Syntaxe de contrôle «success = n» dans les fichiers pam.conf / pam.d / *

Après avoir correctement configuré Kerberos, voici ce que j'ai trouvé dans le /etc/pam.d/common-authfichier:

auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so

La success=2valeur de contrôle signifie-t-elle qu'en cas d' pam_unix.so échec , l'authentification passe à la auth requisite pam_deny.soligne ou à la dernière ligne?

D'après ma compréhension, success=$numspécifiera le nombre de règles à ignorer en cas de succès. Donc, si l'un pam_unix.soou l' autre pam_winbind.soréussit, PAM passera à la ligne finale. Bien sûr, la dernière ligne permet l'accès dans tous les cas.

pam.d (5) - Page de manuel Linux

Pour la syntaxe la plus compliquée, les valeurs de contrôle valides ont la forme suivante:
[value1=action1 value2=action2 ...]
L'actionN peut être: un entier non signé, n, signifiant une action de «sauter par-dessus les n prochains modules de la pile»

Ce que l'authentique commun dit:

1. Si locales retours d'authentification UNIX succès , sauter deux modules sur le module au 4 (module 1 + 2 modules pour sauter -> Module 4). Sinon, ignorez le résultat de l'authentification locale et passez au module suivant.
2. Si winbind (remplacé par sssd ces jours -ci ) avec des retours d'authentification kerberos succès , sauter un module sur le module 4. Dans le cas contraire ignorer le résultat de la auth locale et passer au module suivant.
3. Refuser la demande d'authentification. Le résultat est finalisé lorsque REFUSÉ et PAM s'arrête là (l'action définie pour le contrôle requis).
4. Permettez à tous. Le résultat est finalisé comme PERMIS mais passe au module suivant (l'action définie pour le contrôle requis). Cependant, il n'y a plus de module à exécuter, donc ça s'arrête là.