Подключаемый модуль аутентификации - Pluggable authentication module

А сменный модуль аутентификации (PAM) - это механизм для интеграции нескольких низкоуровневых аутентификация схемы на высоком уровне интерфейс прикладного программирования (API). PAM позволяет писать программы, использующие аутентификацию, независимо от базовой схемы аутентификации. Впервые это было предложено Sun Microsystems в Фонд открытого программного обеспечения Запрос комментариев (RFC) 86.0 от октября 1995 года. Он был принят в качестве основы аутентификации Общая среда рабочего стола. Как автономный Открытый исходный код инфраструктуры, PAM впервые появился в Red Hat Linux 3.0.4 в августе 1996 г. в Linux PAM проект. PAM в настоящее время поддерживается в Операционная система AIX, DragonFly BSD,[1] FreeBSD, HP-UX, Linux, macOS, NetBSD и Солярис.

Поскольку не существует центрального стандарта поведения PAM, позже была предпринята попытка стандартизировать PAM как часть X / Открыть Процесс стандартизации UNIX, в результате чего X / Open Single Sign-on (XSSO) стандарт. Этот стандарт не был ратифицирован, но проект стандарта служил ориентиром для более поздних реализаций PAM (например, OpenPAM ).

Критика

Поскольку большинство реализаций PAM не взаимодействуют с удаленными клиентами сами по себе, PAM не может реализовать Kerberos, самый распространенный тип SSO используется в средах Unix. Это привело к включению системы единого входа в качестве «первичной аутентификации» в будущий стандарт XSSO и появлению таких технологий, как СПНЕГО и SASL. Отсутствие функциональности также является причиной SSH выполняет собственное согласование механизма аутентификации.

В большинстве реализаций PAM pam_krb5 выбирает только Билеты на выдачу билетов, который включает запрос учетных данных у пользователя и используется только для первоначального входа в систему в среде единого входа. Чтобы получить билет службы для определенного приложения и не предлагать пользователю снова ввести учетные данные, это приложение должно быть специально закодировано для поддержки Kerberos. Это связано с тем, что pam_krb5 не может сам получить билеты на обслуживание, хотя существуют версии PAM-KRB5, которые пытаются обойти эту проблему.[2]

Смотрите также

использованная литература

  1. ^ Страница руководства PAM DragonFly BSD
  2. ^ PAM-KRB5

внешние ссылки