pam和sasl

这几天使用在Postfix搭建一个Webmail的平台，用户认证这一块最终使用了PAM。想整理一下思路，让自己对PAM有个更加清晰的认识。

1.      PAM的简介

PAM全称是：Pluggable Authentication Modules。在当前的CentOS中都是用这个模块作各种认证通道。具体可以man 一下pam。

PAM的主要配置文件都集中在/etc/pam.d目录里面，里面有多个文件，每个文件表示了一种服务的认证方法，例如：sshd，login。

管理员可以根据自己的需要定义出自己的服务的认证配置，详细的配置信息可以man pam.d

2.      SASL的简介

在对PAM做测试之前，需要一个sasl的工具集。SASL是一个用于认证处理的协议，全称是Simple Authentication and Security Layer。这个协议在rfc4422中定义，具体作用大概如下：

SMTP    LDAP    XMPP   Other protocols ...

\       |    |      /

\      |    |     /

SASL abstraction layer

/      |    |     \

/       |    |      \

EXTERNAL   GSSAPI  PLAIN   Other mechanisms ...

从上面图可以看到，不同的应用通过SASL使用各种方法来进行用户认证。SASL的作用是为各种协议产生一个认证的抽象层，让用户登录的时候不用理会最终用户认证信息的出处。

一般情况下，当前的centos系统都会安装这套工具。在我的系统中，对应的版本是：

[root@kernel pam_mysql-0.7RC1]# rpm -ql cyrus-sasl-2.1.22-5.el5_4.3

/etc/rc.d/init.d/saslauthd

/etc/sysconfig/saslauthd

/usr/lib/sasl2

/usr/lib/sasl2/libsasldb.la

/usr/lib/sasl2/libsasldb.so

/usr/lib/sasl2/libsasldb.so.2

/usr/lib/sasl2/libsasldb.so.2.0.22

/usr/sbin/dbconverter-2

/usr/sbin/pluginviewer

/usr/sbin/saslauthd

/usr/sbin/sasldblistusers2

/usr/sbin/saslpasswd2

/usr/sbin/testsaslauthd

/usr/share/doc/cyrus-sasl-2.1.22

/usr/share/doc/cyrus-sasl-2.1.22/LDAP_SASLAUTHD

/usr/share/man/man8/pluginviewer.8.gz

/usr/share/man/man8/saslauthd.8.gz

/usr/share/man/man8/sasldblistusers2.8.gz

/usr/share/man/man8/saslpasswd2.8.gz

/var/run/saslauthd

下面是SASL的配置文件，这个配置文件说明，SASL使用PAM作为获取认证数据的机制。

[root@kernel pam_mysql-0.7RC1]# cat /etc/sysconfig/saslauthd

# Directory in which to place saslauthd's listening socket, pid file, and so

# on. This directory must already exist.

SOCKETDIR=/var/run/saslauthd

# Mechanism to use when checking passwords. Run "saslauthd -v" to get a list

# of which mechanism your installation was compiled with the ablity to use.

MECH=pam

# Additional flags to pass to saslauthd on the command line. See saslauthd(8)

# for the list of accepted flags.

FLAGS=

3.      使用SASL工具对PAM进行测试

我们可以用下面方法来对sasl和pam进行测试：

[root@kernel pam.d]# testsaslauthd -u root -p xxxx -s su

0: OK "Success."

[root@kernel pam.d]# testsaslauthd -u root -p xxxx -s sshd

0: OK "Success."

[root@kernel pam.d]# testsaslauthd

testsaslauthd: usage: testsaslauthd -u username -p password

[-r realm] [-s servicename]

[-f socket path] [-R repeatnum]

在上面例子中，xxxx要修改为真正的密码。

4.      使用MYSQL作为PAM的数据源

我们还可以用mysql作为PAM存储用户数据的数据库。

如果使用这种方法，我们需要安装pam_mysql。可以在下面链接中获得：

http://sourceforge.net/projects/pam-mysql/

具体的安装方法可以看INSTALL，具体的配置方法可以看里面的README。

安装很简单，就是configure一下，然后执行make，最后把生成的库拷贝到pam的库目录中：

[root@kernel pam_mysql-0.7RC1]# cp .libs/pam_mysql.so /lib/security/

下面是一个配置例子：

[root@kernel pam.d]# testsaslauthd -u cyrus -p test -s smtp

0: OK "Success."

[root@kernel pam.d]# cat smtp

auth sufficient pam_mysql.so user=root passwd=admin host=localhost db=postfix table=accountuser usercolumn=username passwdcolumn=password

auth sufficient pam_unix_auth.so

account required pam_mysql.so user=root passwd=admin host=localhost db=postfix table=accountuser usercolumn=username passwdcolumn=password

account sufficient pam_unix_acct.so

smtp中主要是定义了mysql的连接方式和对应的库表，字段。具体可以看READM文件和man pam.d。

根据上面的配置和测试，需要创建数据库postfix，登录帐号密码是root/admin，表是accountuser，列有：username，password。

创建用户信息：cyrus/test。插入数据SQL：INSERT INTO accountuser(username, password) VALUE('cyrus','test')

5.      小结

在这里面对pam和sasl做了入门介绍，希望对大家有帮助。如果有什么问题可以给我发邮件：bljb@qq.com

下面是相关的资料：

l  http://cyrusimap.org/docs/cyrus-sasl/2.1.25/

l  http://sourceforge.net/projects/pam-mysql/files/?source=navbar