Пакет: Linux-PAM

LIMITS.CONF(5)		       Руководство Linux-PAM			LIMITS.CONF(5)



NAME
       limits.conf - файл конфигурации для модуля pam_limits

DESCRIPTION
       Модуль pam_limits.so применяет ограничения ulimit, приоритет nice и
       ограничение на количество одновременных сеансов входа для сеансов
       входа пользователя. Это описание синтаксиса файла конфигурации
       относится к файлу /etc/security/limits.conf и файлам *.conf в
       директории /etc/security/limits.d.

       Синтаксис строк следующий:

       <domain> <type> <item> <value>

       Поля, перечисленные выше, должны быть заполнены следующим образом:

       <domain>

	   •   имя пользователя

	   •   имя группы, с синтаксисом @group. Это не следует путать
	       с netgroups.

	   •   подстановочный знак *, для записи по умолчанию.

	   •   подстановочный знак %, только для ограничения maxlogins, также
	       может использоваться с синтаксисом %group. Если % используется
	       в одиночку, он идентичен использованию * с ограничением
	       maxsyslogins. Если после % указана группа, это ограничивает
	       общее количество входов для всех пользователей, которые являются
	       членами группы.

	   •   диапазон uid, указанный как <min_uid>:<max_uid>. Если min_uid
	       omitted, совпадение точное для max_uid. Если max_uid omitted,
	       совпадают все uid, большие или равные min_uid.

	   •   диапазон gid, указанный как @<min_gid>:<max_gid>. Если min_gid
	       omitted, совпадение точное для max_gid. Если max_gid omitted,
	       совпадают все gid, большие или равные min_gid. Для точного
	       совпадения проверяются все группы, включая дополнительные группы
	       пользователя. Для совпадения по диапазону проверяется только
	       основная группа пользователя.

	   •   gid, указанный как %:<gid>, применяется только к ограничению
	       maxlogins. Это ограничивает общее количество входов для всех
	       пользователей, которые являются членами группы с указанным gid.

       <type>

	   hard
	       для принудительного применения жёстких ограничений ресурсов.
	       Эти ограничения устанавливаются суперпользователем и
	       принудительно применяются ядром. Пользователи не могут
	       повысить свои требования к системным ресурсам выше таких
	       значений.

	   soft
	       для принудительного применения мягких ограничений ресурсов.
	       Эти ограничения являются теми, которые пользователь может
	       изменять в пределах разрешённого диапазона в соответствии с
	       существующими жёсткими ограничениями. Значения, указанные с
	       этим токеном, можно рассматривать как значения по умолчанию
	       для нормального использования системы.

	   -
	       для принудительного применения как мягких, так и жёстких
	       ограничений ресурсов вместе.

	       Обратите внимание, если указан тип '-', но не указаны поля
	       item и value, модуль никогда не будет принудительно применять
	       какие-либо ограничения для указанного пользователя/группы и т.д.

       <item>

	   core
	       ограничение размера файла core (КБ)

	   data
	       максимальный размер данных (КБ)

	   fsize
	       максимальный размер файла (КБ)

	   memlock
	       максимальный размер заблокированного в памяти адресного
	       пространства (КБ)

	   nofile
	       максимальное количество открытых дескрипторов файлов

	   rss
	       максимальный размер набора резидентных страниц (КБ) (игнорируется
	       в Linux 2.4.30 и выше)

	   stack
	       максимальный размер стека (КБ)

	   cpu
	       максимальное время CPU (минуты)

	   nproc
	       максимальное количество процессов

	   as
	       ограничение адресного пространства (КБ)

	   maxlogins
	       максимальное количество входов для этого пользователя (это
	       ограничение не применяется к пользователю с uid=0)

	   maxsyslogins
	       максимальное количество всех входов в систему; пользователю не
	       разрешается войти, если общее количество входов всех
	       пользователей превышает указанное число (это ограничение не
	       применяется к пользователю с uid=0)

	   nonewprivs
	       значение 0 или 1; если установлено в 1, отключает получение
	       новых привилегий путём вызова prctl(PR_SET_NO_NEW_PRIVS)

	   priority
	       приоритет для выполнения процессов пользователя (отрицательные
	       значения повышают приоритет процесса)

	   locks
	       максимальное количество заблокированных файлов (Linux 2.4 и выше)

	   sigpending
	       максимальное количество ожидающих сигналов (Linux 2.6 и выше)

	   msgqueue
	       максимальная память, используемая очередями сообщений POSIX
	       (байты) (Linux 2.6 и выше)

	   nice
	       максимальный приоритет nice, до которого разрешено повысить
	       (Linux 2.6.12 и выше) значения: [-20,19]

	   rtprio
	       максимальный приоритет реального времени для непривилегированных
	       процессов (Linux 2.6.12 и выше)

       Все элементы поддерживают значения -1, unlimited или infinity, что
       указывает на отсутствие ограничения, за исключением priority, nice и
       nonewprivs. Если nofile устанавливается в одно из этих значений, оно
       будет установлено в содержимое /proc/sys/fs/nr_open вместо этого (см.
       setrlimit(3)).

       Если жёсткое или мягкое ограничение ресурса устанавливается в допустимое
       значение, но за пределами поддерживаемого диапазона локальной системы,
       система может отклонить новое ограничение или возникнуть неожиданное
       поведение. Если используется требуемое значение контроля, модуль
       отклонит вход, если ограничение не удалось установить.

       В общем, индивидуальные ограничения имеют приоритет над групповыми,
       поэтому если для группы admin не установлены ограничения, но один из
       её членов имеет строку с ограничениями, для пользователя будут
       установлены ограничения в соответствии с этой строкой.

       Также обратите внимание, что все настройки ограничений устанавливаются
       на сеанс входа. Они не глобальные и не постоянные; существуют только
       на протяжении сеанса. Исключение составляет опция maxlogin, которая
       действует на всю систему. Однако существует гонка состояний, и
       одновременные входы в одно и то же время могут не всегда
       обнаруживаться как таковые, а только учитываться как один.

       В файле конфигурации limits символ '#' вводит комментарий - после него
       остаток строки игнорируется.

       Модуль pam_limits сообщает о проблемах конфигурации, найденных в его
       файле конфигурации, и ошибках через syslog(3).

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/limits.conf.

	   *		   soft	   core		   0
	   *		   hard	   nofile	   512
	   @student	   hard	   nproc	   20
	   @faculty	   soft	   nproc	   20
	   @faculty	   hard	   nproc	   50
	   ftp		   hard	   nproc	   0
	   @student	   -	   maxlogins	   4
	   @student	   -	   nonewprivs	   1
	   :123		   hard	   cpu		   5000
	   @500:	   soft	   cpu		   10000
	   600:700	   hard	   locks	   10


SEE ALSO
       pam_limits(8), pam.d(5), pam(8), getrlimit(2), getrlimit(3p)

AUTHOR
       pam_limits изначально был написан Cristian Gafton <gafton@redhat.com>



Linux-PAM			  05/12/2025			LIMITS.CONF(5)

SEPERMIT.CONF(5)	       Руководство Linux-PAM		      SEPERMIT.CONF(5)



NAME
       sepermit.conf - файл конфигурации для модуля pam_sepermit

DESCRIPTION
       Строки файла конфигурации имеют следующий синтаксис:

       <user>[:<option>:<option>...]

       Пользователь может быть указан следующим образом:

       •   имя пользователя

       •   имя группы, с синтаксисом @group. Это не следует путать с
	   netgroups.

       •   имя пользователя SELinux с синтаксисом %seuser.

       Распознаваемые опции:

       exclusive
	   Разрешена только одна сессия входа для пользователя, и
	   процессы пользователя будут завершены при выходе.

       ignore
	   Модуль никогда не вернёт статус PAM_SUCCESS для пользователя. Он
	   вернёт PAM_IGNORE, если SELinux находится в режиме enforcing, и
	   PAM_AUTH_ERR в противном случае. Это полезно, если вы хотите
	   поддерживать пользователей-гостей без пароля и других
	   ограниченных пользователей с паролями одновременно.

       Строки, начинающиеся с символа #, являются комментариями и игнорируются.

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/sepermit.conf.

	   %guest_u:exclusive
	   %staff_u:ignore
	   %user_u:ignore


SEE ALSO
       pam_sepermit(8), pam.d(5), pam(8), selinux(8),

AUTHOR
       pam_sepermit и эта страница руководства были написаны Tomas Mraz
       <tmraz@redhat.com>



Linux-PAM			  05/12/2025		      SEPERMIT.CONF(5)

NAMESPACE.CONF(5)	       Руководство Linux-PAM		     NAMESPACE.CONF(5)



NAME
       namespace.conf - файл конфигурации пространства имен

DESCRIPTION
       Модуль pam_namespace.so позволяет настраивать частные пространства имен с
       полиинстанцируемыми каталогами. Каталоги могут быть полиинстанцированы на
       основе имени пользователя или, в случае SELinux, имени пользователя, уровня
       чувствительности или полного контекста безопасности. Если существует
       исполняемый скрипт /etc/security/namespace.init, он используется для
       инициализации пространства имен каждый раз, когда устанавливается и
       монтируется каталог-инстанс. Скрипт получает путь к полиинстанцированному
       каталогу и путь к каталогу-инстансу в качестве аргументов. Скрипт вызывается
       с полными привилегиями root, и доступ к каталогу-инстансу в этом контексте
       следует выполнять осторожно, поскольку он контролируется непривилегированным
       пользователем, для которого он был создан.

       Файл /etc/security/namespace.conf определяет, какие каталоги полиинстанцируются,
       как они полиинстанцируются, как будут называться каталоги-инстансы и для
       каких пользователей полиинстанцирование не будет выполняться.

       При входе пользователя файл namespace.conf сканируется. Комментарии обозначаются
       символами #. Каждая строка, не являющаяся комментарием, представляет один
       полиинстанцируемый каталог. Поля разделены пробелами, но могут быть заключены
       в кавычки " и распознаются escape-последовательности \b, \n и \t. Поля
       следующие:

       polydir instance_prefix method list_of_uids

       Первое поле, polydir, является абсолютным путем к каталогу, который нужно
       полиинстанцировать. Специальная строка $HOME заменяется домашним каталогом
       пользователя, а $USER — именем пользователя. Это поле не может быть пустым.

       Второе поле, instance_prefix, является строковым префиксом, используемым для
       построения пути к инстансу <polydir>. Путь должен заканчиваться косой чертой,
       или это префикс каталога, используемый для построения полного пути на
       инстанс. В зависимости от метода полиинстанцирования к нему добавляется
       "строка дифференциации инстанса", чтобы сгенерировать конечный путь к
       каталогу-инстансу. Этот каталог создается, если он еще не существует, и затем
       монтируется на <polydir> с помощью bind, чтобы предоставить инстанс <polydir>
       на основе столбца <method>. Специальная строка $HOME заменяется домашним
       каталогом пользователя, а $USER — именем пользователя. Это поле не может
       быть пустым.

       Третье поле, method, является методом полиинстанцирования. Оно может принимать
       следующие значения: "user" для полиинстанцирования на основе имени
       пользователя, "level" для полиинстанцирования на основе уровня MLS процесса и
       имени пользователя, "context" для полиинстанцирования на основе контекста
       безопасности процесса и имени пользователя, "tmpfs" для монтирования файловой
       системы tmpfs как каталога-инстанса, и "tmpdir" для создания временного
       каталога как каталога-инстанса, который удаляется при закрытии сессии
       пользователя. Методы "context" и "level" доступны только с SELinux. Это поле
       не может быть пустым.

       Четвертое поле, list_of_uids, является запятыми разделенным списком имен
       пользователей, для которых полиинстанцирование не выполняется. Если оно
       оставлено пустым, полиинстанцирование будет выполняться для всех пользователей.
       Если список предшествует одиночный символ "~", полиинстанцирование выполняется
       только для пользователей в списке.

       Поле method также может содержать следующие необязательные флаги, разделенные
       символами :.

       create=mode,owner,group - создать полиинстанцируемый каталог. Параметры mode,
       owner и group необязательны. Значение mode по умолчанию определяется umask,
       значение owner по умолчанию — пользователь, чья сессия открыта, значение
       group по умолчанию — основная группа пользователя.

       iscript=path - путь к скрипту инициализации каталога-инстанса. Базовый
       каталог для относительных путей — /etc/security/namespace.d.

       noinit - скрипт инициализации каталога-инстанса не будет выполнен.

       shared - каталоги-инстансы для методов "context" и "level" не будут содержать
       имя пользователя и будут общими для всех пользователей.

       mntopts=value - значение этого флага передается вызову mount при монтировании
       tmpfs. Это позволяет, например, указать максимальный размер инстанса tmpfs,
       создаваемого вызовом mount. Кроме опций, указанных в руководстве tmpfs(5),
       можно использовать флаги nosuid, noexec и nodev для соответственно отключения
       эффекта setuid, отключения запуска исполняемых файлов и отключения
       интерпретации устройств на смонтированной файловой системе tmpfs.

