カスタムpamモジュールを使用してユーザー名のデータを密封することはできません。 - input_userauth_request: 無効なユーザー

Question 1

input_userauth_request() は、ユーザー名を求める sshd の関数です。

以下について前後にお読みください。pam_ldap（ローカルシステムは認証されているユーザー名は必ずしもわかりません。）LDAP NSSライブラリがインストールまたは構成されていない場合は、「sshd [xxx]：input_userauth_request：無効なユーザー...」というメッセージが表示されます。これから、私はsshdがPAM（WTF？）に引き渡される前に最初にユーザー名を解決しようとすると推測します。したがって、この初期エラーを回避するにはNSSモジュールを作成する必要があります（おそらくgetpwnam（）を実装しますが、どのように機能するかを知るにはsshdを分離する必要があります）。

よく！

（まだこれが問題を解決できるかどうかはわかりません）

Answer

input_userauth_request() は、ユーザー名を求める sshd の関数です。

以下について前後にお読みください。pam_ldap（ローカルシステムは認証されているユーザー名は必ずしもわかりません。）LDAP NSSライブラリがインストールまたは構成されていない場合は、「sshd [xxx]：input_userauth_request：無効なユーザー...」というメッセージが表示されます。これから、私はsshdがPAM（WTF？）に引き渡される前に最初にユーザー名を解決しようとすると推測します。したがって、この初期エラーを回避するにはNSSモジュールを作成する必要があります（おそらくgetpwnam（）を実装しますが、どのように機能するかを知るにはsshdを分離する必要があります）。

よく！

（まだこれが問題を解決できるかどうかはわかりません）

Question 2

古いスレッドですが、完全な答えを整理したかったです。

私も同様の要件があり、ここで言及されているものをほとんど使用してソリューションをまとめました。

libnss-ato- 存在しないユーザーを引き続き許可するために必要です。（以前にもこの方法を使用したことがあります。）
PAM_SUCCESS以下を除いて、単純なPAMモジュール（主に返された仮想関数）を作成しました。


      static char*
      _find_base_user (const char *user)
      {
        char        *p             = NULL;
        static char  user_base[64] = {0};

        if ((p = strchr(user, '@'))) {
            memset(user_base, 0, 64);
            strncpy(user_base, user, (int)(p - user));
            return user_base;
        }

        return NULL;
      }

      int
      pam_sm_authenticate (pam_handle_t  *pamh,
                          int            flags,
                          int            argc,
                          const char   **argv)
      {
        int         ret      = 0;
        const char *user;
        char       *user_pfx = NULL;

        ret = pam_get_user(pamh, &user, NULL);
        if (ret != PAM_SUCCESS || user == NULL) {
            pam_syslog(pamh, LOG_ERR, "no user specified");
        } else {
            pam_syslog(pamh, LOG_DEBUG, "user = %s", user);
        }
        user_pfx = _find_base_user(user);
        if (user_pfx) {
            pam_syslog(pamh, LOG_DEBUG, "user base name: %s", user_pfx);
        } else {
            pam_syslog(pamh, LOG_ERR, "no separator in user name found");
            return PAM_SUCCESS;
        }

        ret = pam_set_item(pamh, PAM_USER, (const void *)user_pfx);
        if (ret!= PAM_SUCCESS) {
            pam_syslog(pamh, LOG_ERR, "user resetting failed");
            return PAM_USER_UNKNOWN;
        }

        return PAM_SUCCESS;
    }

これを呼び出しpam_changeuser.soて、PAMスタック（最初のモジュール）の一番上に追加します。

 auth required pam_changeuser.so

これで私はできる密輸一部追加資料ユーザー名で！

これが誰かに役立つことを願っています。

-

Answer