Источник хорошей онлайн-документации по PAM
У меня недавно возникла проблема, когда я не мог изменить пароль для локальной учетной записи, потому что UID находился в пределах параметра Kerberos minimum_uid в PAM и с помощью usermod для перемещения UID ниже 1000 приводил к другой ошибке манипуляции с токеном.
Утилита pam-auth-update разрешила мою проблему, заменив две строки внутри common-password.
*** common-password.pam-old 2017-11-17 19:18:30.459194260 +0000
--- common-password 2017-11-17 19:18:30.455194330 +0000
***************
*** 22,29 ****
# pam-auth-update(8) for details.
# here are the per-package modules (the "Primary" block)
! password [success=3 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512
! password [success=2 default=ignore] pam_krb5.so minimum_uid=1000
password [success=1 user_unknown=ignore default=die] pam_ldap.so use_authtok try_first_pass
# here's the fallback if no module succeeds
password requisite pam_deny.so
--- 22,29 ----
# pam-auth-update(8) for details.
# here are the per-package modules (the "Primary" block)
! password [success=3 default=ignore] pam_krb5.so minimum_uid=1000
! password [success=2 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512
password [success=1 user_unknown=ignore default=die] pam_ldap.so use_authtok try_first_pass
# here's the fallback if no module succeeds
password requisite pam_deny.so
Может кто-нибудь объяснить, почему смена очереди строк сработала или указать мне хорошую документацию PAM онлайн, который бы объяснил это?
Прежде чем отправлять мой оригинальный вопрос, я прочитал несколько страниц, посвященных PAM (перечисленным ниже), но я не помню, чтобы видел пример, объясняющий логику синтаксического анализа для строк выше. Мне казалось, что если первое совпадение победит, проверка наличия локального аккаунта сначала с pam_unix.so показалась логичным путем.
Статьи, которые я нашел и прочитал:
https://www.linux.com/news/understanding-pam https://wiki.debian.org/LDAP/PAM http://www.tuxradar.com/content/how-pam-works http: // www .rjsystems.nl / ru / 2100-pam-debian.php