       Каталог, где должны создаваться полиинстанцированные инстансы, должен
       существовать и по умолчанию иметь режим 0000. Требование, чтобы родительский
       каталог инстанса имел режим 0000, можно переопределить с помощью опции
       командной строки ignore_instance_parent_mode.

       В случае полиинстанцирования context или level контекст SELinux, используемый
       для полиинстанцирования, — это контекст, используемый для выполнения нового
       процесса, полученный с помощью getexeccon. Этот контекст должен быть установлен
       вызывающим приложением или модулем pam_selinux.so. Если этот контекст не
       установлен, полиинстанцирование будет основано только на имени пользователя.

       "Строка дифференциации инстанса" — это <имя пользователя> для метода "user" и
       <имя пользователя>_<сырой контекст каталога> для методов "context" и "level".
       Если вся строка слишком длинная, ее конец заменяется md5sum от нее самой.
       Также, когда используется опция командной строки gen_hash, вся строка
       заменяется md5sum от нее самой.

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/namespace.conf.

		 # Следующие три строки полиинстанцируют /tmp,
		 # /var/tmp и домашние каталоги пользователей. /tmp и /var/tmp
		 # будут полиинстанцированы на основе уровня безопасности,
		 # а также имени пользователя, в то время как домашний каталог будет
		 # полиинстанцирован на основе полного контекста безопасности и имени
		 # пользователя.
		 # Полиинстанцирование не будет выполняться для пользователя root
		 # и adm для каталогов /tmp и /var/tmp, в то время как домашние
		 # каталоги будут полиинстанцированы для всех пользователей.
		 #
		 # Обратите внимание, что каталоги-инстансы не обязательно должны
		 # находиться внутри полиинстанцируемого каталога. В примерах ниже,
		 # инстансы /tmp будут созданы в каталоге /tmp-inst,
		 # в то время как инстансы /var/tmp и домашних каталогов пользователей
		 # будут находиться в полиинстанцируемых каталогах.
		 #
		 /tmp	  /tmp-inst/		   level      root,adm
		 /var/tmp /var/tmp/tmp-inst/	   level      root,adm
		 $HOME	  $HOME/$USER.inst/inst- context


       Для <service>ов, где требуется полиинстанцирование (например, login), добавьте
       следующую строку в /etc/pam.d/<service> как последнюю строку группы session:

       session required pam_namespace.so [arguments]

       Этот модуль также зависит от настройки контекста pam_selinux.so.

SEE ALSO
       pam_namespace(8), pam.d(5), pam(8)

AUTHORS
       Страница руководства namespace.conf была написана Janak Desai
       <janak@us.ibm.com>. Дополнительные функции добавлены Tomas Mraz
       <tmraz@redhat.com>.



Linux-PAM			  05/12/2025		     NAMESPACE.CONF(5)

UNIX_UPDATE(8)		       Руководство Linux-PAM			UNIX_UPDATE(8)



NAME
       unix_update - Вспомогательная программа, которая обновляет пароль указанного пользователя

SYNOPSIS
       unix_update [...]

DESCRIPTION
       unix_update — это вспомогательная программа для модуля pam_unix, которая обновляет
       пароль указанного пользователя. Она не предназначена для запуска напрямую из
       командной строки и фиксирует нарушение безопасности, если это сделано.

       Цель вспомогательной программы — обеспечить более строгий контроль служб входа в
       систему и изменения пароля. Программа вызывается только при включенном SELinux
       в системе.

       Интерфейс вспомогательной программы — параметры командной строки и формат
       ввода/выходных данных — являются внутренними для модуля pam_unix, и её не следует
       вызывать напрямую из приложений.

SEE ALSO
       pam_unix(8)

AUTHOR
       Написано Tomas Mraz и другими различными людьми.



Linux-PAM			  05/12/2025			UNIX_UPDATE(8)

PAM_MKHOMEDIR(8)	       Linux-PAM Manual		      PAM_MKHOMEDIR(8)



NAME
       pam_mkhomedir - модуль PAM для создания домашнего каталога пользователя

SYNOPSIS
       pam_mkhomedir.so [silent] [debug] [umask=mode] [skel=skeldir]

DESCRIPTION
       Модуль PAM pam_mkhomedir создаст домашний каталог пользователя, если
       он не существует на момент начала сеанса. Это позволяет пользователям
       присутствовать в центральной базе данных (например, NIS, Kerberos или
       LDAP), не используя распределённую файловую систему или заранее
       создавая большое количество каталогов. Каталог-скелетон (обычно
       /etc/skel/) используется для копирования файлов по умолчанию, а также
       для установки маски создания файлов.

       Домашний каталог нового пользователя не будет удалён после выхода
       пользователя из системы.

OPTIONS
       silent
	   Не выводить информационные сообщения.

       debug
	   Включить отладку через syslog(3).

       umask=mask
	   Маска создания файлов устанавливается в mask. Значение mask по
	   умолчанию — 0022. Если эта опция не указана, то разрешения
	   создаваемого домашнего каталога пользователя устанавливаются в
	   значение параметра HOME_MODE из файла /etc/login.defs. Если такого
	   параметра нет, то значение вычисляется из параметра UMASK в том же
	   файле. Если такого параметра тоже нет, то используется значение
	   по умолчанию 0755 для режима.

       skel=/path/to/skel/directory
	   Указать альтернативный каталог-скелетон для переопределения
	   каталога по умолчанию /etc/skel.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_PERM_DENIED
	   Недостаточно прав для создания нового каталога или чтения
	   каталога-скелетона.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен базовому модулю аутентификации.

       PAM_SUCCESS
	   Переменные окружения были установлены.

FILES
       /etc/skel
	   Каталог-скелетон по умолчанию

EXAMPLES
       Пример файла /etc/pam.d/login:

	     auth	requisite   pam_securetty.so
	     auth	sufficient  pam_ldap.so
	     auth	required    pam_unix.so
	     auth	required    pam_nologin.so
	     account	sufficient  pam_ldap.so
	     account	required    pam_unix.so
	     password	required    pam_unix.so
	     session	required    pam_mkhomedir.so skel=/etc/skel/ umask=0022
	     session	required    pam_unix.so
	     session	optional    pam_lastlog.so
	     session	optional    pam_mail.so standard



SEE ALSO
       pam.d(5), pam(8).

AUTHOR
       pam_mkhomedir был написан Jason Gunthorpe <jgg@debian.org>.



Linux-PAM			  05/12/2025		      PAM_MKHOMEDIR(8)

PAM_SELINUX(8)		       Linux-PAM Manual			PAM_SELINUX(8)



NAME
       pam_selinux - модуль PAM для установки контекста безопасности по умолчанию

SYNOPSIS
       pam_selinux.so [open] [close] [restore] [nottys] [debug] [verbose]
		      [select_context] [env_params] [use_current_range]

DESCRIPTION
       pam_selinux - это модуль PAM, который настраивает контекст безопасности по умолчанию для следующего выполняемого процесса.

       При запуске новой сессии часть open_session модуля вычисляет и настраивает контекст безопасности выполнения, используемый для следующего вызова execve(2), контекст безопасности файла управляющего терминала, а также контекст безопасности, используемый для создания новой системной связки ключей.

       При завершении сессии часть close_session модуля восстанавливает предыдущие контексты безопасности, которые действовали до изменений, внесенных частью open_session модуля.

       Добавление pam_selinux в стек PAM может нарушить поведение других модулей PAM, которые выполняют приложения. Чтобы избежать этого, pam_selinux.so open следует размещать после таких модулей в стеке PAM, а pam_selinux.so close - перед ними. Если такое размещение невозможно, можно использовать pam_selinux.so restore для временного восстановления исходных контекстов безопасности.

OPTIONS
       open
	   Выполнять только часть open_session модуля.

       close
	   Выполнять только часть close_session модуля.

       restore
	   В части open_session модуля временно восстанавливать контексты безопасности такими, какими они были до предыдущего вызова модуля. Другой вызов этого модуля без опции restore снова настроит новые контексты безопасности.

       nottys
	   Не настраивать контекст безопасности управляющего терминала.

       debug
	   Включить отладочные сообщения через syslog(3).

       verbose
	   Пытаться информировать пользователя при установке контекста безопасности.

       select_context
	   Пытаться запросить у пользователя пользовательскую роль контекста безопасности. Если включен MLS, также запросить уровень чувствительности.

       env_params
	   Пытаться получить пользовательскую роль контекста безопасности из окружения PAM. Если включен MLS, также получить уровень чувствительности. Эта опция и опция select_context являются взаимоисключающими. Соответствующие переменные окружения PAM - SELINUX_ROLE_REQUESTED, SELINUX_LEVEL_REQUESTED и SELINUX_USE_CURRENT_RANGE. Первые две переменные самописны, а последняя, если установлена в 1, заставляет модуль PAM вести себя так, как будто указана опция use_current_range в командной строке модуля.

       use_current_range
	   Использовать уровень чувствительности текущего процесса для контекста пользователя вместо уровня по умолчанию. Также подавляет запрос уровня чувствительности у пользователя или получение его из окружения PAM.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_SUCCESS
	   Контекст безопасности был установлен успешно.

       PAM_SESSION_ERR
	   Не удалось получить или установить допустимый контекст.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

       PAM_BUF_ERR
	   Ошибка выделения памяти.

EXAMPLES
	   auth	    required  pam_unix.so
	   session  required  pam_permit.so
	   session  optional  pam_selinux.so


SEE ALSO
       execve(2), tty(4), pam.d(5), pam(8), selinux(8)

AUTHOR
       pam_selinux был написан Dan Walsh <dwalsh@redhat.com>.



Linux-PAM			  05/12/2025			PAM_SELINUX(8)

PAM_SEPERMIT(8)		       Руководство Linux-PAM		       PAM_SEPERMIT(8)



NAME
       pam_sepermit - модуль PAM для разрешения/запрета входа в зависимости от состояния принудительного режима SELinux

SYNOPSIS
       pam_sepermit.so [debug] [conf=/path/to/config/file]

DESCRIPTION
       Модуль pam_sepermit позволяет или запрещает вход в зависимости от состояния принудительного режима SELinux.

       Пользователи, которые осуществляют вход и соответствуют записи в файле конфигурации, получают доступ только в том случае, если SELinux находится в режиме принудительного выполнения. В противном случае доступ им запрещается. Для пользователей, не соответствующих ни одной записи в файле конфигурации, модуль pam_sepermit возвращает значение PAM_IGNORE.

       Файл конфигурации содержит список имен пользователей по одному на строку с необязательными аргументами. Если имя начинается с символа @, это означает, что все пользователи в группе с таким именем соответствуют. Если оно начинается с символа %, то для сопоставления используется пользователь SELinux вместо имени учетной записи. Обратите внимание, что при отключенном SELinux пользователь SELinux, назначенный учетной записи, не может быть определен. Это означает, что такие записи никогда не будут соответствовать, когда SELinux отключен, и pam_sepermit вернет PAM_IGNORE.

       См. sepermit.conf(5) для деталей.

OPTIONS
       debug
	   Включает отладку через syslog(3).

       conf=/path/to/config/file
	   Путь к альтернативному файлу конфигурации, переопределяющему значение по умолчанию.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и account.

RETURN VALUES
       PAM_AUTH_ERR
	   SELinux отключен или находится в режиме разрешения, и пользователь соответствует.

       PAM_SUCCESS
	   SELinux находится в режиме принудительного выполнения, и пользователь соответствует.

       PAM_IGNORE
	   Пользователь не соответствует ни одной записи в файле конфигурации.

       PAM_USER_UNKNOWN
	   Модулю не удалось определить имя пользователя.

       PAM_SERVICE_ERR
	   Ошибка при чтении или анализе файла конфигурации.

FILES
       /etc/security/sepermit.conf
	   Файл конфигурации по умолчанию

EXAMPLES
	   auth	    [success=done ignore=ignore default=bad] pam_sepermit.so
	   auth	    required  pam_unix.so
	   account  required  pam_unix.so
	   session  required  pam_permit.so


SEE ALSO
       sepermit.conf(5), pam.conf(5), pam.d(5), pam(8), selinux(8)

AUTHOR
       pam_sepermit и эта страница руководства были написаны Tomas Mraz <tmraz@redhat.com>.



