Какой модуль pam используется для запросов пароля администратора gnome?

372
Mike Dacre

Я добавил модуль yubikey pam в мою конфигурацию sudo pam, и мне нравятся результаты - никто не может получить доступ суперпользователя через sudo или su без yubikey.

Оставляя в стороне тот факт, что это, возможно, является чрезмерной безопасностью для персонального компьютера, я пытаюсь выяснить, как требовать yubikey для запросов на обновление пароля администратора gnome, но я не хочу использовать его для входа в систему / разблокировки экрана., только чтобы получить доступ администратора.

Однако, когда я смотрю на модули pam, я вижу gdm-passwordи login(плюс, конечно, другие), ни один из которых не кажется идеальным для того, что я хочу сделать.

Можно ли сделать это? Если да, какой модуль pam мне нужно изменить?

Я нахожусь на Ubuntu 18.04, gnome-shell 3.28.1, версия ядра 4.15.0-23-generic

0
Это, вероятно, агент аутентификации polkit GNOME, и соответствующий стек PAM будет представлять собой polkit (`/ etc / pam.d / polkit-1`). muru 5 лет назад 0
Правильный! Это сработало. Не могли бы вы переписать в качестве ответа, чтобы я мог принять его? Mike Dacre 5 лет назад 0

1 ответ на вопрос

1
muru

Большинство приглашений с графическим интерфейсом в современном выпуске Ubuntu предназначены для аутентификации в Polkit: запросы на обновление / установку программного обеспечения, изменение настроек на дисках или в учетных записях пользователей и т. Д. Кроме того, в командной строке, с помощью systemctl(и systemctlкоманд на основе-например shutdown, rebootи т. Д.) также аутентифицируйтесь через Polkit (если вы не используете sudo). Для всех из них, применимое стек PAM будет Polkit - х: /etc/pam.d/polkit-1.

Для тех, кто хочет добавить оффлайн yubikey 2FA для доступа с правами root, вы можете следовать руководству здесь: https://developers.yubico.com/yubico-pam/Authentication_Using_Challenge-Response.html, но вместо использования модуля common-auth используйте модуль `polkit-1`, как говорит muru, а также модули` sudo` и `su`. Имейте в виду, что вы можете навсегда заблокировать себя из своей системы, если вы не будете осторожны. Mike Dacre 5 лет назад 0

Похожие вопросы