail]` :表示一旦发生错误,是成功,还是失败;
            * `apply=[user|@group]`:表示允许那些组登陆;
            * `quiet`:

\* 通过修改上面的文件,来实现用户登录的一个控制;  
\* 首先备份一份文件:

[root@localhost pam.d]# cp system-auth-ac /mnt/

*  在第二行添加

auth required pam_listfile.so item=group sense=allow file=/etc/pamgroup_allow

*  然后创建配置文件

root
    hello //这里面表示的是组

*  添加`hello`组

[root@localhost pam.d]# groupadd hello

*  创建一个新的用户

[root@localhost pam.d]# useradd westos
    [root@localhost pam.d]# passwd westos
    Changing password for user westos.
    New UNIX password: 
    BAD PASSWORD: it is based on a dictionary word
    Retype new UNIX password: 
    passwd: all authentication tokens updated successfully.
    //这个用户并不属于hello组
    uid=500(westos) gid=501(westos) groups=501(westos) context=root:system_r:unconfined_t:SystemLow-SystemHigh

*  来使用这个用户进行登陆  
    ![这里写图片描述][70 6]
 *  这里的密码是没有输入错误的,接下来,将这个用户加入`hello`组

[root@localhost pam.d]# usermod -a -G hello westos

*  再次尝试登陆  
    ![这里写图片描述][70 7]
 *  登陆是成功的;
 *  `pam_rootok`:表示只要是 `root`用户登录,直接通过,也就是`su`的过程是不需要出入密  
    码的;文件在`/etc/pam.d/su`文件里面,模块信息是`pam_rootok.so`;如果想要更改,就去修改`auth sufficient pam_rootok.so`这一行的信息

#%PAM-1.0
    auth            sufficient      pam_rootok.so  //就是这一行,管理员直接通过,不使用密码;
    # Uncomment the following line to implicitly trust users in the "wheel" group.
    #auth sufficient pam_wheel.so trust use_uid
    # Uncomment the following line to require a user to be in the "wheel" group.
    #auth required pam_wheel.so use_uid
    auth            include         system-auth
    account         sufficient      pam_succeed_if.so uid = 0 use_uid quiet
    account         include         system-auth
    password        include         system-auth
    session         include         system-auth
    session         optional        pam_xauth.so

*  `pam_limits`:表示在一次用户会话里面可以使用的系统资源的限定,管理员也是接受这  
    个限制的,默认情况下,使用的限制的配置文件:`/etc/security/limits.conf`其他的配置文件在`/etc/security/limits.d/*.conf`里面;

#<domain> can be:
    # - an user name
    # - a group name, with @group syntax
    # - the wildcard *, for default entry
    # - the wildcard %, can be also used with %group syntax,
    # for maxlogin limit
    #
    #<type> can have the two values:
    # - "soft" for enforcing the soft limits
    # - "hard" for enforcing hard limits
    #
    #<item> can be one of the following:
    # - core - limits the core file size (KB)
    # - data - max data size (KB)
    # - fsize - maximum filesize (KB)
    # - memlock - max locked-in-memory address space (KB)
    # - nofile - max number of open files //最大文件数量
    # - rss - max resident set size (KB) //使用的实际内存集合
    # - stack - max stack size (KB) 
    # - cpu - max CPU time (MIN)
    # - nproc - max number of processes
    # - as - address space limit //线性物理空间限制
    # - maxlogins - max number of logins for this user 
    # - maxsyslogins - max number of logins on the system
    # - priority - the priority to run user process with
    # - locks - max number of file locks the user can hold
    # - sigpending - max number of pending signals
    # - msgqueue - max memory used by POSIX message queues (bytes)
    # - nice - max nice priority allowed to raise to
    # - rtprio - max realtime priority
    
    #<domain> <type> <item> <value>
    #
    
    #* soft core 0
    #* hard rss 10000
    #@student hard nproc[进程组] 20
    #@faculty soft nproc 20
    #@faculty hard nproc 50
    #ftp hard nproc 0
    #@student -[表示都限制] maxlogins 4

*  这里面的解释已经比较完善的;
 *  临时调整:

[root@localhost pam.d]# help ulimit
    ulimit: ulimit [-SHacdfilmnpqstuvx] [limit]
        Ulimit provides control over the resources available to processes
        started by the shell, on systems that allow such control.  If an
        option is given, it is interpreted as follows:
    