Linux-PAM			  05/12/2025		       PAM_SEPERMIT(8)

FAILLOCK(8)		       Руководство Linux-PAM			   FAILLOCK(8)



NAME
       faillock - Инструмент для отображения и изменения файлов записей неудачных попыток аутентификации

SYNOPSIS
       faillock [--dir /path/to/tally-directory] [--user username] [--reset]

DESCRIPTION
       Модуль pam_faillock.so поддерживает список неудачных попыток аутентификации для каждого пользователя в течение указанного интервала и блокирует учетную запись в случае, если было более deny последовательных неудачных аутентификаций. Он хранит записи неудач в файлах на пользователя в каталоге подсчета.

       Команда faillock - это приложение, которое можно использовать для просмотра и изменения содержимого файлов подсчета. Она может отображать недавние неудачные попытки аутентификации для указанного имени пользователя или очищать файлы подсчета для всех или отдельных имен пользователей.

OPTIONS
       --conf /path/to/config-file
	   Файл, в котором находится конфигурация. Значение по умолчанию -
	   /etc/security/faillock.conf.

       --dir /path/to/tally-directory
	   Каталог, в котором хранятся файлы пользователей с записями неудач.

	   Приоритет установки этого параметра - использовать значение, указанное в командной строке. Если оно не указано, то используется значение из файла конфигурации. Наконец, если ни одно из них не указано, то используется /var/run/faillock.

       --user username
	   Пользователь, записи неудач которого должны быть отображены или очищены.

       --reset
	   Вместо отображения записей неудач пользователя, очистить их.

FILES
       /var/run/faillock/*
	   файлы, регистрирующие неудачные попытки аутентификации для пользователей

SEE ALSO
       pam_faillock(8), pam(8)

AUTHOR
       faillock был написан Tomas Mraz.



Linux-PAM			  05/12/2025			   FAILLOCK(8)

PAM_ENV.CONF(5)		       Linux-PAM Manual		       PAM_ENV.CONF(5)



NAME
       pam_env.conf, environment - файлы конфигурации переменных окружения

DESCRIPTION
       Файл /etc/security/pam_env.conf определяет переменные окружения, которые
       должны быть установлены, удалены или изменены модулем pam_env(8). Когда
       пользователь входит в систему, этот файл читается и переменные окружения
       устанавливаются соответственно.

       Каждая строка начинается с имени переменной, после чего могут следовать
       две опции: DEFAULT и OVERRIDE. Опция DEFAULT позволяет администратору
       установить значение переменной по умолчанию, если оно не указано, то
       предполагается пустая строка. Опция OVERRIDE указывает pam_env, что
       следует использовать её значение (переопределяя значение по умолчанию),
       если оно доступно. Если OVERRIDE не используется, то предполагается "",
       и переопределение не выполняется.

       VARIABLE [DEFAULT=[value]] [OVERRIDE=[value]]

       (Возможно, несуществующие) переменные окружения могут использоваться в
       значениях с помощью синтаксиса ${string}, а также (возможно,
       несуществующие) PAM_ITEMs, а также HOME и SHELL могут использоваться в
       значениях с помощью синтаксиса @{string}. Символы $ и @ могут быть
       экранированы обратным слешем для использования как литеральные значения.
       Значения могут быть заключены в "", экранирование " не поддерживается.
       Обратите внимание, что многие переменные окружения, которые вы хотели бы
       использовать, могут не быть установлены к моменту вызова модуля. Например,
       ${HOME} используется ниже несколько раз, но многие приложения PAM не
       делают его доступным к тому моменту, когда оно вам понадобится. Специальные
       переменные @{HOME} и @{SHELL} расширяются до значений для пользователя из
       соответствующей записи passwd.

       Символ "#" в начале строки (без пробела в начале) может использоваться
       для пометки этой строки как комментария.

       Файл /etc/environment определяет переменные окружения, которые должны
       быть установлены. Файл должен состоять из простых пар NAME=VALUE на
       отдельных строках. Модуль pam_env(8) прочитает этот файл после файла
       pam_env.conf.

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/pam_env.conf.

       Установка переменной REMOTEHOST для любых удалённых хостов, по умолчанию
       "localhost", а не отсутствие установки

		 REMOTEHOST	DEFAULT=localhost OVERRIDE=@{PAM_RHOST}


       Установка переменной DISPLAY, если это разумно

		 DISPLAY	DEFAULT=${REMOTEHOST}:0.0 OVERRIDE=${DISPLAY}


       Теперь несколько простых переменных

		 PAGER		DEFAULT=less
		 MANPAGER	DEFAULT=less
		 LESS		DEFAULT="M q e h15 z23 b80"
		 NNTPSERVER	DEFAULT=localhost
		 PATH		DEFAULT=${HOME}/bin:/usr/local/bin:/bin\
		 :/usr/bin:/usr/local/bin/X11:/usr/bin/X11
		 XDG_DATA_HOME	DEFAULT=@{HOME}/share/


       Глупые примеры экранированных переменных, просто чтобы показать, как они
       работают.

		 DOLLAR		DEFAULT=\$
		 DOLLARDOLLAR	DEFAULT=	OVERRIDE=\$${DOLLAR}
		 DOLLARPLUS	DEFAULT=\${REMOTEHOST}${REMOTEHOST}
		 ATSIGN		DEFAULT=""	OVERRIDE=\@


SEE ALSO
       pam_env(8), pam.d(5), pam(8), environ(7)

AUTHOR
       pam_env был написан Dave Kinchlea <kinch@kinch.ark.com>.



Linux-PAM			  05/12/2025		       PAM_ENV.CONF(5)

PAM_LOGINUID(8)		       Руководство Linux-PAM		       PAM_LOGINUID(8)



NAME
       pam_loginuid - Запись UID входа пользователя в атрибут процесса

SYNOPSIS
       pam_loginuid.so [require_auditd]

DESCRIPTION
       Модуль pam_loginuid устанавливает атрибут loginuid процесса для процесса,
       который был аутентифицирован. Это необходимо для того, чтобы приложения
       корректно аудитировались. Этот модуль PAM следует использовать только для
       приложений точек входа, таких как: login, sshd, gdm, vsftpd, crond и atd. Вероятно,
       существуют и другие приложения точек входа помимо этих. Не следует
       использовать его для приложений, таких как sudo или su, поскольку это нарушает
       цель, изменяя loginuid на учетную запись, в которую только что перешли.

OPTIONS
       require_auditd
	   Эта опция, когда она указана, заставит этот модуль запросить статус
	   демона аудита и запретить входы, если он не запущен.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_SUCCESS
	   Значение loginuid установлено, и auditd запущен, если запрошена проверка.

       PAM_IGNORE
	   Файл /proc/self/loginuid отсутствует в системе или процесс входа работает
	   внутри пространства имен UID и ядро не поддерживает перезапись loginuid.

       PAM_SESSION_ERR
	   Любая другая ошибка помешала установить loginuid или auditd не запущен.

EXAMPLES
	   #%PAM-1.0
	   auth       required    pam_unix.so
	   auth       required    pam_nologin.so
	   account    required    pam_unix.so
	   password   required    pam_unix.so
	   session    required    pam_unix.so
	   session    required    pam_loginuid.so


SEE ALSO
       pam.conf(5), pam.d(5), pam(8), auditctl(8), auditd(8)

AUTHOR
       pam_loginuid был написан Steve Grubb <sgrubb@redhat.com>



Linux-PAM			  05/12/2025		       PAM_LOGINUID(8)

PAM_PERMIT(8)		       Linux-PAM Manual			 PAM_PERMIT(8)



NAME
       pam_permit - Модуль, всегда разрешающий доступ

SYNOPSIS
       pam_permit.so

DESCRIPTION
       pam_permit — это модуль PAM, который всегда разрешает доступ. Он ничего больше не делает.

       В случае аутентификации, имя пользователя будет установлено как nobody, если приложение не установило его. Многие приложения и модули PAM могут запутаться, если это имя неизвестно.

       Этот модуль очень опасен. Его следует использовать с крайней осторожностью.

OPTIONS
       Этот модуль не распознает никаких опций.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth, account, password и session.

RETURN VALUES
       PAM_SUCCESS
	   Этот модуль всегда возвращает это значение.

EXAMPLES
       Добавьте эту строку в другие записи входа, чтобы отключить управление учетными записями, но продолжить разрешать пользователям вход.

	   account  required  pam_permit.so



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_permit был написан Andrew G. Morgan, <morgan@kernel.org>.



Linux-PAM			  05/12/2025			 PAM_PERMIT(8)

TIME.CONF(5)		       Linux-PAM Manual			  TIME.CONF(5)



NAME
       time.conf - файл конфигурации для модуля pam_time

DESCRIPTION
       Модуль PAM pam_time не аутентифицирует пользователя, а вместо этого
       ограничивает доступ к системе и/или конкретным приложениям в различные
       времена суток и на определенные дни или через различные терминалы.
       Этот модуль может быть настроен для запрета доступа к (индивидуальным)
       пользователям на основе их имени, времени суток, дня недели,
       используемой службы и терминала, с которого они делают запрос.

       Для корректной работы этого модуля должен присутствовать правильно
       отформатированный файл /etc/security/time.conf. Пробелы игнорируются,
       и строки могут быть продолжены с помощью '\' (экранированных переносов
       строк). Текст после '#' игнорируется до конца строки.

       Синтаксис строк следующий:

       services;ttys;users;times

       Иными словами, каждое правило занимает одну строку, заканчивающуюся
       новой строкой или началом комментария; '#'. В строке содержится четыре
       поля, разделенных точками с запятой ';'.

       Первое поле, поле services, является логическим списком имен служб PAM,
       к которым применяется правило.

       Второе поле, поле tty, является логическим списком имен терминалов,
       к которым применяется это правило.

       Третье поле, поле users, является логическим списком пользователей или
       netgroup пользователей, к которым применяется это правило.

       Логический список подразумевает отдельные токены, которые опционально
       предваряются '!' (логическое отрицание) и разделяются '&' (логическое
       и) и '|' (логическое или).

       Для этих элементов простой шаблон '*' может быть использован только
       один раз. Для netgroup шаблоны или логические операторы не допускаются.

       Поле times используется для указания времен, в которые применяется это
       правило. Формат здесь — логический список записей день/диапазон-времени.
       Дни указываются последовательностью двухсимвольных записей, например,
       MoTuSa для понедельника, вторника и субботы. Обратите внимание, что
       повторяющиеся дни отменяются (MoMo = ни одного дня), и MoWk = все
       будни, кроме понедельника. Принимаемые двухсимвольные комбинации —
       Mo Tu We Th Fr Sa Su Wk Wd Al, где последние две — выходные дни и все
       7 дней недели соответственно. В качестве примера, AlFr означает все
       дни, кроме пятницы.

       Каждая запись день/диапазон-времени может быть предварена '!' для
       указания "все, кроме". Часть диапазона-времени состоит из двух
       времен в формате 24-часового HHMM, разделенных дефисом, указывающих
       начало и конец времени (если конечное время меньше начального, оно
       считается применимым на следующий день).

       Для активации правила ВСЕ из service+ttys+users должны быть
       удовлетворены для применяемого процесса.

       Обратите внимание, в настоящее время нет демона, обеспечивающего
       завершение сессии. Это нужно исправить.

       Неправильно отформатированные правила логируются как ошибки с помощью
       syslog(3).

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/time.conf.

       Всем пользователям, кроме root, запрещен доступ к консольному входу
       во все времена:

	   login ; tty* & !ttyp* ; !root ; !Al0000-2400


       Игры (настроенные на использование PAM) доступны только вне рабочего
       времени. Это правило не применяется к пользователю waster:

	   games ; * ; !waster ; Wd0000-2400 | Wk1800-0800



SEE ALSO
       pam_time(8), pam.d(5), pam(8)

AUTHOR
       pam_time был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			  TIME.CONF(5)

PAM_XAUTH(8)		       Руководство Linux-PAM			  PAM_XAUTH(8)



NAME
       pam_xauth - модуль PAM для перенаправления ключей xauth между пользователями

SYNOPSIS
       pam_xauth.so [debug] [xauthpath=/path/to/xauth] [systemuser=UID]
		    [targetuser=UID]

DESCRIPTION
       Модуль PAM pam_xauth предназначен для перенаправления ключей xauth (иногда
       называемых "cookies") между пользователями.

