In diesem Kapitel sehen wir uns die richtige Syntax und die verschiedenen Optionen der Einträge in diesen Dateien an. Bei PAM-spezifischen Zeichen ist die Groß- und Kleinschreibung egal. Bei den Modul-Pfaden hingegen spielt die Groß- und Kleinschreibung eine Rolle, da sie auf Dateinamen verweisen und diese die Schreibweise des Dateisystems wiedergeben. Ob bei den Argumenten der einzelnen Module auf die Groß- und Kleinschreibung geachtet werden muss, wird für jedes Modul eigens festgelegt.

Zusätzlich zu den unten beschriebenen Zeilen gibt es noch zwei zusätzliche Zeichen, die dem Systemadministrator die Arbeit erleichtern: Auszukommentierende Zeilen werden mit einem „#“ eingeleitet, das in der nächsten Zeile die Gültigkeit verliert; um Zeilen in einer Modulbeschreibung über den Zeilenumbruch zu verlängern, kann ein „\“ Zeichen verwendet werden.

Befindet sich das PAM-Authentifizierungsmodul (dynamisch ladbare Programmbibliothek) im Standardpfad, so ist es nicht nötig, den Pfad nochmals anzugeben. Befindet sich das Modul außerhalb dieses Pfades (unter Linux /lib/security), muss dieser wie folgt angegeben werden:

auth  required  /anderer_pfad/pam_fremdes_modul.so

Service-name	Modul-type	control-flag	Modul-path	Args.

Im Folgenden sehen Sie ein Beispiel der Konfigurationsdatei /etc/pam.d/login. In diesem Beispiel sind alle Optionen eingeschaltet, und es ist möglicherweise nicht brauchbar, weil zu viele Bedingungen gestapelt werden, bevor ein erfolgreicher Abschluss erlaubt wird. Im Wesentlichen kann man alle Bedingungen auskommentieren, außer den Aufruf pam_pwdb.so.

#%PAM-1.0
# The PAM configuration file for the „login“ service
#
auth         required    pam_securetty.so
auth         required    pam_nologin.so
# auth       required    pam_dialup.so
# auth       optional    pam_mail.so
auth         required    pam_pwdb.so shadow md5
# account    requisite   pam_time.so
account      required    pam_pwdb.so
session      required    pam_pwdb.so
# session    optional    pam_lastlog.so
# password   required    pam_cracklib.so retry=3
password     required    pam_pwdb.so shadow md5

pam_access.so    pam_ftp.so          pam_limits.so     
pam_ncp_auth.so  pam_rhosts_auth.so  pam_stress.so     
pam_cracklib.so  pam_group.so        pam_listfile.so   
pam_nologin.so   pam_rootok.so       pam_tally.so      
pam_deny.so      pam_issue.so        pam_mail.so       
pam_permit.so    pam_securetty.so    pam_time.so       
pam_dialup.so    pam_lastlog.so      pam_mkhomedir.so  
pam_pwdb.so      pam_shells.so       pam_unix.so       
pam_env.so       pam_ldap.so         pam_motd.so       
pam_radius.so    pam_smbpass.so      pam_unix_acct.so  
pam_wheel.so     pam_unix_auth.so    pam_unix_passwd.so
pam_userdb.so    pam_warn.so         pam_unix_session.so

#%PAM-1.0
# The PAM configuration file for the „login“ service
#
auth        required    pam_smbpass.so nodelay
account     required    pam_smbpass.so nodelay
session     required    pam_smbpass.so nodelay
password    required    pam_smbpass.so nodelay

#%PAM-1.0
# The PAM configuration file for the „samba“ service
#
auth       required     pam_pwdb.so nullok nodelay shadow audit
account    required     pam_pwdb.so audit nodelay
session    required     pam_pwdb.so nodelay
password   required     pam_pwdb.so shadow md5

#%PAM-1.0
# The PAM configuration file for the „samba“ service
#
auth       required     pam_smbpass.so nodelay
account    required     pam_pwdb.so audit nodelay
session    required     pam_pwdb.so nodelay
password   required     pam_smbpass.so nodelay smbconf=/etc/samba.d/smb.conf

