红帽全球峰会4.6. PAM 通过身份验证插件属性传递
Unix 系统上的本地 PAM 配置可为 LDAP 用户利用外部身份验证存储。这是一种直通身份验证形式，它允许 Directory 服务器使用外部存储的用户凭据来访问目录。
PAM 直通身份验证在 PAM Pass Through Auth 插件容器条目的子条目中进行配置。PAM 身份验证的所有可能配置属性（在 60pam-plugin.ldif 架构文件中定义）可用于子条目；子条目必须是 PAM 配置对象类的实例。
例 4.1. 通过身份验证条目传递的 PAM 示例
至少，PAM 配置必须定义一个映射方法（用来确定 PAM 用户 ID 来自于 Directory Server 条目）、PAM 服务器所使用的 PAM 服务器，以及是否使用到服务的安全连接。
pamIDMapMethod: RDN pamSecure: FALSE pamService: ldapserver
pamIDMapMethod: RDN
pamSecure: FALSE
pamService: ldapserver可以针对特殊设置扩展配置，如排除或专门包含子树，或者将特定的属性值映射到 PAM 用户 ID。
4.6.1. pamConfig (Object Class)
此对象类用于定义 PAM 配置，以便与目录服务交互。此对象类在 Directory Server 中定义。
卓越的类
top
OID
2.16.840.1.113730.3.2.318
4.6.2. pamExcludeSuffix
此属性指定要从 PAM 身份验证中排除的后缀。
| OID | 2.16.840.1.113730.3.1.2068 |
| 语法 | DN |
| 多或单值 | 多值 |
| 定义于 | 目录服务器 |
4.6.3. pamFallback
如果 PAM 身份验证失败，则设置是否回退到常规 LDAP 身份验证。
| OID | 2.16.840.1.113730.3.1.2072 |
| 语法 | 布尔值 |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.4. pamFilter
设置 LDAP 过滤器，用于识别所含后缀中的特定条目，以使用 PAM 直通身份验证。如果没有设置，则后缀中的所有条目都由配置条目为目标。
| OID | 2.16.840.1.113730.3.1.2131 |
| 语法 | 布尔值 |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.5. pamIDAttr
此属性包含用于存放 PAM 用户 ID 的属性名称。
| OID | 2.16.840.1.113730.3.1.2071 |
| 语法 | DirectoryString |
| 多或单值 | 多值 |
| 定义于 | 目录服务器 |
4.6.6. pamIDMapMethod
提供使用 将 LDAP 绑定 DN 映射到 PAM 身份的方法。
Directory Server 用户帐户仅在使用 ENTRY 映射方法进行验证。使用 RDN 或 DN 时，其帐户处于激活的目录服务器用户仍然可以成功绑定到服务器。
| OID | 2.16.840.1.113730.3.1.2070 |
| 语法 | DirectoryString |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.7. pamIncludeSuffix
此属性设置为 PAM 身份验证包含的后缀。
| OID | 2.16.840.1.113730.3.1.2067 |
| 语法 | DN |
| 多或单值 | 多值 |
| 定义于 | 目录服务器 |
4.6.8. pamMissingSuffix
标识如何处理缺少的 include 或 exclude 后缀。选项是 ERROR （这会导致绑定操作失败）；ALLOW，它会记录错误，但允许操作继续； 和 IGNORE，允许操作并记录任何错误。
| OID | 2.16.840.1.113730.3.1.2069 |
| 语法 | DirectoryString |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.9. pamModuleIsThreadSafe
默认情况下，Directory 服务器会序列化可插拔验证模块(PAM)身份验证。如果您在 上将 pamModuleIsThreadSafe 属性设置为，目录服务器将开始并行执行 PAM 身份验证。但是，请确保您使用的 PAM 模块是一个线程安全模块。
目前，您可以使用 ldapmodify 工具来配置 pamModuleIsThreadSafe 属性：
ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
# ldapmodify -D "cn=Directory Manager" -W -H ldap://server.example.com -x
dn: cn=Example PAM config entry,cn=PAM Pass Through Auth,cn=plugins,cn=config
changetype: modify
add: pamModuleIsThreadSafe
pamModuleIsThreadSafe: on要应用更改，请重新启动服务器。
| OID | 2.16.840.1.113730.3.1.2399 |
| 语法 | 布尔值 |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.10. pamSecure
需要安全 TLS 连接进行 PAM 身份验证。
| OID | 2.16.840.1.113730.3.1.2073 |
| 语法 | 布尔值 |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
4.6.11. pamService
包含要传递给 PAM 的服务名称。这假设指定的服务在 /etc/pam.d/ 目录中有一个配置文件。
pam_fprintd.so 模块不能位于 PAM 直通身份验证插件配置的 pamService 属性引用的配置文件中。使用 PAM pam_fprintd.so 模块可使目录服务器达到最大文件描述符限制，并可能导致 Directory 服务器进程中止。
pam_fprintd.so 模块不能位于 PAM 直通身份验证插件配置的 pamService 属性引用的配置文件中。使用 PAM fprintd 模块会导致目录服务器达到最大文件描述符限制，并可能导致 Directory Server 进程中止。
| OID | 2.16.840.1.113730.3.1.2074 |
| 语法 | IA5String |
| 多或单值 | 单值 |
| 定义于 | 目录服务器 |
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}