       Без pam_xauth, когда xauth включен и пользователь использует команду su(1)
       для принятия привилегий другого пользователя, этот пользователь больше не
       может получить доступ к дисплею X исходного пользователя, поскольку новый
       пользователь не имеет необходимого ключа для доступа к дисплею. pam_xauth
       решает эту проблему, перенаправляя ключ от пользователя, запускающего su
       (исходного пользователя), к пользователю, чью идентичность принимает
       исходный пользователь (целевой пользователь), при создании сеанса, и
       уничтожает ключ при завершении сеанса.

       Это означает, например, что при запуске su(1) из сеанса xterm вы сможете
       запускать программы X без явного использования команды xauth(1) или файлов
       ~/.Xauthority.

       pam_xauth будет перенаправлять ключи только в том случае, если xauth может
       перечислить ключ, связанный с переменной среды $DISPLAY.

       Простой контроль доступа обеспечивается с помощью файла ~/.xauth/export в
       домашнем каталоге вызывающего пользователя и файла ~/.xauth/import в
       домашнем каталоге целевого пользователя.

       Если у пользователя есть файл ~/.xauth/import, он будет получать cookies
       только от пользователей, перечисленных в файле. Если файла ~/.xauth/import
       нет, пользователь будет принимать cookies от любого другого пользователя.

       Если у пользователя есть файл ~/.xauth/export, он будет перенаправлять
       cookies только пользователям, перечисленным в файле. Если файла
       ~/.xauth/export нет, и вызывающий пользователь не является root, пользователь
       будет перенаправлять cookies любому другому пользователю. Если файла
       ~/.xauth/export нет, и вызывающий пользователь является root, пользователь
       не будет перенаправлять cookies другим пользователям.

       Оба файла import и export поддерживают подстановочные знаки (такие как *).
       Оба файла import и export могут быть пустыми, что означает, что никакие
       пользователи не допускаются.

OPTIONS
       debug
	   Выводить информацию отладки.

       xauthpath=/path/to/xauth
	   Указать путь к программе xauth (по умолчанию ожидается в
	   /usr/X11R6/bin/xauth, /usr/bin/xauth или /usr/bin/X11/xauth).

       systemuser=UID
	   Указать наивысший UID, который будет считаться принадлежащим
	   "системному" пользователю. pam_xauth откажется перенаправлять
	   учетные данные пользователям с UID меньше или равным этому числу,
	   за исключением root и "targetuser", если он указан.

       targetuser=UID
	   Указать единственный целевой UID, который будет исключен из проверки
	   systemuser.

MODULE TYPES PROVIDED
       Предоставляется только тип сеанса.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_PERM_DENIED
	   Доступ запрещен файлом import/export.

       PAM_SESSION_ERR
	   Не удается определить имя пользователя, UID или получить доступ к
	   домашнему каталогу пользователя.

       PAM_SUCCESS
	   Успех.

       PAM_USER_UNKNOWN
	   Пользователь не известен.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/su для перенаправления ключей xauth
       между пользователями при вызове su:

	   session  optional  pam_xauth.so



IMPLEMENTATION DETAILS
       pam_xauth будет работать только если он используется из приложения с
       установкой setuid, в котором вызов getuid() возвращает идентификатор
       пользователя, запускающего приложение, и для которого PAM может предоставить
       имя учетной записи, которую пользователь пытается принять. Типичным
       приложением этого типа является su(1). Приложение должно вызывать как
       pam_open_session(), так и pam_close_session() с ruid, установленным на uid
       вызывающего пользователя, и euid, установленным на root, и должно
       предоставить в качестве элемента PAM_USER имя целевого пользователя.

       pam_xauth вызывает xauth(1) от имени исходного пользователя для извлечения
       ключа для $DISPLAY, затем вызывает xauth от имени целевого пользователя для
       слияния ключа в временную базу данных и последующего удаления базы данных.

       pam_xauth нельзя указать не удалять ключи при закрытии сеанса.

FILES
       ~/.xauth/import
	   [Описание отсутствует]

       ~/.xauth/export
	   [Описание отсутствует]

SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_xauth был написан Nalin Dahyabhai <nalin@redhat.com> на основе
       оригинальной версии Michael K. Johnson <johnsonm@redhat.com>.



Linux-PAM			  05/12/2025			  PAM_XAUTH(8)

PAM_SECURETTY(8)       Руководство Linux-PAM		      PAM_SECURETTY(8)



NAME
       pam_securetty - Ограничение входа root только на специальные устройства

SYNOPSIS
       pam_securetty.so [debug]

DESCRIPTION
       pam_securetty — это модуль PAM, который позволяет вход root только если
       пользователь входит на "secure" tty, как определено в списке в файле
       securetty. pam_securetty сначала проверяет, существует ли /etc/securetty.
       Если нет и модуль был построен с поддержкой vendordir, он будет использовать
       /securetty. pam_securetty также проверяет, что файлы securetty являются
       обычными файлами и не доступны для записи всем. Он также позволит вход root
       на tty, указанный с помощью параметра console= в командной строке ядра, и
       на ttys из /sys/class/tty/console/active.

       Этот модуль не влияет на не-root пользователей и требует, чтобы приложение
       правильно заполняло элемент PAM_TTY.

       Для канонического использования должен быть указан как обязательный метод
       аутентификации перед любыми достаточными методами аутентификации.

OPTIONS
       debug
	   Выводить отладочную информацию.

       noconsole
	   Не автоматически разрешать вход root на устройство консоли ядра,
	   как указано в командной строке ядра или в файле sys, если оно не
	   указано также в файле securetty.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_SUCCESS
	   Пользователь может продолжить аутентификацию. Либо пользователь не
	   является root, либо пользователь root пытается войти на приемлемое
	   устройство.

       PAM_AUTH_ERR
	   Аутентификация отклонена. Либо root пытается войти через
	   неприемлемое устройство, либо файл securetty доступен для записи всем
	   или не является обычным файлом.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя
	   пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул PAM_CONV_AGAIN.

       PAM_SERVICE_ERR
	   Произошла ошибка при определении имени пользователя или tty модулем,
	   или модуль не смог открыть файл securetty.

       PAM_USER_UNKNOWN
	   Модуль не смог найти имя пользователя в файле /etc/passwd для
	   проверки, имеет ли пользователь UID равным 0. Поэтому результаты
	   работы этого модуля игнорируются.

EXAMPLES
	   auth	 required  pam_securetty.so
	   auth	 required  pam_unix.so



SEE ALSO
       securetty(5), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_securetty был написан Elliot Lee <sopwith@cuc.edu>.



Linux-PAM			  05/12/2025		      PAM_SECURETTY(8)

PAM_SUCCEED_IF(8)	       Linux-PAM Manual		     PAM_SUCCEED_IF(8)



NAME
       pam_succeed_if - проверка характеристик учетной записи

SYNOPSIS
       pam_succeed_if.so [flag...] [condition...]

DESCRIPTION
       pam_succeed_if.so предназначен для успешного или неудачного прохождения
       аутентификации на основе характеристик учетной записи, принадлежащей
       пользователю, проходящему аутентификацию, или значений других элементов
       PAM. Один из вариантов использования - выбор загрузки других модулей
       на основе этого теста.

       Модулю следует указывать одно или несколько условий в качестве
       аргументов модуля, и аутентификация будет успешной только в том случае,
       если все условия выполнены.

OPTIONS
       Поддерживаются следующие флаги:

       debug
	   Включает отладочные сообщения, отправляемые в syslog.

       use_uid
	   Оценивает условия с использованием учетной записи пользователя,
	   UID которого соответствует UID приложения, под которым оно запущено,
	   вместо пользователя, проходящего аутентификацию.

       quiet
	   Не фиксировать неудачу или успех в системном журнале.

       quiet_fail
	   Не фиксировать неудачу в системном журнале.

       quiet_success
	   Не фиксировать успех в системном журнале.

       audit
	   Фиксировать неизвестных пользователей в системном журнале.

       Условия состоят из трех слов: поля, теста и значения для проверки.

       Доступные поля: user, uid, gid, shell, home, ruser, rhost, tty и
       service:

       field < number
	   Поле имеет значение, численно меньшее, чем number.

       field <= number
	   Поле имеет значение, численно меньшее или равное number.

       field eq number
	   Поле имеет значение, численно равное number.

       field >= number
	   Поле имеет значение, численно большее или равное number.

       field > number
	   Поле имеет значение, численно большее, чем number.

       field ne number
	   Поле имеет значение, численно отличное от number.

       field = string
	   Поле точно соответствует заданной строке.

       field != string
	   Поле не соответствует заданной строке.

       field =~ glob
	   Поле соответствует заданному шаблону glob.

       field !~ glob
	   Поле не соответствует заданному шаблону glob.

       field in item:item:...
	   Поле содержится в списке элементов, разделенных двоеточиями.

       field notin item:item:...
	   Поле не содержится в списке элементов, разделенных двоеточиями.

       user ingroup group[:group:....]
	   Пользователь находится в указанной(ых) группе(ах).

       user notingroup group[:group:....]
	   Пользователь не находится в указанной(ых) группе(ах).

       user innetgr netgroup
	   (user,host) находится в указанной netgroup.

       user notinnetgr group
	   (user,host) не находится в указанной netgroup.

MODULE TYPES PROVIDED
       Предоставляются все типы модулей (account, auth, password и session).

RETURN VALUES
       PAM_SUCCESS
	   Условие истинно.

       PAM_AUTH_ERR
	   Условие ложно.

       PAM_SERVICE_ERR
	   Произошла ошибка службы или аргументы не могут быть разобраны
	   правильно.

EXAMPLES
       Чтобы эмулировать поведение pam_wheel, за исключением того, что нет
       отката к группе 0, который приблизительно проверяется также через
       членство в группе root:

	   auth required pam_succeed_if.so quiet user ingroup wheel:root


       Если тип соответствует, загружает правило othermodule только в том
       случае, если UID больше 500. Измените число после default, чтобы
       пропустить несколько правил.

	   type [default=1 success=ignore] pam_succeed_if.so quiet uid > 500
	   type required othermodule.so arguments...


SEE ALSO
       glob(7), pam(8)

AUTHOR
       Nalin Dahyabhai <nalin@redhat.com>



Linux-PAM			  05/12/2025		     PAM_SUCCEED_IF(8)

PAM_PWHISTORY(8)	       Linux-PAM Manual		      PAM_PWHISTORY(8)



NAME
       pam_pwhistory - Модуль PAM для запоминания последних паролей

SYNOPSIS
       pam_pwhistory.so [debug] [use_authtok] [enforce_for_root] [remember=N]
			[retry=N] [authtok_type=STRING] [file=/path/filename]
			[conf=/path/to/config-file]

DESCRIPTION
       Этот модуль сохраняет последние пароли для каждого пользователя, чтобы
       обеспечить историю изменения паролей и предотвратить чередование
       пользователя между одними и теми же паролями слишком часто.

       Этот модуль не работает с kerberos. В общем, не имеет большого смысла
       использовать этот модуль вместе с NIS или LDAP, поскольку старые пароли
       хранятся на локальной машине и недоступны на другой машине для проверки
       истории паролей.

OPTIONS
       debug
	   Включает отладку через syslog(3).

       use_authtok
	   При изменении пароля заставляет модуль использовать новый пароль,
	   предоставленный ранее загруженным модулем пароля (это используется в
	   примере стека модуля pam_passwdqc, описанном ниже).

       enforce_for_root
	   Если эта опция установлена, проверка применяется также для root.

       remember=N
	   Сохраняются последние N паролей для каждого пользователя. Значение
	   по умолчанию — 10. Значение 0 заставляет модуль оставить существующее
	   содержимое файла opasswd без изменений.

       retry=N
	   Запрашивать у пользователя не более N раз перед возвратом ошибки.
	   Значение по умолчанию — 1.

       authtok_type=STRING
	   См. pam_get_authtok(3) для более подробной информации.

       file=/path/filename
	   Хранить историю паролей в файле /path/filename, а не в расположении
	   по умолчанию. Расположение по умолчанию — /etc/security/opasswd.

       conf=/path/to/config-file
	   Использовать другой файл конфигурации вместо файла по умолчанию
	   /etc/security/pwhistory.conf.

       Опции для настройки поведения модуля описаны в руководстве
       pwhistory.conf(5). Опции, указанные в командной строке модуля,
       переопределяют значения из файла конфигурации.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля password.

RETURN VALUES
       PAM_AUTHTOK_ERR
	   Новый пароль не был введен, пользователь прервал изменение пароля или
	   новый пароль не удалось установить.

       PAM_IGNORE
	   История паролей отключена.

