Ce manuel a pour but de vous offrir une introduction rapide à
Linux-PAM.
Pour davantage d'informations, le lecteur est invité à lire le
Linux-PAM system administrators' guide.
Linux-PAM
est un système de bibliothèques qui gèrent les tâches d'authentification
des applications (services) sur le système. Les bibliothèques fournissent une
interface d'abstraction stable (Application Programming Interface - API) qui
accorde les privilèges aux programmes (comme
login(1)
et
su(1))
en ajournant la réalisation des tâches standard d'authentification.
La principale fonctionnalité de l'approche de PAM est que la nature
de l'authentification est configurable dynamiquement. En d'autres termes,
l'administrateur système est libre de choisir individuellement
de quelle manière les applications fournisseuses de service
authentifieront leurs utilisateurs. Cette configuration dynamique
est constituée par le fichier de configuration de
Linux-PAM
/etc/pam.conf.
Alternativement, la configuration peut être effectuée par les fichiers
de configuration individuels situés dans le répertoire
/etc/pam.d/
La présence de ce répertoire aura pour conséquence que Linux-PAM
ignorera"
/etc/pam.conf.
Du point de vue de l'administrateur système, pour qui ce manuel est fait,
il n'est pas essentiel de comprendre le comportement de la bibliothèque
Linux-PAM
"."Le point important est de percevoir que ce(s) fichier(s) de
configuration
définissent
des connexions entre les applications
(les
services)
et les modules d'authentification
(
PAMs)
qui réalisent les tâches d'authentification actuelles.
Linux-PAM
sépare les tâches d'
authentification
en quatre groupes de gestion indépendants :
account management;
authentication management;
password management;
et
session management.
(Nous soulignons les abréviations utilisées pour ces groupes
dans le fichier de configuration.)
Leur présence permet à ces groupes de prendre en charge les différents aspects
d'une requête classique d'utilisateur concernant un service limité
aux utilisateurs autorisés :
account -
fournit une vérification des types de service du compte utilisateur :
Est-ce que le mot de passe de l'utilisateur a expiré ? ; Cet utilisateur
a-t-il le droit d'accéder au service demandé ?
authentication -
établit la correspondance entre l'utilisateur et celui pour lequel
il prétend être. Habituellement cela se fait par une requête de défi-réponse
que l'utilisateur doit satisfaire : si vous êtes celui que vous prétendez
être,
vous devrez entrer votre mot de passe. Toutes les authentifications
ne sont pas de ce type, il existe des schémas d'authentification basés
sur le matériel (comme l'utilisation de cartes ou de périphériques
biométriques), avec les modules appropriés, ceux-ci peuvent être substitués
sans jointure afin d'avoir une approche plus traditionnelle
de l'authentification - c'est la flexibilité de
Linux-PAM.
password -
le rôle de ce groupe est de mettre à jour les mécanismes d'authentification.
Habituellement, les services sont fortement couplés avec un des groupes
auth.
Certains mécanismes d'authentification offrent la possibilité de se mettre
à jour d'eux-mêmes au moyen d'une fonction. La méthode standard sous UN*X
basée sur les mots de passe représente l'exemple évident : veuillez entrer
un mot de passe de remplacement.
session -
Ce groupe de tâches recouvre tout ce qui doit être fait en priorité
pour un service donné et après qu'il soit retiré. Ces tâches incluent
la maintenance de la journalisation et le montage du répertoire personnel
de l'utilisateur. La gestion du groupe
session
est importante parce qu'elle fournit un point d'accroche à l'ouverture
et à la fermeture des modules qui affectent les services disponibles pour
un utilisateur.
