请教pam.d里的模块设置问题

Samdy_Chan

大家好：
    请问 /etc/pam.d 目录下的一些模块设置文件经常有如下一些设置：
auth requisite pam_unix2.so
auth required pam_unix2.so nullok
----
请问以上这两行设置有什么不同点？ nullok就代表什么意思？ requisite 和 required 又有什么区别呢？谢谢！

ulovko

回复 1# Samdy_Chan


http://linux.vbird.org/linux_basic/0410accountmanager.php#usershell

第二個欄位：驗證的控制旗標 (control flag)
那麼『驗證的控制旗標(control flag)』又是什麼？簡單的說，他就是『驗證通過的標準』啦！ 這個欄位在管控該驗證的放行方式，主要也分為四種控制方式：

required
此驗證若成功則帶有 success (成功) 的標誌，若失敗則帶有 failure 的標誌，但不論成功或失敗都會繼續後續的驗證流程。 由於後續的驗證流程可以繼續進行，因此相當有利於資料的登錄 (log) ，這也是 PAM 最常使用 required 的原因。

requisite
若驗證失敗則立刻回報原程式 failure 的標誌，並終止後續的驗證流程。若驗證成功則帶有 success 的標誌並繼續後續的驗證流程。 這個項目與 required 最大的差異，就在於失敗的時候還要不要繼續驗證下去？由於 requisite 是失敗就終止， 因此失敗時所產生的 PAM 資訊就無法透過後續的模組來記錄了。

sufficient
若驗證成功則立刻回傳 success 給原程式，並終止後續的驗證流程；若驗證失敗則帶有 failure 標誌並繼續後續的驗證流程。 這玩意兒與 requisits 剛好相反！

optional
這個模組控制項目大多是在顯示訊息而已，並不是用在驗證方面的。
如果將這些控制旗標以圖示的方式配合成功與否的條件繪圖，會有點像底下這樣：

http://en.wikipedia.org/wiki/Pluggable_Authentication_Modules

http://www.kernel.org/pub/linux/libs/pam/

Samdy_Chan

鸟哥里面也没说到nullok代表什么意思哦？
还望大侠解答，谢谢！

ulovko

回复 3# Samdy_Chan

http://www.faqs.org/docs/Linux-HOWTO/User-Authentication-HOWTO.html
    Disabling logins for user with null passwords

On most linux systems, there a number of "dummy" user accounts, used to assign privileges to certain system services like ftp, webservers, and mail gateways. Having these accounts allows your system to be more secure, because if these services are compromised, an attacker will only gain the limited privileges available to the dummy account, rather than the full privileges of a service running as root. However, allowing these dummy account login privileges is a security risk, as they usually have blank (null) passwords. The configuration option that enables null passwords is the "nullok" module-argument. You'll want remove this argument from any modules of 'auth' type for services that allow login. This is usually the login service, may also include services like rlogin and ssh. Hence, the following line in /etc/pam.d/login:

   auth                required        pam_unix.so        nullok
   
should be changed to:

   auth                required        pam_unix.so
   

spring0508

参数nullok 用来使此默认失效