java - PAM "pam_unix.so"身份验证有时会失败

Question

我在使用 PAM 时遇到了一些问题。我有一个使用 PAM 进行身份验证的 tomcat web 应用程序。在安装过程中，我们在/etc/pam.d 中创建到/etc/pam.d/sshd 文件的符号链接(symbolic link)。这一直有效。

最近我添加了一种让用户验证每个请求的方法(而不是使用 JSESSIONID cookie)。添加这一点是因为我们需要定期将一些数据批量加载到监控应用程序中，并且使用基本身份验证很容易。

如果我反复 curl 我的 Web 服务(例如每秒 10 次)，那么每隔一段时间 PAM 就会失败。这种情况大约每 500 次发生一次，尽管我的客户声称这种情况每隔几次就会发生一次(请注意，它们是远程运行的，尽管我不明白为什么这很重要)。

我已将符号链接(symbolic link)的 pam 配置替换为最小配置:

#%PAM-1.0
auth        sufficient    pam_unix.so audit
auth        required      pam_deny.so

我还将其添加到我的/etc/syslog.conf

*.debug /var/log/debug.log

唯一适用的日志消息可以在 debug.log 中找到:

Mar 12 09:49:32 arques java: pam_unix(foo:auth): unable to obtain a password
Mar 12 09:49:32 arques java: pam_unix(foo:auth): auth could not identify password for [root]

如何进一步调试？我已经尝试过:

1. 使用不同的主机。全新安装的一个
2. 我已关闭 nscd 服务

Answer 1

我在使用 PAM 进行身份验证的 Java 应用程序中遇到了类似的问题。目前，我猜测问题出在 CentOS 6.4 上的分布式 Java PAM 绑定(bind)实现中。我无法再访问该系统(但我仍在尝试解决此问题)，因此我无法提供 JDK 版本等详细信息。

我的最终解决方案是严厉打击 PAM:

#%PAM-
auth   sufficient pam_debug.so

为了使这一点更明确，您可以使用“pam_permit.so”。基本上就是这样。然后，任何有效的用户都将通过密码进行身份验证，无论是否有密码。啊。

我正在继续研究更好的答案。