8.10. Implementierung der PAM-Authentifizierung

Da Sicherheitsmaßnahmen immer komplexer werden, müssen Administratoren die richtigen Werkzeuge erhalten, die dabei helfen, ihre Verwaltungsaufgaben zu vereinfachen. Aus diesem Grund unterstützt RHN Satellite netzwerkbasierte Authentifzierungssysteme via PAM (Pluggable Authentication Modules). PAM besteht aus einer Reihe von Bibliotheken, was den Systemadministratoren dabei hilft, den Satellite in einen zentralisierten Authentifizierungsmechanismus einzubinden. Auf diese Weise ist es nicht mehr erforderlich, sich an mehrere Passwörter zu erinnern.

RHN Satellite unterstützt LDAP, Kerberos und andere netzwerkbasierte Authentifizierungssysteme via PAM. Um dem Satellite die Verwendung von PAM und der Authentifizierungsinfrastruktur Ihres Unternehmens zu ermöglichen, folgen sie den unten aufgeführten Schritten.

Richten Sie eine PAM-Dienstdatei ein (für gewöhnlich /etc/pam.d/rhn-satellite) und bringen Sie den Satellite dazu, diese zu verwenden, indem Sie die folgende Zeile an /etc/rhn/rhn.conf anhängen:

pam_auth_service = rhn-satellite

pam_auth_service = rhn-satellite

Dabei wird davon ausgegangen, dass die PAM-Service-Datei rhn-satellite genannt wird.

Ermöglichen Sie es einem bestimmten Benutzer, sich von PAM authentifizieren zu lassen. Klicken Sie dazu das Auswahlkästchen Pluggable Authentication Modules (PAM) an. Sie finden dieses unter dem Passwort und den Passwort-Bestätigungsfeldern auf der Benutzer anlegen-Seite.

Um ein Red Hat Enterprise Linux 5 i386 System beispielsweise mittels Kerberos zu authentifizieren, könnte man Folgendes in /etc/pam.d/rhn-satellite eingeben:

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_krb5.so no_user_check
auth        required      pam_deny.so
account     required      pam_krb5.so no_user_check

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_krb5.so no_user_check
auth        required      pam_deny.so
account     required      pam_krb5.so no_user_check

Bitte beachten Sie, dass das Ändern des Passworts auf der RHN-Website nur das lokale Passwort auf dem RHN Satellite betrifft, welches ggf. überhaupt nicht verwendet wird, wenn PAM für diesen Benutzer aktiviert ist. Im oben genannten Beispiel wird beispielsweise das Kerberos-Passwort nicht verändert.