Es gibt eine Option in smb.conf, die obey pam restrictions heißt. Folgendes findet man zu dieser Option in der Online-Hilfe von SWAT:

Wenn Samba mit PAM-Unterstützung konfiguriert wurde (--with-pam), gibt dieser Parameter an, ob Samba den PAM Konto- und Sitzungsrichtlinien gehorchen soll oder nicht. Das Standard-Verhalten sieht vor, dass PAM nur für die Klartext-Authentifizierung verwendet wird und dass das Konto- und Sitzungsmanagement ignoriert werden. Samba ignoriert PAM vollkommen, falls die Option encrypt passwords = yes hat. Dies ist so, weil PAM-Module nicht den challenge/response-Authentifizierungsmechanismus unterstützen, der von Samba bei der Passwort-Verschlüsselung verwendet wird.

Standard: obey pam restrictions = no

Alle Betriebssysteme sind darauf angewiesen, dass Benutzerdaten so dargestellt werden, dass sie von der jeweiligen Plattform akzeptiert werden. UNIX benutzt dazu die Übergabe eines „User Identifier“ (UID) sowie eines „Group Identifier“ (GID). Dies sind beides Zahlen vom Typ Integer, die von einem Passwort-Backend wie /etc/passwd bezogen werden.

Benutzern und Gruppen unter Windows NT Server werden relative IDs (RID) zugeteilt, welche für die Domäne einzigartig sind, wenn der Benutzer oder die Gruppe erstellt wird. Um die Windows NT-Benutzer und -Gruppen in UNIX-Benutzer und -Gruppen umzuwandeln, ist ein Abgleich zwischen den RIDs und den UNIX-Benutzer- und -Gruppen-IDs erforderlich. Dies ist eine der Aufgaben, die Winbind ausführt.

So, wie Winbind-Benutzer und -Gruppen von einem Server aufgelöst werden, werden Benutzer- und Gruppen-IDs aus einer bestimmten Gruppe von Zahlen ermittelt. Diese werden auf einer Basis à la „Wer zuerst kommt, kriegt zuerst“ verteilt, obwohl alle bestehenden Benutzer und Gruppen gemappt werden, sobald ein Client einen Befehl zur Auflistung der Benutzer und Gruppen gibt. Die zugeteilten UNIX-IDs werden in einer Datenbank-Datei im Samba-Lock-Verzeichnis gespeichert, um sie nachher wiederverwenden zu können.

Aufmerksame Administratoren werden bemerkt haben, dass die Kombination von pam_smbpass.so, winbindd und einem verteilten passdb backend wie ldap die Einrichtung einer zentral verwalteten, verteilten Benutzer/Passwort-Datenbank erlaubt, die von allen PAM-fähigen (d.h. Linux-) Programmen und Anwendungen verwendet werden kann. Dieses System kann große Vorteile im Vergleich zu Microsofts Active Directory Service (ADS) haben, da es den Authentifizierungsverkehr in großen Netzwerken reduziert.

pam_smbpass ist ein PAM-Modul, das auf entsprechenden Systemen dazu verwendet werden kann, die smbpasswd-(Samba-Passwort-)Datenbank mit der UNIX-Passwort-Datei laufend zu synchronisieren. PAM (Pluggable Athentication Modules) ist eine unter manchen UNIX-Betriebssystemen wie Solaris, HPUX und Linux unterstützte API, die den Authentifizierungsmechanismen eine generische Schnittstelle zur Verfügung stellt.

Dieses Modul authentifiziert eine lokale Benutzer-Datenbank smbpasswd. Wenn Sie die Authentifizierung auf einem entfernten SMB-Server benötigen oder wenn Sie über die Anwesenheit von SUID-root-Binärdateien auf Ihrem System besorgt sind, sollten Sie hingegen pam_winbind verwenden.

Die Optionen, die von diesem Modul akzeptiert werden, finden Sie in ???.

Im Folgenden sehen Sie ein paar Beispiele für die Anwendung von pam_smbpass.so im Format von Linux-/etc/pam.d/-Dateistrukturen. Möchte jemand dieses Werkzeug auch auf anderen Plattformen verwenden, muss er es passend adaptieren.

