Подключаемый модуль аутентификации

Структура

Подключаемый модуль аутентификации ( PAM ) — это механизм интеграции нескольких схем аутентификации (API) высокого уровня низкого уровня в интерфейс прикладного программирования . PAM позволяет писать программы, использующие аутентификацию, независимо от базовой схемы аутентификации. Впервые он был предложен компанией Sun Microsystems в Фонда открытого программного обеспечения запросе на комментарии (RFC) 86.0 от октября 1995 года. Он был принят в качестве структуры аутентификации Common Desktop Environment . Как автономная инфраструктура с открытым исходным кодом , PAM впервые появился в Red Hat Linux 3.0.4 в августе 1996 года в проекте Linux PAM . PAM в настоящее время поддерживается в операционных системах AIX , DragonFly BSD , FreeBSD , HP-UX , Linux , macOS , NetBSD и Solaris .

Поскольку центрального стандарта поведения PAM не существует, позже была предпринята попытка стандартизировать PAM как часть процесса стандартизации X/Open UNIX, в результате чего появился стандарт X/Open Single Sign-on ( XSSO ). Этот стандарт не был ратифицирован, но проект стандарта послужил ориентиром для более поздних реализаций PAM (например, OpenPAM ).

Критика

Поскольку большинство реализаций PAM сами по себе не взаимодействуют с удаленными клиентами, PAM сам по себе не может реализовать Kerberos , наиболее распространенный тип единого входа, используемый в средах Unix. Это привело к включению SSO в качестве «первичной аутентификации» в будущий стандарт XSSO и появлению таких технологий, как SPNEGO и SASL . Отсутствие функциональности также является причиной того, что SSH согласовывает собственный механизм аутентификации.

В большинстве реализаций PAM pam_krb5 извлекает только Ticket Granting Tickets , что включает в себя запрос у пользователя учетных данных, и это используется только для первоначального входа в систему в среде SSO. Чтобы получить билет службы для конкретного приложения и не запрашивать у пользователя повторный ввод учетных данных, это приложение должно быть специально закодировано для поддержки Kerberos. Это связано с тем, что pam_krb5 сам не может получить билеты службы, хотя существуют версии PAM-KRB5, которые пытаются обойти эту проблему.

См. также

• Реализации:
  • Служба аутентификации и авторизации Java
  • Linux ПАМ
  • ОпенПАМ
• Управление идентификацией – общая тема
• Переключатель службы имен — управляет базами данных пользователей.
• System Security Services Daemon – реализация единого входа на основе PAM и NSS.

Внешние ссылки

Технические характеристики:

• Оригинальный RFC Solaris PAM
• X/Open Single Sign-on (XSSO), проект рабочего документа 1997 г.

Путеводители:

• Управление PAM и паролями в Wayback Machine (архивировано 19 августа 2013 г.)
• Подключаемые модули аутентификации для Linux
• Максимальное использование подключаемых модулей аутентификации (PAM)
• Администрирование Oracle Solaris: Службы безопасности: использование PAM