PAM:Allgemein
Aus KissDoc
Was ist PAM
PAM (Plaggable Authentication Modules) trennt die einzelnen Anwendung von den Mechanismen zur Benutzerauthentifizierung. Der Name deutet dabei schon die Möglichkeiten zur Verwendung von unterschiedlichen Modulen (Modules) zur Authentifikation (Authentication) und eine hohe Konfigurierbarkeit (Pluggable) der Gesamtlösung durch den System-Administrator an.
Das PAM-Framework ist ein Set von Shared Libraries. Die Module liegen ebenfalls als Shared Libraries vor und implementieren jeweils einen bestimmten Mechanismus. Der Administrator kann nun (abhängig vom Sicherheitsbedürfnis, Umgebung, persönlichen Vorlieben etc.) für jede einzelne Anwendung festlegen, welche Mechanismen zum Einsatz kommen sollen, d.h. also welche Module verwendet werden. Dabei könne auch mehrer Module hintereinander zum Einsatz kommen. Das nennt sich dann Module-Stacking, und ermöglicht durch die Verwendung mehrerer Authentifizierungsmechanismen ein Unified-Login für den Benutzer.
Viele weitere Programme und Dienste, z.B. Samba oder Apache bieten eine Schnittstelle zu PAM. Damit wird es möglich die auf meist mehrere Passwortverwaltungen verteilte Authentifizierung zu zentralisieren. Sprich: ein User - ein Passwort, und nicht für jeden Service ein anderes.
PAM als Management-System deckt dabei folgende Bereiche ab:
- Authentication Management - dient zur Authentifizierung des Benutzers, zum Beispiel durch Erfragen und Überprüfen des Passworts und Einstellen von Berechtigungsmerkmalen, wie z.B. Mitgliedschaft in einer Gruppe.
- Account Management - dient zum Überprüfen, ob der Zugriff erlaubt ist. Zum Beispiel, ob der Account abgelaufen ist, oder ob der Benutzer zur Anmeldung um diese Uhrzeit zugelassen ist.
- Passwort Management - zum Einstellen des Passworts.
- Session Management - Sorgt dafür, dass ein Benutzer nach seiner Authentifizierung seinen Account benutzen kann, z.B. durch das Mounten des Home-Verzeichnisses des Benutzers.
Je nach angefragtem Bereich werden die verschiedenen PAM-Module der Reihe nach abgearbeitet. Welche Module (und wie) zu welcher Anfrage benutzt werden kann natürlich konfiguriert werden.
