sshd: come abilitare l'autenticazione PAM per utenti specifici in

Sto usando sshd e consento gli accessi con autenticazione con chiave pubblica.

Voglio consentire a determinati utenti di accedere con un modulo di autenticazione a due fattori PAM.

Esiste un modo per consentire l'autenticazione a due fattori PAM per un utente specifico?

Allo stesso modo, voglio solo abilitare l'autenticazione con password per account specifici. Voglio che il mio demone SSH respinga i tentativi di autenticazione con password per contrastare gli aspiranti hacker nel pensare che non accetterò l'autenticazione con password - tranne nel caso in cui qualcuno conosca il mio account segreto fortemente custodito, che è abilitato con password. Voglio fare questo per i casi in cui i miei client SSH non mi permettono di fare la chiave segreta o l'autenticazione a due fattori.

Probabilmente potresti gestirlo con il pam_listfilemodulo. Crea un /etc/pam.d/sshdfile simile a:

auth requisite  pam_listfile.so item=user sense=allow file=/etc/authusers
auth sufficient pam_securid.so
auth required   pam_deny.so

Ciò consentirebbe solo alle persone elencate nella /etc/authuserspossibilità di autenticarsi con un modulo a due fattori (nel nostro caso, secureid). Non ho ancora testato questa configurazione, ma la teoria è valida.

Potresti renderlo più semplice consentendo a chiunque di autenticarsi utilizzando l'autenticazione a due fattori; presumibilmente, solo quelle persone con i dispositivi / la configurazione appropriati sarebbero in grado di avere successo, quindi otterresti effettivamente lo stesso comportamento.

Per disabilitare l'autenticazione a due fattori per gli utenti senza Google Authenticator configurato, aggiungere l' nullokopzione in /etc/pam.d/sshd:

auth   required   pam_google_authenticator.so nullok

Per maggiori dettagli, consultare: https://github.com/google/google-authenticator-libpam#setting-up-a-user

Utilizzando la soluzione di seguito, il modulo PAM (autenticatore di Google) può essere disabilitato per utenti specifici-

1) Creare un gruppo di utenti sull'istanza di Linux. MFA / PAM saranno disabilitati per gli utenti presenti in questo nuovo gruppo-

sudo groupadd <groupname>

2) Crea utente o aggiungi utente esistente al gruppo appena creato-

sudo useradd <username>
sudo usermod -a -G <groupname> <username>

3) Modifica il file /etc/pam.d/sshd e aggiungi la seguente istruzione per saltare il modulo PAM per il gruppo appena creato-

auth [success=done default=ignore] pam_succeed_if.so user ingroup <groupname>

Opzionale-

Se è richiesto l'accesso completo per questo nuovo gruppo, aggiungi la riga sotto al file visudo-

%<groupname>ALL=(ALL)       NOPASSWD: ALL

Quando un utente verrà creato e aggiunto al nuovo gruppo, MFA verrà ignorato per quegli utenti.

Citato da - TechManyu Blog