#%PAM-1.0
# password-sync
#
auth       requisite    pam_nologin.so
auth       required     pam_unix.so
account    required     pam_unix.so
password   requisite    pam_cracklib.so retry=3
password   requisite    pam_unix.so shadow md5 use_authtok try_first_pass
password   required     pam_smbpass.so nullok use_authtok try_first_pass
session    required     pam_unix.so

#%PAM-1.0
# password-migration
#
auth       requisite   pam_nologin.so
# pam_smbpass is called IF pam_unix succeeds.
auth       requisite   pam_unix.so
auth       optional    pam_smbpass.so migrate
account    required    pam_unix.so
password   requisite   pam_cracklib.so retry=3
password   requisite   pam_unix.so shadow md5 use_authtok try_first_pass
password   optional    pam_smbpass.so nullok use_authtok try_first_pass
session    required    pam_unix.so

#%PAM-1.0
# password-mature
#
auth       requisite    pam_nologin.so
auth       required     pam_unix.so
account    required     pam_unix.so
password   requisite    pam_cracklib.so retry=3
password   requisite    pam_unix.so shadow md5 use_authtok try_first_pass
password   required     pam_smbpass.so use_authtok use_first_pass
session    required     pam_unix.so

#%PAM-1.0
# kdc-pdc
#
auth       requisite   pam_nologin.so
auth       requisite   pam_krb5.so
auth       optional    pam_smbpass.so migrate
account    required    pam_krb5.so
password   requisite   pam_cracklib.so retry=3
password   optional    pam_smbpass.so nullok use_authtok try_first_pass
password   required    pam_krb5.so use_authtok try_first_pass
session    required    pam_krb5.so

Ein Benutzer berichtet: Ich habe folgende PAM-Konfiguration:

auth required /lib/security/pam_securetty.so
auth sufficient /lib/security/pam_winbind.so
auth sufficient /lib/security/pam_unix.so use_first_pass nullok
auth required /lib/security/pam_stack.so service=system-auth
auth required /lib/security/pam_nologin.so
account required /lib/security/pam_stack.so service=system-auth
account required /lib/security/pam_winbind.so
password required /lib/security/pam_stack.so service=system-auth

Wenn ich mit [ctrl][alt][F1] eine neue Konsole aufmache, kann ich nicht mit meinem Benutzer „pitie“ einsteigen. Ich habe es auch mit dem Benutzer „scienceu+pitie“ versucht.

Antwort: Das Problem könnte an der Einbindung von pam_stack.so service=system-auth liegen. Diese Datei enthält oft eine Menge Zeilen, die Sachen doppelt machen, die man eigentlich schon tut. Versuchen Sie, die pam_stack-Zeilen für auth und account auszukommentieren, und probieren Sie es dann noch mal. Falls es so funktioniert, sollten Sie sich die Datei /etc/pam.d/system-auth ansehen und nur das Nötige in Ihre /etc/pam.d/login-Datei kopieren. Alternativ könnten Sie, wenn Sie für alle Dienste Winbind benutzen möchten, das Winbind-bezogene Material nach /etc/pam.d/system-auth verschieben.

„ Meine smb.conf ist richtig konfiguriert. Ich habe Folgendes festgelegt: idmap uid = 12000 und idmap gid = 3000-3500; winbind läuft. Wenn ich Folgendes mache, funktioniert alles perfekt: “

root# wbinfo -u
MITTELERDE+maryo
MITTELERDE+jackb
MITTELERDE+ameds
...
MITTELERDE+root

root# wbinfo -g
MITTELERDE+Domain Users
MITTELERDE+Domain Admins
MITTELERDE+Domain Guests
...
MITTELERDE+Accounts

root# getent passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
...
maryo:x:15000:15003:Mary Orville:/home/MITTELERDE/maryo:/bin/false

„ Aber folgender Befehl schlägt fehl: “

root# chown maryo a_file
chown: 'maryo': invalid user

„Das macht mich noch verrückt! Was könnte hier falsch sein?“

Antwort: Auf Ihrem System läuft wahrscheinlich nscd, der „name service caching daemon“. Schalten Sie ihn aus, und starten Sie ihn nicht noch einmal! Dies sollte Ihr Problem lösen.