ssh - 使用 pam 和 ssh 验证 Radius 用户

Question

我可以使用radius server+pam+ssh 验证radius 用户，并在linux 中创建具有空白密码的本地用户。

是否可以在不使用空白密码在本地计算机中创建用户的情况下验证半径用户？

/etc/pam.d/ssh 文件如下

#%PAM-1.0
auth    sufficient      pam_radius_auth.so debug
auth    sufficient      pam_unix.so use_first_pass
auth    required        pam_auth_status.so                
account sufficient      pam_unix.so 
account required        pam_auth_status.so    
session required        pam_unix.so

Answer 1

您无需在 /etc/passwd 和 /etc/shadow 文件中为他创建条目即可对用户进行身份验证。但是现在，用户与 '/etc/passwd' 中的任何 shell 都没有关联，所以它可能没有用。

您想在身份验证后启动 shell 还是只希望用户通过身份验证？

Answer 2

我发现了两个 nss 库可以在这种情况下提供帮助：

• 来自 Cumulus Linux的 libnss-mapuser 。
• libnss-ato

一般过程是将未知（但经过身份验证的）用户映射到单个用户模板。虽然每个用户都将获得他/她自己的/home文件夹，但两个库的共同点是用户 ID 相同。

这些软件包主要针对没有完成 ldap 设置的网络设备。Cumulus很好地描述了设置。

我建议阅读https://serverfault.com/questions/538383/understand-pam-and-nss以了解那里发生了什么。