       PAM_MAXTRIES
	   Пароль слишком часто отклонялся.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

EXAMPLES
       Пример раздела пароля:

	   #%PAM-1.0
	   password	required       pam_pwhistory.so
	   password	required       pam_unix.so	  use_authtok


       В сочетании с pam_passwdqc:

	   #%PAM-1.0
	   password	required       pam_passwdqc.so	  config=/etc/passwdqc.conf
	   password	required       pam_pwhistory.so	  use_authtok
	   password	required       pam_unix.so	  use_authtok



FILES
       /etc/security/opasswd
	   Файл истории паролей по умолчанию

       /etc/security/pwhistory.conf
	   Файл конфигурации для опций pam_pwhistory

SEE ALSO
       pwhistory.conf(5), pam.conf(5), pam.d(5), pam(8) pam_get_authtok(3)

AUTHOR
       pam_pwhistory был написан Thorsten Kukuk <kukuk@thkukuk.de>



Linux-PAM			  05/12/2025		      PAM_PWHISTORY(8)

GROUP.CONF(5)		       Руководство Linux-PAM			 GROUP.CONF(5)



NAME
       group.conf - файл конфигурации для модуля pam_group

DESCRIPTION
       Модуль pam_group PAM не аутентифицирует пользователя, а вместо этого
       предоставляет членства в группах (на этапе установки учетных данных
       модуля аутентификации) пользователю. Такие членства основаны на
       сервисе, для которого они запрашиваются.

       Для правильной работы этого модуля должен присутствовать правильно
       отформатированный файл /etc/security/group.conf. Пробелы игнорируются,
       и строки могут быть продолжены с помощью '\' (экранированные
       переносы строк). Текст после '#' игнорируется до конца строки.

       Синтаксис строк следующий:

       services;ttys;users;times;groups

       Первое поле, поле services, является логическим списком имен сервисов
       PAM, к которым применяется правило.

       Второе поле, поле ttys, является логическим списком имен терминалов,
       к которым применяется это правило.

       Третье поле, поле users, является логическим списком пользователей,
       или UNIX-группы, или netgroup пользователей, к которым применяется
       это правило. Имена групп предшествуют символу '%', а имена netgroup -
       символу '@'.

       Логический список подразумевает отдельные токены, которые
       опционально предшествуют '!' (логическое НЕ) и разделяются '&'
       (логическое И) и '|' (логическое ИЛИ).

       Для этих элементов простой шаблон '*' может использоваться только
       один раз. Для UNIX-групп или netgroup шаблоны или логические
       операторы не допускаются.

       Поле times используется для указания "когда" эти группы должны
       предоставляться пользователю. Формат здесь - логический список
       записей день/диапазон-времени. Дни указываются последовательностью
       двухсимвольных записей, например, MoTuSa для понедельника, вторника
       и субботы. Обратите внимание, что повторяющиеся дни сбрасываются
       (MoMo = ни одного дня), и MoWk = все будни кроме понедельника.
       Принимаемые двухсимвольные комбинации: Mo Tu We Th Fr Sa Su Wk Wd Al,
       где последние две - выходные дни и все 7 дней недели соответственно.
       В качестве финального примера, AlFr означает все дни кроме пятницы.

       Каждая запись день/диапазон-времени может предшествовать '!', чтобы
       указать "все, кроме". Часть диапазона-времени - это два времени в
       24-часовом формате HHMM, разделенные дефисом, указывающие время
       начала и окончания (если время окончания меньше времени начала, оно
       считается применимым на следующий день).

       Поле groups является списком групп, разделенных запятыми или
       пробелами, членства в которых наследует пользователь. Эти группы
       добавляются, если предыдущие поля удовлетворены запросом
       пользователя.

       Для активации правила ВСЕ из service+ttys+users должны быть
       удовлетворены применяемым процессом.

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в
       /etc/security/group.conf.

       При запуске 'xsh' на tty* (любой устройстве ttyXXX), пользователю 'us'
       предоставляется доступ к дисководу (через членство в группе floppy)

	   xsh;tty*&!ttyp*;us;Al0000-2400;floppy

       При запуске 'xsh' на tty* (любой устройстве ttyXXX), пользователям
       'sword', 'pike' и 'shield' предоставляется доступ к играм (через
       членство в группе floppy) после рабочего времени.

	   xsh; tty* ;sword|pike|shield;!Wk0900-1800;games, sound
	   xsh; tty* ;*;Al0900-1800;floppy


       Любому члену группы 'admin', запускающему 'xsh' на tty*, предоставляется
       доступ (в любое время) к группе 'plugdev'

	   xsh; tty* ;%admin;Al0000-2400;plugdev


SEE ALSO
       pam_group(8), pam.d(5), pam(8)

AUTHOR
       pam_group был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			 GROUP.CONF(5)

PAM_LIMITS(8)		       Руководство Linux-PAM			 PAM_LIMITS(8)



NAME
       pam_limits - модуль PAM для ограничения ресурсов

SYNOPSIS
       pam_limits.so [conf=/path/to/limits.conf] [debug] [set_all]
		     [utmp_early] [noaudit]

DESCRIPTION
       Модуль PAM pam_limits устанавливает ограничения на системные ресурсы,
       которые могут быть получены в сессии пользователя. Пользователи с uid=0
       также подвержены этим ограничениям.

       По умолчанию ограничения берутся из файла конфигурации /etc/security/limits.conf.
       Затем читаются индивидуальные файлы *.conf из каталога /etc/security/limits.d/.
       Файлы анализируются последовательно в порядке "C" локали. Эффект от
       индивидуальных файлов такой же, как если бы все файлы были объединены
       в один в порядке анализа. Если файл конфигурации явно указан с помощью
       опции модуля, то файлы в указанном выше каталоге не анализируются.

       Модуль не должен вызываться из многопоточного приложения.

       Если Linux PAM скомпилирован с поддержкой аудита, модуль сообщит о
       случаях отказа доступа на основе ограничения максимального количества
       одновременных сеансов входа.

OPTIONS
       conf=/path/to/limits.conf
	   Указывает альтернативный файл конфигурации в стиле limits.conf для
	   переопределения значения по умолчанию.

       debug
	   Выводить отладочную информацию.

       set_all
	   Устанавливать ограничения, для которых в файле конфигурации не
	   указано значение, на основе значений из процесса с PID 1. Обратите
	   внимание, что если процесс init — это systemd, эти ограничения не
	   будут ограничениями ядра по умолчанию, и эту опцию использовать не
	   следует.

       utmp_early
	   Некоторые проблемные приложения выделяют запись utmp для
	   пользователя до того, как пользователь будет допущен в систему. Если
	   некоторые из служб, для которых вы настраиваете PAM, делают это,
	   вы можете выборочно использовать этот аргумент модуля для
	   компенсации такого поведения и в то же время поддерживать
	   системную согласованность с единым файлом limits.conf.

       noaudit
	   Не сообщать о превышении максимального количества входов в
	   подсистему аудита.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_ABORT
	   Невозможно получить текущие ограничения.

       PAM_IGNORE
	   Ограничения для этого пользователя не найдены.

       PAM_PERM_DENIED
	   Невозможно установить новые ограничения.

       PAM_SERVICE_ERR
	   Невозможно прочитать файл конфигурации.

       PAM_SESSION_ERR
	   Ошибка при восстановлении имени учётной записи.

       PAM_SUCCESS
	   Ограничения были изменены.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

FILES
       /etc/security/limits.conf
	   Файл конфигурации по умолчанию

EXAMPLES
       Для служб, которым требуются ограничения ресурсов (например, login),
       добавьте следующую строку в /etc/pam.d/login как последнюю строку для
       этой службы (обычно после строки сессии pam_unix):

	   #%PAM-1.0
	   #
	   # Ограничения ресурсов, налагаемые на сеансы входа через pam_limits
	   #
	   session  required  pam_limits.so


       Замените "login" для каждой службы, в которой вы используете этот модуль.

SEE ALSO
       limits.conf(5), pam.d(5), pam(8).

AUTHORS
       pam_limits изначально написал Cristian Gafton <gafton@redhat.com>



Linux-PAM			  05/12/2025			 PAM_LIMITS(8)

PAM_STRESS(8)		       Руководство Linux-PAM			 PAM_STRESS(8)



NAME
       pam_stress - Модуль PAM для тестирования на стресс

SYNOPSIS
       pam_stress.so [debug] [no_warn] [use_first_pass] [try_first_pass]
		     [rootok] [expired] [fail_1] [fail_2] [prelim] [required]

DESCRIPTION
       Модуль PAM pam_stress в основном предназначен для имитации сбоев, как
       это может делать полностью функционирующий модуль.

OPTIONS
       debug
	   Выводить много информации в syslog. *ПРИМЕЧАНИЕ* эта опция записывает
	   пароли в syslog, поэтому не используйте ничего конфиденциального при тестировании.

       no_warn
	   Не выдавать предупреждения о проблемах (в противном случае предупреждения выдаются
	   через функцию разговора).

       use_first_pass
	   Не запрашивать пароль, для функции pam_sm_authentication просто использовать элемент
	   PAM_AUTHTOK.

       try_first_pass
	   Не запрашивать пароль, если ранее не было аутентификационного токена
	   (элемент PAM_AUTHTOK равен NULL).

       rootok
	   Это предназначено для функции pam_sm_chauthtok и указывает, что
	   root может изменить пароль пользователя без ввода старого пароля.

       expired
	   Аргумент, предназначенный для частей модуля account и chauthtok. Он
	   указывает модулю вести себя так, как будто пароль пользователя истек.

       fail_1
	   Это указывает модулю сделать первую функцию неудачной.

       fail_2
	   Это указывает модулю сделать вторую функцию (если она существует)
	   неудачной.

       prelim
	   Для pam_sm_chauthtok, означает неудачу на PAM_PRELIM_CHECK.

       required
	   Для pam_sm_chauthtok, означает неудачу, если пользователь не был
	   ранее аутентифицирован этим модулем. (См. строку данных stress_new_pwd в
	   ПРИМЕЧАНИЯХ.)

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_PERM_DENIED
	   Доступ запрещен.

       PAM_AUTH_ERR
	   Доступ к системе запрещен.

       PAM_CONV_ERR
	   Сбой разговора.

       PAM_SUCCESS
	   Функция проходит все проверки.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

       PAM_CRED_ERR
	   Сбой, связанный с учетными данными пользователя.

       PAM_NEW_AUTHTOK_REQD
	   Аутентификационный токен больше недействителен; требуется новый.

       PAM_SESSION_ERR
	   Сбой сессии.

       PAM_TRY_AGAIN
	   Неудачная предварительная проверка сервисом.

       PAM_AUTHTOK_LOCK_BUSY
	   Блокировка аутентификационного токена занята.

       PAM_AUTHTOK_ERR
	   Ошибка манипуляции с аутентификационным токеном.

       PAM_SYSTEM_ERR
	   Системная ошибка.

NOTES
       Этот модуль использует строку данных stress_new_pwd, которая указывает
       pam_sm_chauthtok, что pam_sm_acct_mgmt говорит о необходимости нового пароля. Единственное
       возможное значение для этой строки данных — 'yes'.

EXAMPLES
	   #%PAM-1.0
	   #
	   # Любое из следующих подойдет
	   account  required pam_stress.so
	   auth	    required pam_stress.so
	   password required pam_stress.so
	   session  required pam_stress.so


SEE ALSO
       pam.conf(5), pam.d(5), pam(8).

AUTHORS
       Модуль PAM pam_stress был разработан Andrew Morgan
       <morgan@linux.kernel.org>. Страница руководства для pam_stress была написана
       Lucas Ramage <ramage.lucas@protonmail.com>.



Linux-PAM			  05/12/2025			 PAM_STRESS(8)

PAM_NAMESPACE(8)	       Linux-PAM Manual		      PAM_NAMESPACE(8)



NAME
       pam_namespace - модуль PAM для настройки пространства имён для сессии

SYNOPSIS
       pam_namespace.so [debug] [unmnt_remnt] [unmnt_only] [require_selinux]
			[gen_hash] [ignore_config_error]
			[ignore_instance_parent_mode] [unmount_on_close]
			[use_current_context] [use_default_context]
			[mount_private]

DESCRIPTION
       Модуль PAM pam_namespace настраивает частное пространство имён для сессии
       с полиинстанцированными директориями. Полиинстанцированная директория
       предоставляет разный экземпляр самой себя на основе имени пользователя, или,
       при использовании SELinux, на основе имени пользователя, контекста безопасности
       или обоих. Если существует исполняемый скрипт /etc/security/namespace.init,
       он используется для инициализации директории экземпляра после её настройки и
       монтирования на полиинстанцированную директорию. Скрипт получает путь к
       полиинстанцированной директории, путь к директории экземпляра, флаг, указывающий,
       была ли директория экземпляра newly создана (0 для нет, 1 для да), и имя
       пользователя в качестве аргументов. Скрипт вызывается с полными привилегиями
       root и доступ к директории экземпляра в этом контексте должен выполняться
       с осторожностью, так как она контролируется непривилегированным пользователем,
       для которого она была создана.

