如何学习 Linux PAM？

[jayeli]

我正在配置 Guacamole 的 PAM 认证，使用的是这个项目：voegelas/guacamole-auth-pam 。

作者提供的示例是基于 Ubuntu 的，我在 Rocky 上并不能走通。问题在于 Ubuntu 上的文件 /etc/shadow 可以通过加入 shadow 用户组获得读权限，而 Rocky 上没有。

简单查阅之后，我发现 deb 系和 rpm 系的 Linux 发行版对于 PAM 的设置好像不太一样。

所以，想请教一下对于 PAM 熟悉的大佬如何学习。

[jayeli]

目前的解法是问 ChatGPT 要了一份 PAM 的配置：

```
# /etc/pam.d/guacamole
auth required pam_env.so
auth sufficient pam_unix.so nullok try_first_pass
account required pam_unix.so
session required pam_limits.so
session optional pam_systemd.so
```

之后，将 tomcat 用户假如 root 用户组，并赋予文件 /etc/shadow 在组的读权限。

```shell
usermod -aG root tomcat
chmod g+r /etc/shadow
```

[julyclyde]

你看看 shadow 文件所属的 owner group 是哪个，你就把 tomcat 的运行用户加到那个里

[jayeli]

@julyclyde 是的，目前就是这么做的。我其实是比较关心 PAM 文件的写法，不太熟悉。

[julyclyde]

@jayeli 屠龙之技
现在没几个人学了

[mijazz]

好久之前捣鼓过一个基于面部识别的 PAM ，项目还挺大的。可以参考下实现，说不定对你有帮助。它是多 distro 适配。

https://github.com/boltgolt/howdy/tree/master/howdy/src

[julyclyde]

@mijazz 他问的是配置 PAM 不是开发 PAM 哦

[jayeli]

记录一下最终的解决方案，使用 PAM proxy ，参考 ArchWiki https://wiki.archlinux.org/title/SSSD#PAM_proxy