云計(jì)算服務(wù)
服務(wù)器租用
DDOS 防護(hù)
虛擬主機(jī)
域名服務(wù)
基礎(chǔ)設(shè)施
關(guān)于我們
CentOS 7 SSH PAM 集成配置指南
SSH與PAM基礎(chǔ)概念
SSH（Secure Shell）是Linux系統(tǒng)中遠(yuǎn)程管理服務(wù)的核心協(xié)議，PAM（Pluggable Authentication Modules）則為身份驗(yàn)證提供模塊化框架。通過集成SSH與PAM，可實(shí)現(xiàn)對登錄行為的精細(xì)化控制，例如限制用戶訪問、啟用多因素認(rèn)證等。
配置SSH啟用PAM支持
CentOS 7默認(rèn)SSH服務(wù)已啟用PAM支持。驗(yàn)證/etc/ssh/sshd_config文件中是否包含以下配置：
UsePAM yes
若需修改配置，需重啟SSH服務(wù)生效：
systemctl restart sshd
PAM配置文件詳解
SSH相關(guān)的PAM規(guī)則位于/etc/pam.d/sshd。典型配置示例如下：
#%PAM-1.0
auth required pam_sepermit.so
auth include password-auth
account required pam_nologin.so
account include password-auth
password include password-auth
可通過添加pam_tally2模塊限制失敗登錄嘗試次數(shù)：
auth required pam_tally2.so deny=3 unlock_time=300
高級(jí)安全策略示例
限制特定用戶組訪問
在/etc/ssh/sshd_config末尾添加：
AllowGroups sshusers
創(chuàng)建相應(yīng)用戶組并將授權(quán)用戶加入：
groupadd sshusers
usermod -aG sshusers username
啟用時(shí)間限制策略
在/etc/pam.d/sshd中添加：
account required pam_time.so
配置時(shí)間規(guī)則文件/etc/security/time.conf：
sshd;*;*;Wk0900-1800
故障排查與日志分析
檢查/var/log/secure日志文件定位PAM認(rèn)證問題：
tail -f /var/log/secure | grep pam
常見錯(cuò)誤包括：模塊路徑錯(cuò)誤、權(quán)限配置不當(dāng)、SELinux策略沖突等。
安全增強(qiáng)建議
- 定期審計(jì)PAM配置文件的權(quán)限設(shè)置，確保非root用戶不可修改
- 結(jié)合fail2ban工具增強(qiáng)防暴力破解能力
- 對敏感操作啟用雙因素認(rèn)證（如Google Authenticator）
.png)
.png)
