wiki/HowtoPAM.md

PAM (Pluggable Authentication Modules) est un ensemble de librairies qui fournit aux programmes un moyen d'authentification unifié indépendant de la méthode d'authentification configurée sur le système : mots de passe locaux, LDAP...

La configuration de PAM pour les applications qui l'utilisent se situe dans `/etc/pam.d/*`. Chaque application a son fichier de configuration, par exemple `/etc/pam.d/sshd`.


# Syntaxe des fichiers de configuration

Documentation : <https://linux.die.net/man/5/pam.d>

La configuration est constituée de lignes qui ont la forme :

~~~
type control_flag module_path [module_arguments]
~~~

Commentaires :

* type : Module type/context/interface.
* control_flag : Indique à PAM le comportement à adopter en cas d'échec de l'authentification.
  * Syntaxe simple (historique) : un seul mot-clé.
  * Syntaxe avancée : liste de paires `value=action` entre crochets `[ ]` et séparée par des espaces.
* module_path : Chemin du module pam à utiliser (souvent un .so). Par défaut, PAM les cherche dans `/lib/security/` ou `/lib64/security/` selon l'architecture.
* module-arguments : Arguments passés au module.


# Utilisation concrète

## Vérifier si un programme est capable d'utiliser PAM

Par exemple pour `sshd` : 

~~~
$ ldd /usr/sbin/sshd | grep libpam.so
~~~

## Ne pas envoyer les messages de connexion SSH d'un utilisateur

Dans `/etc/pam.d/sshd`, juste avant la ligne :

~~~
# Standard Un*x session setup and teardown.
@include common-session
~~~

On ajoute :

~~~
session [success=ok default=ignore] pam_succeed_if.so quiet service in sshd user = my_user
~~~

Commentaires :

* `quiet` signale à PAM de ne pas logger les messages quand `sshd user = my_user`