Définition simple
PAM fournit une couche modulaire d’authentification sous Linux.
Définition technique
Pluggable Authentication Modules permet aux services de déléguer authentification, compte, session et gestion de mot de passe.
À quoi cela sert ?
centraliser et composer les règles d’authentification de nombreux services Linux.
Exemple concret
sshd utilise PAM pour appliquer certaines politiques d’authentification.
Problèmes fréquents
- module PAM incorrect
- ordre des règles
- verrouillage involontaire
À retenir : adaptez toujours le diagnostic à la version du produit et à l’architecture réellement déployée.
À consulter : SELinux.
Approfondissement et preuve primaire
PAM, pour Pluggable Authentication Modules, fournit sous Linux une couche commune entre les applications qui demandent une authentification et les mécanismes qui la réalisent. Les piles `auth`, `account`, `password` et `session` peuvent appeler plusieurs modules avec des règles de contrôle différentes. Une modification PAM a donc un impact potentiellement transversal sur sudo, SSH, login ou d’autres services.
Vérification approfondie
Avant de modifier une pile PAM, identifier le fichier réellement utilisé par l’application et suivre les inclusions vers les configurations communes. Lire les drapeaux de contrôle dans l’ordre, vérifier les options propres à chaque module et conserver une session administrative de secours. Un échec peut venir du module lui-même, mais aussi de l’ordre d’évaluation ou d’une règle `account` distincte de l’authentification.
Critère de validation
La validation doit tester explicitement les applications concernées avec un compte autorisé et un compte refusé, puis vérifier la création de session et les journaux d’authentification. Une configuration n’est pas validée simplement parce qu’un login local fonctionne : les chemins SSH, sudo ou service applicatif peuvent charger une pile différente.
Référence primaire : Linux-PAM — System Administrators Guide.