Linux-PAM认证
在新主机更改用户密码的时候，经常会出现"passwd: Have exhausted maximum number of retries for service"的报错
[root@10-112-41-157 ~]# echo 'co4lgTdDD3iK7WYEJAyL0KT5pLXS0o3r' | passwd --stdin testpam
Changing password for user testpam.
passwd: Have exhausted maximum number of retries for service
实际之上，可以使用chpasswd命令更改解决，但非明文更改密码无法实现
1.PAM机制
在centos 6中用户的密码权限更变模块主要涉及到PAM(Pluggable Authentication Modules)认证机制，该机制由Sun公司提供，在Linux中，PAM是可动态配置的，本地系统管理员可以自由选择应用程序如何对用户进行身份验证。PAM应用在许多程序与服务上，比如登录程序(login、su)的PAM身份验证（口令认证、限制登录），passwd强制密码，用户进程实时管理，向用户分配系统资源等
点击我:>>centos官方文档说明
2.centos pam配置文件的构成
pam主要由动态库与配置文件构成。/etc/pam.d/目录中定义了各种程序和服务的PAM配置文件，如其中system-auth文件是PAM模块的重要配置文件，它主要负责用户登录系统的身份认证工作，不仅如此，其他的应用程序或服务可以通过include接口来调用它（该文件是system-auth-ac的软链接）。此外password-auth配置文件也是与身份验证相关的重要配置文件，比如用户的远程登录验证(SSH登录)就通过它调用。而模块文件则主要存放于/lib64/security/中
1.配置文件
[root@10-110-122-196 ~]# ll /etc/pam.d/
total 148
-rw-r--r--. 1 root root 272 Oct 18 2014 atd
-rw-r--r--. 1 root root 192 Oct 15 2014 chfn
-rw-r--r--. 1 root root 192 Oct 15 2014 chsh
-rw-r--r-- 1 root root 232 Aug 18 2015 config-util
-rw-r--r--. 1 root root 293 Nov 23 2013 crond
-rw-r--r--. 1 root root 71 Nov 22 2013 cvs
-rw-r--r--. 1 root root 115 Nov 11 2010 eject
lrwxrwxrwx. 1 root root 19 Jan 14 2016 fingerprint-auth -> fingerprint-auth-ac
-rw-r--r--. 1 root root 659 Jan 14 2016 fingerprint-auth-ac
略
2.依赖的模块
[root@10-110-122-196 ~]# ll /lib64/security/
total 808
-rwxr-xr-x 1 root root 18552 Aug 18 2015 pam_access.so
-rwxr-xr-x. 1 root root 7504 Dec 8 2011 pam_cap.so
-rwxr-xr-x 1 root root 10272 Aug 18 2015 pam_chroot.so
-rwxr-xr-x. 1 root root 9216 Nov 11 2010 pam_ck_connector.so
-rwxr-xr-x 1 root root 27080 Aug 18 2015 pam_console.so
-rwxr-xr-x 1 root root 14432 Aug 18 2015 pam_cracklib.so
-rwxr-xr-x 1 root root 10168 Aug 18 2015 pam_debug.so
以下略
3.判断是否使用pam认证
判断一个程序是否使用了pam认证，可以查看其是否有使用pam模块即可
[root@10-110-122-196 pam.d]# ldd /usr/sbin/sshd | grep pam
libpam.so.0 => /lib64/libpam.so.0 (0x00007f3460605000)
[root@10-110-122-196 pam.d]# ldd /usr/bin/passwd | grep pam
libpam_misc.so.0 => /lib64/libpam_misc.so.0 (0x00007fe943edb000)
libpam.so.0 => /lib64/libpam.so.0 (0x00007fe9434f6000)
以上说明sshd和passwd都有使用pam认证
3.pam配置文件的格式语法
<module interface> <control flag> <module name> <module arguments>
详细查看一台主机中的system-auth-ac配置文件
[root@10-110-122-196 pam.d]# cat system-auth-ac
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth required pam_env.so
auth sufficient pam_fprintd.so
auth sufficient pam_unix.so nullok try_first_pass
auth requisite pam_succeed_if.so uid >= 500 quiet
auth required pam_deny.so
account required pam_unix.so
account sufficient pam_localuser.so
account sufficient pam_succeed_if.so uid < 500 quiet
account required pam_permit.so
password requisite pam_cracklib.so retry=3 difok=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 enforce_for_root
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password required pam_deny.so
session optional pam_keyinit.so revoke
session required pam_limits.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
1.模块接口:
| 参数 | 作用 |
|---|---|
| auth | 认证模块接口，如验证用户身份、检查密码是否可以通过，并设置用户凭据 |
| account | 账户模块接口，检查指定账户是否满足当前验证条件，检查账户是否到期等 |
| password | 密码模块接口，用于更改用户密码，以及强制使用强密码配置 |
| session | 会话模块接口，用于管理和配置用户会话。会话在用户成功认证之后启动生效 |
2.控制标识:
| 参数 | 作用 |
|---|---|