       Модуль pam_namespace отсоединяет пространство имён сессии от родительского
       пространства имён. Любые операции монтирования/размонтирования, выполненные
       в родительском пространстве имён, такие как монтирование устройств, не
       отражаются в пространстве имён сессии. Чтобы распространить выбранные события
       монтирования/размонтирования из родительского пространства имён в отсоединённое
       пространство имён сессии, администратор может использовать специальную функцию
       shared-subtree. Для дополнительной информации о функции shared-subtree
       обратитесь к странице man mount(8) и описанию shared-subtree на
       http://lwn.net/Articles/159077 и http://lwn.net/Articles/159092.

OPTIONS
       debug
	   Выводится большое количество отладочной информации с помощью syslog

       unmnt_remnt
	   Для программ, таких как su и newrole, сессия входа уже настроила
	   полиинстанцированное пространство имён. Для этих программ
	   полиинстанцирование выполняется на основе нового идентификатора пользователя
	   или контекста безопасности, однако команда сначала должна отменить
	   полиинстанцирование, выполненное при входе. Этот аргумент instructs команду
	   сначала отменить предыдущее полиинстанцирование перед продолжением с новым
	   полиинстанцированием на основе нового идентификатора/контекста

       unmnt_only
	   Для доверенных программ, которые хотят отменить существующие bind-монтирования
	   и самостоятельно обработать директории экземпляров, этот аргумент позволяет
	   им размонтировать текущие смонтированные директории экземпляров

       require_selinux
	   Если selinux не включён, возвращается неудача

       gen_hash
	   Вместо использования строки контекста безопасности для имени экземпляра,
	   генерируется и используется его хэш md5.

       ignore_config_error
	   Если строка в файле конфигурации, соответствующая
	   полиинстанцированной директории, содержит ошибку формата, пропустить эту строку
	   и обработать следующую. Без этой опции pam вернёт ошибку вызывающей программе,
	   что приведёт к завершению сессии.

       ignore_instance_parent_mode
	   Директории родителя экземпляра по умолчанию ожидаются с restrictive режимом 000.
	   С помощью этой опции администратор может выбрать игнорирование режима
	   родителя экземпляра. Эта опция должна использоваться с осторожностью, так как
	   она снизит цели безопасности и изоляции механизма полиинстанцирования.

       unmount_on_close
	   Явно размонтировать полиинстанцированные директории вместо того, чтобы
	   полагаться на автоматическое уничтожение пространства имён после выхода
	   последнего процесса в пространстве имён. Эта опция должна использоваться только
	   в случае, если другими средствами обеспечено, что после закрытия сессии
	   не останется никаких процессов в частном пространстве имён. Она также полезна
	   только в случае, если есть несколько последовательных вызовов pam сессии из
	   одного процесса.

       use_current_context
	   Полезно для служб, которые не изменяют контекст SELinux с помощью вызова
	   setexeccon. Модуль будет использовать текущий контекст SELinux вызывающего
	   процесса для полиинстанцирования уровня и контекста.

       use_default_context
	   Полезно для служб, которые не используют pam_selinux для изменения контекста
	   SELinux с помощью вызова setexeccon. Модуль будет использовать
	   default контекст SELinux пользователя для полиинстанцирования уровня и контекста.

       mount_private
	   Эта опция может использоваться на системах, где точка монтирования / или её
	   подмонтирования сделаны shared (например, с помощью команды mount --make-rshared
	   /). Модуль пометит всё дерево директорий так, чтобы любые операции монтирования
	   и размонтирования в пространстве полиинстанцирования были private. Нормально
	   pam_namespace попытается обнаружить shared точку монтирования / и автоматически
	   сделать полиинстанцированные директории private. Эта опция должна использоваться
	   только когда только поддерево shared и / нет.

	   Обратите внимание, что монтирования и размонтирования, выполненные в private
	   пространстве имён, не повлияют на родительское пространство имён, если эта опция
	   используется или когда shared точка монтирования / autodetected.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля сессии. Модуль не должен вызываться
       из многопоточных процессов.

RETURN VALUES
       PAM_SUCCESS
	   Настройка пространства имён прошла успешно.

       PAM_SERVICE_ERR
	   Произошла неожиданная системная ошибка при настройке пространства имён.

       PAM_SESSION_ERR
	   Произошла неожиданная ошибка конфигурации пространства имён.

FILES
       /etc/security/namespace.conf
	   Основной файл конфигурации

       /etc/security/namespace.d
	   Директория для дополнительных файлов конфигурации

       /etc/security/namespace.init
	   Скрипт инициализации для директорий экземпляров

EXAMPLES
       Для <service>ов, которым требуется полиинстанцирование (например, login), добавьте
       следующую строку в /etc/pam.d/<service> как последнюю строку для группы session:

       session required pam_namespace.so [arguments]

       Чтобы использовать полиинстанцирование с графическим дисплей-менеджером gdm, обратитесь
       к документации gdm.

SEE ALSO
       namespace.conf(5), pam.d(5), mount(8), pam(8).

AUTHORS
       Схема настройки пространства имён была разработана Stephen Smalley, Janak Desai
       и Chad Sellers. Модуль PAM pam_namespace был разработан Janak Desai <janak@us.ibm.com>,
       Chad Sellers <csellers@tresys.com> и Steve Grubb <sgrubb@redhat.com>. Дополнительные
       улучшения от Xavier Toth <txtoth@gmail.com> и Tomas Mraz <tmraz@redhat.com>.



Linux-PAM			  05/12/2025		      PAM_NAMESPACE(8)

PAM_ACCESS(8)		       Linux-PAM Manual			 PAM_ACCESS(8)



NAME
       pam_access - модуль PAM для контроля доступа в стиле logdaemon

SYNOPSIS
       pam_access.so [debug] [nodefgroup] [noaudit] [quiet_log]
		     [accessfile=file] [fieldsep=sep] [listsep=sep]

DESCRIPTION
       Модуль PAM pam_access в основном предназначен для управления доступом. Он предоставляет контроль доступа при входе в стиле logdaemon на основе имен входа, имен хостов или доменов, интернет-адресов или номеров сетей, или на основе имен терминалов, значений X $DISPLAY, или имен служб PAM в случае входов не по сети.

       По умолчанию правила для управления доступом берутся из конфигурационного файла /etc/security/access.conf, если вы не укажете другой файл. Затем читаются индивидуальные файлы *.conf из директории /etc/security/access.d/. Файлы разбираются один за другим в порядке системной локали. Эффект от индивидуальных файлов такой же, как если бы все файлы были объединены вместе в порядке разбора. Это означает, что как только шаблон совпадает в каком-то файле, дальнейшие файлы не разбираются. Если конфигурационный файл явно указан с опцией accessfile, файлы в вышеупомянутой директории не разбираются.

       Если Linux PAM скомпилирован с поддержкой аудита, модуль будет сообщать о случаях отказа доступа на основе источника (хост, терминал и т.д.).

OPTIONS
       accessfile=/path/to/access.conf
	   Указывает альтернативный конфигурационный файл в стиле access.conf для переопределения значения по умолчанию. Это может быть полезно, когда разные службы нуждаются в разных списках доступа.

       debug
	   Выводится большое количество отладочной информации с помощью syslog(3).

       noaudit
	   Не сообщать о входах с запрещенных хостов и терминалов в подсистему аудита.

       quiet_log
	   Не фиксировать отказы в syslog(3).

       fieldsep=separators
	   Эта опция изменяет символ разделителя полей, который pam_access будет распознавать при разборе конфигурационного файла доступа. Например: fieldsep=| заставит по умолчанию символ `:' рассматриваться как часть значения поля, а `|' станет разделителем полей. Это может быть полезно в сочетании с системой, которая использует pam_access с приложениями на базе X, поскольку элемент PAM_TTY может иметь форму "hostname:0", которая включает символ `:'. Однако в этом обычно нет необходимости.

       listsep=separators
	   Эта опция изменяет символ разделителя списков, который pam_access будет распознавать при разборе конфигурационного файла доступа. Например: listsep=, заставит по умолчанию символы ` ' (пробел) и `\t' (табуляция) рассматриваться как часть значения элемента списка, а `,' станет единственным разделителем элементов списка. Это может быть полезно на системе, где информация о группах получается из домена Windows, где встроенные группы по умолчанию, такие как "Domain Users", "Domain Admins", содержат пробелы.

       nodefgroup
	   Токены пользователей, не заключенные в скобки, не будут сопоставляться с базой данных групп. По умолчанию для обратной совместимости выполняется попытка сопоставления с базой данных групп даже для токенов, не заключенных в скобки.

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_SUCCESS
	   Доступ предоставлен.

       PAM_PERM_DENIED
	   Доступ не предоставлен.

       PAM_IGNORE
	   Вызвана pam_setcred, которая ничего не делает.

       PAM_ABORT
	   Не удалось получить все релевантные данные или опции.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

FILES
       /etc/security/access.conf
	   Конфигурационный файл по умолчанию

SEE ALSO
       access.conf(5), pam.d(5), pam(8).

AUTHORS
       Схема контроля доступа при входе в стиле logdaemon была спроектирована и реализована Wietse Venema. Модуль PAM pam_access был разработан Alexei Nogin <alexei@nogin.dnttm.ru>. Поддержка IPv6 и функция сети(адрес)/маски сети были разработаны и предоставлены Mike Becher <mike.becher@lrz-muenchen.de>.



Linux-PAM			  05/12/2025			 PAM_ACCESS(8)

PAM_NAMESPACE_HELPER(8)	       Руководство Linux-PAM	       PAM_NAMESPACE_HELPER(8)



NAME
       pam_namespace_helper - Вспомогательная программа, создающая домашние директории

SYNOPSIS
       pam_namespace_helper

DESCRIPTION
       pam_namespace_helper — это вспомогательная программа для модуля pam_namespace,
       которая настраивает частное пространство имён для сеанса с полиинстанцируемыми
       директориями. Программа обеспечивает существование точек монтирования пространства
       имён перед их использованием для полиинстанцируемых директорий. Точки монтирования
       для домашних директорий (строки с $HOME) не создаются.

       pam_namespace_helper должна запускаться systemd при запуске системы. Её также
       следует запускать администратором после определения полиинстанцируемых директорий,
       но до их активации.

SEE ALSO
       pam_namespace(8)

AUTHOR
       Написано Topi Miettinen.



Linux-PAM			  05/12/2025	       PAM_NAMESPACE_HELPER(8)

PAM_WHEEL(8)		       Руководство Linux-PAM			  PAM_WHEEL(8)



NAME
       pam_wheel - Разрешать доступ root только членам группы wheel

SYNOPSIS
       pam_wheel.so [debug] [deny] [group=name] [root_only] [trust] [use_uid]

DESCRIPTION
       Модуль PAM pam_wheel используется для принудительного использования так называемой группы wheel.
       По умолчанию он разрешает доступ целевому пользователю, если заявитель является членом группы wheel.
       Если группы с таким именем не существует, модуль использует группу с group-ID 0.

OPTIONS
       debug
	   Выводить отладочную информацию.

       deny
	   Изменить смысл операции аутентификации: если пользователь пытается получить доступ с UID 0 и является
	   членом группы wheel (или группы, указанной в опции group), запретить доступ. В противном случае, если
	   пользователь не в группе, вернуть PAM_IGNORE (если не указана опция trust, в которой случае вернуть
	   PAM_SUCCESS).

       group=name
	   Вместо проверки групп wheel или GID 0 использовать группу name для аутентификации.

       root_only
	   Проверка членства в группе wheel выполняется только если UID целевого пользователя равен 0.

       trust
	   Модуль pam_wheel вернёт PAM_SUCCESS вместо PAM_IGNORE, если пользователь является членом группы wheel
	   (с небольшим использованием модулей члены группы wheel могут получить доступ к root без запроса пароля).

       use_uid
	   Проверка будет выполняться по реальному UID вызывающего процесса, вместо попытки получить пользователя
	   из сеанса входа, связанного с используемым терминалом.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и account.

RETURN VALUES
       PAM_AUTH_ERR
	   Сбой аутентификации.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Значение возврата должно быть проигнорировано диспетчером PAM.

