8.10. Implementando a Autenticação PAM

Devido à crescente complexidade das medidas de segurança, os administradores devem receber ferramentas que simplifiquem sua administração. Por esta razão, o RHN Satellite suporta os sistemas de autenticação baseados em rede via Pluggable Authentication Modules (Módulos de Autenticação Plugáveis, PAM). O PAM é um conjunto de bibliotecas que ajudam os administradores de sistemas a integrar o Satellite a um mecanismo de de autenticação centralizado, assim eliminando a necessidade de memorizar diversas senhas.

O RHN Satellite suporta LDAP, Kerberos e outros sistemas de autenticação baseados em rede via PAM. Para que o Satellite possa usar o PAM e a infra-estrutura de autenticação da sua empresa, complete as tarefas seguintes.

Configure um arquivo de serviço do PAM (geralmente /etc/pam.d/rhn-satellite) e faça o Satellite usá-lo, adicionando a seguinte linha ao /etc/rhn/rhn.conf:

pam_auth_service = rhn-satellite

pam_auth_service = rhn-satellite

Isto assume que o arquivo de serviço do PAM chama-se rhn-satellite.

Para permitir que um usuário se autentique no PAM, selecione a caixa de verificação Pluggable Authentication Modules (PAM) (módulos plugáveis de autenticação). Está posicionada abaixo dos campos da senha e confirmação da senha, na página Create User.

Como por exemplo, para que um sistema Red Hat Enterprise Linux 5 i386 se autentique no Kerberos, você poderia inserir o seguinte no /etc/pam.d/rhn-satellite:

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_krb5.so no_user_check
auth        required      pam_deny.so
account     required      pam_krb5.so no_user_check

#%PAM-1.0
auth        required      pam_env.so
auth        sufficient    pam_krb5.so no_user_check
auth        required      pam_deny.so
account     required      pam_krb5.so no_user_check

Por favor, note que alterar a senha no site do RHN altera somente a senha local no RHN Satellite, que pode nem ser usada se o PAM estiver ativado para aquele usuário. No exemplo anterior, a senha do Kerberos não será alterada.