| required | 模块结果必须成功才能继续认证，如果在此处测试失败，则继续测试引用在该模块接口的下一个模块，直到所有的模块测试完成，才将结果通知给用户。 |
| requisite | 模块结果必须成功才能继续认证，如果在此处测试失败，则会立即将失败结果通知给用户。 |
| sufficient | 模块结果如果测试失败，将被忽略。如果sufficient模块测试成功，并且之前的required模块没有发生故障，PAM会向应用程序返回通过的结果，不会再调用堆栈中其他模块。 |
| optional | 该模块返回的通过/失败结果被忽略。当没有其他模块被引用时，标记为optional模块并且成功验证时该模块才是必须的。该模块被调用来执行一些操作，并不影响模块堆栈的结果。 |
| include | include与模块结果的处理方式无关。该标志用于直接引用其他PAM模块的配置参数 |
3.模块参数
这里面主要讲pam_cracklib.so的相关参数，因为用户密码修改主要与此模块相关
| 参数 | 作用 |
|---|---|
| authtok_type=xxx | 用户密码修改的提示语，默认为空 |
| retry=N | 密码尝试错误N次禁止登录，默认为1 |
| difok=N | 新旧密码不得有N个字符重复，默认为5 |
| difignore=N | 字符数达到N个后，忽略difok，默认为23 |
| minlen=N | 密码长度不得少于N位 |
| dcredit=N | 至少包含N个数字 |
| ucredit=N | 至少包含N个大写字母 |
| lcredit=N | 至少包含N个小写字母 |
| ocredit=N | 至少包含N个特殊字母 |
| minclass=N | 至少包含N种字符类型 |
| maxrepeat=N | 不能包含N个连续的字符 |
| reject_username | 不能包含用户名 |
| use_authtok | 强制使用之前的密码，即不允许用户修改密码 |
| dictpath=/path/to/dict | 指定cracklib模块的路径 |
注意，以上参数仅对非root用户生效，如果想对root用户生效，需要加入参数enforce_for_root，所以回到文章最初提出的那个异常，root用户因为也被强制生效了，所以无法更改用户密码，去掉该选项即可
4.passwd与chpasswd的区别
因为passwd不能更改密码的时候，可以直接使用chpasswd进行更改
[root@10-110-122-196 pam.d]# ldd /usr/sbin/chpasswd | grep pam
[root@10-110-122-196 pam.d]# ldd /usr/bin/passwd | grep pam
libpam_misc.so.0 => /lib64/libpam_misc.so.0 (0x00007f64dd087000)
libpam.so.0 => /lib64/libpam.so.0 (0x00007f64dc6a2000)
从以上可以看得，chpasswd并未使用pam认证机制，所以在passwd不能修改密码的时候，可以进行密码的修改。
从man中查看两者的区别
NAME
passwd - update user’s authentication tokens
SYNOPSIS
passwd [-k] [-l] [-u [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [-S] [--stdin] [username]
DESCRIPTION
The passwd utility is used to update user’s authentication token(s).
This task is achieved through calls to the Linux-PAM and Libuser API. Essentially, it initializes itself as a "passwd" service with Linux-PAM and utilizes configured password modules to authenticate and then update a user’s password.
NAME
chpasswd - update passwords in batch mode
SYNOPSIS
chpasswd [options]
DESCRIPTION
The chpasswd command reads a list of user name and password pairs from standard input and uses this information to update a group of existing users. Each line is of the format:
user_name:password
By default the supplied password must be in clear-text, and is encrypted by chpasswd. Also the password age will be updated, if present.
The default encryption algorithm can be defined for the system with the ENCRYPT_METHOD variable of /etc/login.defs, and can be overwiten with the -e, -m, or -c options.
chpasswd first update the password in memory, and then commit all the changes to disk if no errors occured for any users.
This command is intended to be used in a large system environment where many accounts are created at a single time.
很显然可以查看得到passwd需要调用linux-PAM，然后调用密码模块，最后更新用户密码。而chpasswd是直接更新用户密码
而chpasswd使用的加密算法可以通过选项进行控制，默认是使用SHA-512算法
从/etc/shadow文件中可以看到用户加密码后的密码
[root@10-110-122-196 pam.d]# cat /etc/shadow
root:$6$hFXXRDb0$jQsZU9Lo8.HeYt4.kGr4QD8eUypaBr6EV403dN1LWBTXChNNXad0sHWl/55T7PiKUwdYoiAyeDt1.xqqf2Pt61:17477:0:99999:7:::
其中第二行中的6，代替加密算法为SHA-512，从系统库文件为GLIBC_2.7起，默认加密算法均为 SHA-512，查看系统库glibc版本方法:
[root@10-110-122-196 pam.d]# strings /lib64/libc.so.6 | grep GLIBC
GLIBC_2.2.5
GLIBC_2.2.6
GLIBC_2.3
GLIBC_2.3.2
GLIBC_2.3.3
GLIBC_2.3.4
GLIBC_2.4
GLIBC_2.5
GLIBC_2.6
GLIBC_2.7
GLIBC_2.8
GLIBC_2.9
GLIBC_2.10
GLIBC_2.11
GLIBC_2.12
GLIBC_PRIVATE
centos6系统以上即为2.12版本