       PAM_PERM_DENY
	   Доступ запрещён.

       PAM_SERVICE_ERR
	   Не удалось определить имя пользователя.

       PAM_SUCCESS
	   Успех.

       PAM_USER_UNKNOWN
	   Пользователь не известен.

EXAMPLES
       Учётная запись root получает доступ по умолчанию (rootok), только члены группы wheel могут стать root
       (wheel), но Unix аутентифицирует не-root заявителей.

	   su	   auth	    sufficient	   pam_rootok.so
	   su	   auth	    required	   pam_wheel.so
	   su	   auth	    required	   pam_unix.so



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_wheel был написан Cristian Gafton <gafton@redhat.com>.



Linux-PAM			  05/12/2025			  PAM_WHEEL(8)

PWHISTORY.CONF(5)	       Руководство Linux-PAM		     PWHISTORY.CONF(5)



NAME
       pwhistory.conf - файл конфигурации pam_pwhistory

DESCRIPTION
       pwhistory.conf предоставляет способ настроить настройки по умолчанию
       для сохранения последних паролей для каждого пользователя. Этот файл читается
       модулем pam_pwhistory и является предпочтительным методом по сравнению
       с прямой настройкой pam_pwhistory.

       Файл имеет простой формат имя = значение с возможными комментариями,
       начинающимися с символа #. Пробелы в начале строки, в конце строки
       и вокруг знака = игнорируются.

OPTIONS
       debug
	   Включает отладку через syslog(3).

       enforce_for_root
	   Если эта опция установлена, проверка применяется и для root.

       remember=N
	   Сохраняются последние N паролей для каждого пользователя. Значение по умолчанию — 10.
	   Значение 0 заставляет модуль оставить существующий контент файла
	   opasswd без изменений.

       retry=N
	   Запрашивать у пользователя не более N раз перед возвратом ошибки. Значение
	   по умолчанию — 1.

       file=/path/filename
	   Хранить историю паролей в файле /path/filename, а не в
	   расположении по умолчанию. Расположение по умолчанию — /etc/security/opasswd.

EXAMPLES
       Пример файла /etc/security/pwhistory.conf:

	   debug
	   remember=5
	   file=/tmp/opasswd


FILES
       /etc/security/pwhistory.conf
	   файл конфигурации для пользовательских опций

SEE ALSO
       pwhistory(8), pam_pwhistory(8), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_pwhistory был написан Thorsten Kukuk. Поддержка для
       pwhistory.conf была написана Iker Pedrosa.



Linux-PAM			  05/12/2025		     PWHISTORY.CONF(5)

PAM_ROOTOK(8)		       Linux-PAM Manual			 PAM_ROOTOK(8)



NAME
       pam_rootok - Получение доступа только для root

SYNOPSIS
       pam_rootok.so [debug]

DESCRIPTION
       pam_rootok — это модуль PAM, который аутентифицирует пользователя, если его UID равен 0. Приложения, созданные с setuid-root, обычно сохраняют UID пользователя, но запускаются с полномочиями повышенного эффективного UID. Проверяется реальный UID.

OPTIONS
       debug
	   Выводить отладочную информацию.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth, account и password.

RETURN VALUES
       PAM_SUCCESS
	   UID равен 0.

       PAM_AUTH_ERR
	   UID не равен 0.

EXAMPLES
       В случае приложения su(1) историческое использование предполагает, что суперпользователь может принять идентичность пользователя с меньшими правами без использования пароля. Чтобы добиться такого поведения с помощью PAM, в соответствующей записи файла конфигурации /etc/pam.d/su нужны следующие строки:

	   # Аутентификация для su. Root получает доступ по умолчанию.
	   auth	 sufficient   pam_rootok.so
	   auth	 required     pam_unix.so



SEE ALSO
       su(1), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_rootok был написан Эндрю Г. Морганом, <morgan@kernel.org>.



Linux-PAM			  05/12/2025			 PAM_ROOTOK(8)

PAM_КАНОНИЗИРОВАТЬ_ПОЛЬЗОВАТЕЛЯ(8)       Руководство Linux-PAM       PAM_КАНОНИЗИРОВАТЬ_ПОЛЬЗОВАТЕЛЯ(8)



НАЗВАНИЕ
       pam_canonicalize_user - Получить имя пользователя и канонизировать его

СИНОПСИС
       pam_canonicalize_user.so

ОПИСАНИЕ
       Этот модуль PAM использует имя пользователя, полученное через pam_get_user(3),
       в качестве ключа для запроса базы данных паролей, и заменяет PAM_USER на значение
       pw_name, которое было возвращено.

ОПЦИИ
       Этот модуль не распознает никаких опций.

ТИПЫ МОДУЛЕЙ
       Предоставляется только тип модуля auth.

ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
       PAM_IGNORE
	   Имя пользователя было успешно установлено.

       PAM_USER_UNKNOWN
	   Пользователь не найден.

       PAM_SYSTEM_ERR
	   Приложение не предоставило ни имя пользователя, ни метод разговора.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, ожидает события.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя пользователя.

       PAM_ABORT
	   Ошибка возобновления предыдущего разговора.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

ПРИМЕРЫ
       Добавьте следующую строку в начало стека PAM auth, чтобы канонизировать
       имя пользователя перед аутентификацией:

		   auth required pam_canonicalize_user.so



СМОТРИТЕ ТАКЖЕ
       pam_get_user(3), pam_get_item(3), pam_set_item(3), getpwnam(3),
       pam.conf(5), pam.d(5), pam(8)

АВТОР
       pam_canonicalize_user был написан Dmitry V. Levin <ldv@strace.io>.



Linux-PAM			  05/12/2025       PAM_КАНОНИЗИРОВАТЬ_ПОЛЬЗОВАТЕЛЯ(8)

PAM_ENV(8)		       Руководство Linux-PAM			    PAM_ENV(8)



НАЗВАНИЕ
       pam_env - модуль PAM для установки/удаления переменных окружения

СИНОПСИС
       pam_env.so [debug] [conffile=conf-file] [envfile=env-file]
		  [readenv=0|1] [user_envfile=env-file] [user_readenv=0|1]

ОПИСАНИЕ
       Модуль PAM pam_env позволяет устанавливать и удалять переменные окружения.
       Поддерживается использование ранее установленных переменных окружения, а также
       элементов PAM, таких как PAM_RHOST.

       По умолчанию правила для установки/удаления переменных берутся из конфигурационного
       файла /etc/security/pam_env.conf. Альтернативный файл можно указать
       с помощью опции conffile.

       Во-вторых, читается файл (/etc/environment по умолчанию) с простыми парами KEY=VAL
       на отдельных строках. С помощью опции envfile можно указать альтернативный
       файл, а с помощью опции readenv это можно полностью отключить.

       В-третьих, будет прочитан файл конфигурации пользователя ($HOME/.pam_environment по
       умолчанию). Файл по умолчанию можно изменить с помощью опции user_envfile, а также
       включить или отключить с помощью опции user_readenv.

       Поскольку установка переменных окружения PAM может иметь побочные эффекты для
       других модулей, этот модуль должен быть последним в стеке.

       Этот модуль выполняется только если основное приложение вызывает
       pam_setcred(3) или pam_open_session(3). Модуль ничего не делает и
       возвращает PAM_IGNORE, если вызван pam_authenticate(3).

ОПЦИИ
       conffile=/path/to/pam_env.conf
	   Указывает альтернативный файл конфигурации в стиле pam_env.conf для
	   переопределения значения по умолчанию. Это может быть полезно, когда разные
	   сервисы требуют разных окружений.

       debug
	   Выводится большое количество отладочной информации с помощью syslog(3).

       envfile=/path/to/environment
	   Указывает альтернативный файл окружения для переопределения значения по умолчанию.
	   Синтаксис — простые пары KEY=VAL на отдельных строках. Инструкция export
	   может быть указана для совместимости с bash, но будет игнорироваться. Это может
	   быть полезно, когда разные сервисы требуют разных окружений.

       readenv=0|1
	   Включает или отключает чтение файла, указанного в envfile (0 — выключено,
	   1 — включено). По умолчанию эта опция включена.

       user_envfile=filename
	   Указывает альтернативный файл .pam_environment для переопределения значения по
	   умолчанию. Синтаксис такой же, как для /etc/security/pam_env.conf.
	   Имя файла относительно домашнего каталога пользователя. Это может быть
	   полезно, когда разные сервисы требуют разных окружений.

       user_readenv=0|1
	   Включает или отключает чтение файла окружения, специфичного для пользователя.
	   0 — выключено, 1 — включено. По умолчанию эта опция выключена, так как
	   переменные окружения, предоставленные пользователем, в окружении PAM могут
	   повлиять на поведение последующих модулей в стеке без согласия
	   системного администратора.

	   Из-за проблем с безопасностью эта функциональность устарела начиная с
	   версии 1.5.0 и будет полностью удалена в будущем.

ТИПЫ МОДУЛЕЙ, ОБЕСПЕЧИВАЕМЫЕ
       Предоставляются типы модулей auth и session.

ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
       PAM_ABORT
	   Не удалось получить все релевантные данные или опции.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Не найден pam_env.conf и файл окружения, или модуль был вызван
	   pam_authenticate(3).

       PAM_SUCCESS
	   Переменные окружения были установлены.

ФАЙЛЫ
       /etc/security/pam_env.conf
	   Файл конфигурации по умолчанию

       /etc/environment
	   Файл окружения по умолчанию

       $HOME/.pam_environment
	   Файл окружения, специфичный для пользователя

СМОТРИТЕ ТАКЖЕ
       pam_env.conf(5), pam.d(5), pam(8), environ(7).

АВТОР
       pam_env был написан Dave Kinchlea <kinch@kinch.ark.com>.



Linux-PAM			  05/12/2025			    PAM_ENV(8)

PAM_TIMESTAMP(8)	       Linux-PAM Manual		      PAM_TIMESTAMP(8)



NAME
       pam_timestamp - Аутентификация с использованием кэшированных успешных попыток аутентификации

SYNOPSIS
       pam_timestamp.so [timestampdir=directory] [timestamp_timeout=number]
			[verbose] [debug]

DESCRIPTION
       Вкратце, pam_timestamp кэширует успешные попытки аутентификации и позволяет использовать недавнюю успешную попытку в качестве основы для аутентификации. Это похоже на механизм, используемый в sudo.

       Когда приложение открывает сессию с помощью pam_timestamp, файл временной метки создаётся в каталоге timestampdir для пользователя. Когда приложение пытается аутентифицировать пользователя, pam_timestamp рассматривает достаточно свежий файл временной метки как основание для успеха.

OPTIONS
       timestampdir=directory
	   Укажите альтернативный каталог, где pam_timestamp создаёт файлы временных меток.

       timestamp_timeout=number
	   Сколько времени pam_timestamp должен считать временную метку действительной после её последней даты изменения (в секундах). Значение по умолчанию — 300 секунд.

       verbose
	   Попытайтесь уведомить пользователя, когда доступ предоставлен.

       debug
	   Включить отладочные сообщения, отправляемые в syslog(3).

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и session.

RETURN VALUES
       PAM_AUTH_ERR
	   Модулю не удалось получить имя пользователя или не найден действительный файл временной метки.

       PAM_SUCCESS
	   Всё прошло успешно.

       PAM_SESSION_ERR
	   Файл временной метки не удалось создать или обновить.

NOTES
       Пользователи могут запутаться, когда их не всегда спрашивают пароль при запуске определённой программы. Некоторые пользователи рефлекторно начинают вводить информацию, не заметив, что она не запрашивалась.

EXAMPLES
	   auth sufficient pam_timestamp.so verbose
	   auth required   pam_unix.so

	   session required pam_unix.so
	   session optional pam_timestamp.so


FILES
       /var/run/pam_timestamp/...
	   файлы и каталоги временных меток

SEE ALSO
       pam_timestamp_check(8), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_timestamp был написан Nalin Dahyabhai.



Linux-PAM			  05/12/2025		      PAM_TIMESTAMP(8)

PAM_USERTYPE(8)		       Руководство Linux-PAM		       PAM_USERTYPE(8)



NAME
       pam_usertype - проверить, является ли аутентифицированный пользователь системным или обычным аккаунтом

SYNOPSIS
       pam_usertype.so [flag...] {condition}

DESCRIPTION
       pam_usertype.so предназначен для успешного или неудачного завершения аутентификации на основе типа аккаунта аутентифицированного пользователя. Тип аккаунта определяется с помощью настроек SYS_UID_MAX в /etc/login.defs. Один из вариантов использования — выбор загрузки других модулей на основе этого теста.

