사용자 정의 pam 모듈을 사용하여 사용자 이름의 데이터를 밀수할 수 없습니다. - input_userauth_request: 잘못된 사용자

Question 1

input_userauth_request()는 사용자 이름을 묻는 sshd의 함수입니다.

다음에 대해 앞뒤로 읽으십시오.pam_ldap(로컬 시스템은 인증되는 사용자 이름을 반드시 알 수는 없습니다.) LDAP NSS 라이브러리가 설치 또는 구성되지 않은 경우 "sshd[xxx]: input_userauth_request: 잘못된 사용자 ..." 메시지가 나타납니다. 이것으로부터 나는 sshd가 PAM(WTF?)에 넘겨주기 전에 먼저 사용자 이름을 확인하려고 시도한다고 추론합니다. 따라서 이 초기 오류를 방지하려면 NSS 모듈을 작성해야 합니다(아마도 getpwnam()을 구현하지만 작동 방식을 알아보려면 sshd를 분리해야 할 것으로 예상됩니다).

잘!

(아직도 이것이 문제를 해결할 수 있을지 확신하지 못합니다)

Answer

input_userauth_request()는 사용자 이름을 묻는 sshd의 함수입니다.

다음에 대해 앞뒤로 읽으십시오.pam_ldap(로컬 시스템은 인증되는 사용자 이름을 반드시 알 수는 없습니다.) LDAP NSS 라이브러리가 설치 또는 구성되지 않은 경우 "sshd[xxx]: input_userauth_request: 잘못된 사용자 ..." 메시지가 나타납니다. 이것으로부터 나는 sshd가 PAM(WTF?)에 넘겨주기 전에 먼저 사용자 이름을 확인하려고 시도한다고 추론합니다. 따라서 이 초기 오류를 방지하려면 NSS 모듈을 작성해야 합니다(아마도 getpwnam()을 구현하지만 작동 방식을 알아보려면 sshd를 분리해야 할 것으로 예상됩니다).

잘!

(아직도 이것이 문제를 해결할 수 있을지 확신하지 못합니다)

Question 2

오래된 스레드이지만 완전한 답변을 정리하고 싶었습니다.

나도 비슷한 요구 사항이 있었고 여기에 언급된 내용을 거의 사용하여 솔루션을 함께 엮었습니다.

libnss-ato- 존재하지 않는 사용자를 계속 허용하기 위해 필요합니다. (이전에도 이 방법을 사용한 적이 있습니다.)
PAM_SUCCESS다음을 제외하고 간단한 PAM 모듈(주로 반환된 가상 함수)을 만들었습니다 .


      static char*
      _find_base_user (const char *user)
      {
        char        *p             = NULL;
        static char  user_base[64] = {0};

        if ((p = strchr(user, '@'))) {
            memset(user_base, 0, 64);
            strncpy(user_base, user, (int)(p - user));
            return user_base;
        }

        return NULL;
      }

      int
      pam_sm_authenticate (pam_handle_t  *pamh,
                          int            flags,
                          int            argc,
                          const char   **argv)
      {
        int         ret      = 0;
        const char *user;
        char       *user_pfx = NULL;

        ret = pam_get_user(pamh, &user, NULL);
        if (ret != PAM_SUCCESS || user == NULL) {
            pam_syslog(pamh, LOG_ERR, "no user specified");
        } else {
            pam_syslog(pamh, LOG_DEBUG, "user = %s", user);
        }
        user_pfx = _find_base_user(user);
        if (user_pfx) {
            pam_syslog(pamh, LOG_DEBUG, "user base name: %s", user_pfx);
        } else {
            pam_syslog(pamh, LOG_ERR, "no separator in user name found");
            return PAM_SUCCESS;
        }

        ret = pam_set_item(pamh, PAM_USER, (const void *)user_pfx);
        if (ret!= PAM_SUCCESS) {
            pam_syslog(pamh, LOG_ERR, "user resetting failed");
            return PAM_USER_UNKNOWN;
        }

        return PAM_SUCCESS;
    }

이것을 호출 pam_changeuser.so하고 이제 PAM 스택(첫 번째 모듈)의 맨 위에 추가합니다.

 auth required pam_changeuser.so

이것으로 나는 할 수 있다밀수일부추가 자료사용자 이름으로!

이것이 누군가에게 도움이 되기를 바랍니다.

--

Answer