            -S  use the `soft' resource limit
            -H  use the `hard' resource limit
            -a  all current limits are reported
            -c  the maximum size of core files created
            -d  the maximum size of a process's data segment
            -e  the maximum scheduling priority (`nice')
            -f  the maximum size of files written by the shell and its children
            -i  the maximum number of pending signals
            -l  the maximum size a process may lock into memory
            -m  the maximum resident set size (has no effect on Linux)
            -n  the maximum number of open file descriptors
            -p  the pipe buffer size
            -q  the maximum number of bytes in POSIX message queues
            -r  the maximum real-time scheduling priority
            -s  the maximum stack size
            -t  the maximum amount of cpu time in seconds
            -u  the maximum number of user processes
            -v  the size of virtual memory
            -x  the maximum number of file locks

*  普通用户仅仅能喔咕调整自己的软限制;
 *  `pam_env`:根据`/etc/security/pam_env.conf`来进行环境变量的设置;

#PAGER DEFAULT=less
    #MANPAGER DEFAULT=less
    #LESS DEFAULT="M q e h15 z23 b80"
    #NNTPSERVER DEFAULT=localhost
    #PATH DEFAULT=${HOME}/bin:/usr/local/bin:/bin\
    #:/usr/bin:/usr/local/bin/X11:/usr/bin/X11
    #
    # silly examples of escaped variables, just to show how they work.
    #
    #DOLLAR DEFAULT=\$
    #DOLLARDOLLAR DEFAULT= OVERRIDE=\$${DOLLAR}
    #DOLLARPLUS DEFAULT=\${REMOTEHOST}${REMOTEHOST}
    #ATSIGN DEFAULT="" OVERRIDE=\@

*  这个文件是注释的,`redhat`是通过`/etc/profile.d`来进行设置的;
 *  `Pam_wheel`:用来设置那个用户可以直接`su`到管理员账户;可以为这个组中添加用户;

#%PAM-1.0
    auth            sufficient      pam_rootok.so
    # Uncomment the following line to implicitly trust users in the "wheel" group.
    #auth sufficient pam_wheel.so trust use_uid
    # Uncomment the following line to require a user to be in the "wheel" group.
    #auth required pam_wheel.so use_uid
    auth            include         system-auth
    account         sufficient      pam_succeed_if.so uid = 0 use_uid quiet
    account         include         system-auth
    password        include         system-auth
    session         include         system-auth

*  里面的两项是已经存在的,并且`wheel`组,也是存在

[root@localhost pam.d]# cat /etc/group | grep wheel
    wheel:x:10:root

*  `pam_motd`:是用于定义是否显示`pam_motd`里面的内容的;
 *  `pam_issue`:作用和上面是一样的;
 *  `pam_succeed_if`:用于定义用户的帐号满足某些信息,就可以登陆系统,或者不允许登陆系统;
 *  `pam_time`: 用于限定用户只能在什么时候登陆的;
 *  这个文件的定义,需要配置文件`/etc/security/time.conf`来进行定义的;
 *  `pam_securetty.so`:用于限制用户从那些终端登录系统的,配置文件是`/etc/securetty`

[root@localhost ~]# cat /etc/securetty
    console
    vc/1
    vc/2
    vc/3
    vc/4
    vc/5
    vc/6
    vc/7
    vc/8
    vc/9
    vc/10
    vc/11
    tty1
    tty2

*  `pam` 可以通过`/usr/share/doc/pam-版本号`来查看里面更加详细的信息;

[70]: /images/20220517/111abdfa441b4277afbe6ca8a3f14351.png
[70 1]: /images/20220517/544a6ea3ec7242b98c53477e753314a8.png
[70 2]: /images/20220517/ce75d67a5d5f42cda7fc36c5700ab865.png
[70 3]: /images/20220517/dd973da886c94a4690be3c03ccedea75.png
[70 4]: /images/20220517/2c69b2e7ad344783b3a5e88a5da853f2.png
[70 5]: /images/20220517/69c45bf4910c4a0d86f54729cb796967.png
[70 6]: /images/20220517/822fa9a4146643e0b85bb5f93e40eb80.png
[70 7]: /images/20220517/b96b576ad3024ae0b5c1d78e1191e3ad.png