nsswitch & pam

nsswitch & pam
nsswitch是名称解析框架服务，pam是认证框架服务
对主机来说，有两个功能可能用到框架性服务
1、名称解析：
name: id
2、认证服务：验证当前请求获取资源的人或标识，如何进行认证？基于什么认证？
 
nsswitch: network service switch  网络服务转换，作用是调整网络服务名称解析机制
解析库：
文件、MySQL、NIS、LDAP、DNS
通用框架，与上述各存储交互的实现：
配置文件：/usr/lib64/libnss*, /lib64/libnss* 

配置文件

db: store1, store2, ...  //数据库和存储位置

每种存储中查找的结果状态：STATUS => success | notfound | unavail | tryagain

对应于每种状态参数的行为：ACTION => return | continue

例如：host: files nis [NOTFOUND=return] dns   //找host，默认先找files，再找nis,如果nis服务存在，但服务中没这个条目，则返回NOTFOUND，不会找dns，作用：只有nis不可用才找dns，如果没有nis这个服务，也不会找dns

# getent database [entry]

pam：pluggable authentication module  插入式认证模块

pam也是一个通用框架，有自己对应的认证库

认证库(密码存储位置)：

文件、MySQL、LDAP、NIS

通用框架，与各存储交互的实现，以及多种辅助性功能：

/lib64/security/

配置文件：/etc/pam.conf

/etc/pam.d/*.conf

通常每个应用使用一个单独的配置文件；

配置文件中每行定义一种检查规则；

格式：

type      control   module-path    module-arguments

格式：type control module-path module-arguments

type：检查功能类别

auth: 账号的认证和授权

account：与账号管理相关的非认证功能

password：用户修改密码时密码检查规则

session：用户获取到服务之前或使用服务完成之后要进行的一些附加性操作

control：同一种功能的多个检查之间如何进行组合；

有两种实现机制：

1、使用一个关键词来定义；例如sufficient，required, requisite；

2、使用一或多个"status=action"形式的组合表示

简单机制：

• required  //表示本次检查如果成功，起不到决定性作用，继续检查后面的选项，如果检查没成功，结果就过不了，但依然要检查后面几条，
• requisite  //检查通过，继续后面的检查，检查不通过，一票否决权，后面不再检查，直接返回结果
• sufficient  //充分条件，检查通过，后续不再检查，直接通过，如果没通过，不起决定性作用，依然检查后面
• optional  //可选，无论检查是否通过，都不起决定作用，只做参考
• include   //包含指定文件中同一个类别中的规则的，

复杂机制：[status1=action1,status2=action2,....]

status：返回状态

action: ok, done, die, ignore, bad, reset

ok：表示检查通过，一票通过权

done：通过就通过了，但没有一票通过权

die：一票否决权

bad：检查不通过，结果不通过，但是继续检查

ignore：忽略

module-path: 模块路径

/lib64/security: 此目录下的模块引用时可使用相对路径；

module-arguments: 模块参数

模块：

(1) pam_shells.so

(2) pam_limits.so

模块通过读取配置文件完成用户对系统资源的使用控制

/etc/security/limits.conf

/etc/security/limits.d/*

<domain> <type> <item> <value>

<domain>:

username

@group

*: 所有用户

<type>

soft：用户可以自我调整，但无论如何都不可超过硬限制

hard：由root设定，通过kernel强制生效；

-：二者同时限定；

<item>   //对哪类资源做限制

nofile(num of file): 所能够同时打开的最大文件数量；

nproc: 所能够同时运行的最大进程数量；

msqqueue：使用的POSIX消息队列能够占用的最大内存空间；

sigpending：所能够使用的最大信号数量；

<value>

ulimit -n #：文件数量

ulimit -u #：进程数量

练习：

(1) 限制centos用户只能够在worktime通过ssh远程连接本机；

(2) 限制只有distro组内的用户可ssh到本机；