       Модулю следует передавать только одно условие в качестве аргумента модуля.
       Аутентификация завершится успешно только в том случае, если условие выполнено.

OPTIONS
       Поддерживаются следующие флаги:

       use_uid
	   Оценивать условия с использованием аккаунта пользователя, под UID которого запущено приложение, вместо аутентифицируемого пользователя.

       audit
	   Записывать неизвестных пользователей в системный лог.

       Доступные условия:

       issystem
	   Успешно завершить, если пользователь является системным.

       isregular
	   Успешно завершить, если пользователь является обычным.

MODULE TYPES PROVIDED
       Предоставляются все типы модулей (account, auth, password и session).

RETURN VALUES
       PAM_SUCCESS
	   Условие истинно.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул PAM_CONV_AGAIN.

       PAM_AUTH_ERR
	   Условие ложно.

       PAM_SERVICE_ERR
	   Произошла ошибка сервиса или аргументы не могут быть разобраны корректно.

       PAM_USER_UNKNOWN
	   Пользователь не найден.

EXAMPLES
       Пропустить оставшиеся модули, если пользователь является системным:

	   account sufficient pam_usertype.so issystem


SEE ALSO
       login.defs(5), pam(8)

AUTHOR
       Pavel Březina <pbrezina@redhat.com>



Linux-PAM			  05/12/2025		       PAM_USERTYPE(8)

PAM_EXEC(8)		       Linux-PAM Manual			   PAM_EXEC(8)



NAME
       pam_exec - Модуль PAM, вызывающий внешнюю команду

SYNOPSIS
       pam_exec.so [debug] [expose_authtok] [seteuid] [quiet] [quiet_log]
		   [stdout] [log=file] [type=type] command [...]

DESCRIPTION
       pam_exec — это модуль PAM, который может использоваться для запуска внешней команды.

       Среда дочернего процесса устанавливается на основе текущего списка переменных среды PAM, возвращаемого функцией pam_getenvlist(3). Кроме того, следующие элементы PAM экспортируются как переменные среды: PAM_RHOST, PAM_RUSER, PAM_SERVICE, PAM_TTY, PAM_USER и PAM_TYPE, которые содержат один из типов модуля: account, auth, password, open_session и close_session.

       Команды, вызываемые pam_exec, должны учитывать, что пользователь может контролировать среду.

OPTIONS
       debug
	   Выводить информацию для отладки.

       expose_authtok
	   Во время аутентификации и изменения пароля вызываемая команда может читать пароль из stdin(3). Команде предоставляется только первые PAM_MAX_RESP_SIZE байт пароля.

       log=file
	   Вывод команды добавляется в файл.

       type=type
	   Выполнять команду только в том случае, если тип модуля соответствует указанному типу.

       stdout
	   По умолчанию вывод выполненной команды направляется в /dev/null. С этой опцией стандартный вывод выполненной команды перенаправляется в вызывающее приложение. Отвественность за обработку вывода лежит на этом приложении. Опция log игнорируется.

       quiet
	   По умолчанию pam_exec.so выводит статус завершения внешней команды, если она завершилась неудачно. Указание этой опции подавляет сообщение.

       quiet_log
	   По умолчанию pam_exec.so логирует статус завершения внешней команды, если она завершилась неудачно. Указание этой опции подавляет сообщение в логе.

       seteuid
	   По умолчанию pam_exec.so выполняет внешнюю команду с реальным идентификатором пользователя вызывающего процесса. Указание этой опции означает, что команда выполняется с эффективным идентификатором пользователя.

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_SUCCESS
	   Внешняя команда была выполнена успешно.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул PAM_CONV_AGAIN.

       PAM_SERVICE_ERR
	   Не указан аргумент или указано неверное количество аргументов.

       PAM_SYSTEM_ERR
	   Произошла системная ошибка или команда для выполнения завершилась неудачно.

       PAM_IGNORE
	   Была вызвана pam_setcred, которая не выполняет команду. Или значение, указанное для параметра type=, не соответствует типу модуля.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/passwd для перестроения базы данных NIS после каждого локального изменения пароля:

		   password optional pam_exec.so seteuid /usr/bin/make -C /var/yp


       Это выполнит команду

	   make -C /var/yp

       с эффективным идентификатором пользователя.

SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_exec был написан Thorsten Kukuk <kukuk@thkukuk.de> и Josh Triplett <josh@joshtriplett.org>.



Linux-PAM			  05/12/2025			   PAM_EXEC(8)

PAM_WARN(8)		       Руководство Linux-PAM			   PAM_WARN(8)



NAME
       pam_warn - Модуль PAM, который логирует все элементы PAM, если он вызван

SYNOPSIS
       pam_warn.so

DESCRIPTION
       pam_warn — это модуль PAM, который логирует службу, терминал, пользователя,
       удаленного пользователя и удаленный хост в syslog(3). Элементы не
       исследуются, а вместо этого получаются из стандартных элементов PAM. Модуль
       всегда возвращает PAM_IGNORE, указывая, что он не хочет влиять на процесс
       аутентификации.

OPTIONS
       Этот модуль не распознает никаких опций.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth, account, password и session.

RETURN VALUES
       PAM_IGNORE
	   Этот модуль всегда возвращает PAM_IGNORE.

EXAMPLES
	   #%PAM-1.0
	   #
	   # Если у нас нет записей конфигурации для службы, то
	   # используются записи OTHER. Для обеспечения безопасности, предупреждать и запрещать
	   # доступ ко всему.
	   other auth	  required	 pam_warn.so
	   other auth	  required	 pam_deny.so
	   other account  required	 pam_warn.so
	   other account  required	 pam_deny.so
	   other password required	 pam_warn.so
	   other password required	 pam_deny.so
	   other session  required	 pam_warn.so
	   other session  required	 pam_deny.so


SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_warn был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			   PAM_WARN(8)

PAM_GROUP(8)		       Linux-PAM Manual			  PAM_GROUP(8)

NAME
       pam_group - Модуль PAM для доступа по группам

SYNOPSIS
       pam_group.so

DESCRIPTION
       Модуль PAM pam_group не аутентифицирует пользователя, а вместо этого
       предоставляет членства в группах (на этапе установки учетных данных
       модуля аутентификации) пользователю. Такие членства основаны на
       службе, для которой пользователь подает заявку.

       По умолчанию правила для членств в группах берутся из файла
       конфигурации /etc/security/group.conf.

       Полезность этого модуля зависит от файловых систем, доступных
       пользователю. Суть в том, что после предоставления членства в группе
       пользователь может попытаться создать бинарный файл с установкой
       setgid и ограниченным владением группы. Позже, когда пользователю не
       будет предоставлено членство в этой группе, он может восстановить
       членство в группе с помощью предварительно скомпилированного
       бинарного файла. Причина, по которой файловые системы, к которым
       у пользователя есть доступ, так важны, заключается в том, что если
       система смонтирована с опцией nosuid, пользователь не сможет создать
       или выполнить такой бинарный файл. Для обеспечения какого-либо уровня
       безопасности с помощью этого модуля все файловые системы, к которым
       у пользователя есть права на запись, должны быть смонтированы с
       опцией nosuid.

       Модуль pam_group работает параллельно с файлом /etc/group. Если
       пользователю предоставлены какие-либо группы на основе поведения
       этого модуля, они добавляются к записям в /etc/group (или
       эквивалентном).

OPTIONS
       Этот модуль не распознает никаких опций.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_SUCCESS
	   Членство в группе было предоставлено.

       PAM_ABORT
	   Не удалось получить все необходимые данные.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CRED_ERR
	   Членство в группе не было предоставлено.

       PAM_IGNORE
	   Была вызвана pam_sm_authenticate, которая ничего не делает.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

FILES
       /etc/security/group.conf
	   Файл конфигурации по умолчанию

SEE ALSO
       group.conf(5), pam.d(5), pam(8).

AUTHORS
       pam_group был написан Andrew G. Morgan <morgan@kernel.org>.

Linux-PAM			  05/12/2025			  PAM_GROUP(8)

PAM_FTP(8)		       Руководство Linux-PAM			    PAM_FTP(8)



NAME
       pam_ftp - модуль PAM для анонимного доступа

SYNOPSIS
       pam_ftp.so [debug] [ignore] [users=XXX,YYY,...]

DESCRIPTION
       pam_ftp — это модуль PAM, который предоставляет подключаемый режим
       анонимного доступа по FTP.

       Этот модуль перехватывает имя пользователя и пароль. Если имя является ftp
       или anonymous, пароль пользователя разбивается на части по разделителю @ на
       PAM_RUSER и PAM_RHOST; эти элементы PAM устанавливаются соответственно.
       Имя пользователя (PAM_USER) устанавливается как ftp. В этом случае
       модуль завершается успешно. В противном случае модуль устанавливает элемент
       PAM_AUTHTOK с введенным паролем и завершается с ошибкой.

       Этот модуль небезопасен и легко подвержен подделке.

OPTIONS
       debug
	   Печатать отладочную информацию.

       ignore
	   Игнорировать адрес электронной почты пользователя (если он указан).

       users=XXX,YYY,...
	   Вместо ftp или anonymous предоставлять анонимный вход для списка
	   пользователей, разделенных запятыми: XXX,YYY,.... Если пользователь
	   вводит одно из этих имен, возвращаемое имя пользователя устанавливается
	   как первое в списке: XXX.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_SUCCESS
	   Аутентификация прошла успешно.

       PAM_USER_UNKNOWN
	   Пользователь не известен.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/ftpd для обработки анонимного
       входа в стиле FTP:

	   #
	   # ftpd; добавьте специфические для FTP настройки. Эти строки
	   #       позволяют анонимный FTP поверх стандартного доступа UN*X
	   #       (запись listfile блокирует доступ для пользователей,
	   #       перечисленных в /etc/ftpusers)
	   #
	   auth	   sufficient  pam_ftp.so
	   auth	   required    pam_unix.so use_first_pass
	   auth	   required    pam_listfile.so \
		      onerr=succeed item=user sense=deny file=/etc/ftpusers



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_ftp был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			    PAM_FTP(8)

FAILLOCK.CONF(5)	       Linux-PAM Manual		      FAILLOCK.CONF(5)



NAME
       faillock.conf - файл конфигурации pam_faillock

DESCRIPTION
       faillock.conf предоставляет способ настройки параметров по умолчанию
       для блокировки пользователя после нескольких неудачных попыток
       аутентификации. Этот файл читается модулем pam_faillock и является
       предпочтительным методом по сравнению с прямой настройкой
       pam_faillock.

       Файл имеет очень простой формат имя = значение с возможными комментариями,
       начинающимися с символа #. Пробелы в начале строки, в конце строки и
       вокруг знака = игнорируются.

OPTIONS
       dir=/path/to/tally-directory
	   Каталог, где хранятся файлы пользователей с записями о неудачах.
	   Значение по умолчанию — /var/run/faillock.

	   Примечание: Эти файлы исчезнут после перезагрузки системы, если
	   каталог /var/run/faillock смонтирован на виртуальной памяти.

       audit
	   Зафиксирует имя пользователя в системном журнале, если пользователь
	   не найден.

       silent
	   Не выводить информационные сообщения пользователю. Обратите внимание,
	   что при отсутствии этой опции будет разница в поведении аутентификации
	   для существующих пользователей и несуществующих пользователей.

       no_log_info
	   Не логировать информационные сообщения через syslog(3).

       local_users_only
	   Отслеживать только неудачные попытки аутентификации локальных
	   пользователей из /etc/passwd и игнорировать централизованных
	   (AD, IdM, LDAP и т.д.) пользователей. Команда faillock(8) также
	   перестанет отслеживать неудачные попытки аутентификации пользователей.
	   Включение этой опции предотвратит сценарий двойной блокировки, когда
	   пользователь блокируется локально и в централизованном механизме.

       nodelay
	   Не вводить задержку после неудачных попыток аутентификации.

       deny=n
	   Запретить доступ, если количество последовательных неудачных попыток
	   аутентификации для этого пользователя в недавнем интервале превысит n.
	   Значение по умолчанию — 3.

       fail_interval=n
	   Длина интервала, в течение которого должны произойти последовательные
	   неудачные попытки аутентификации для блокировки учётной записи
	   пользователя, составляет n секунд. Значение по умолчанию — 900 (15 минут).

       unlock_time=n
	   Доступ будет восстановлен через n секунд после блокировки.
	   Значение 0 имеет то же значение, что и "никогда" — доступ не будет
	   восстановлен без сброса записей faillock командой faillock(8).
	   Значение по умолчанию — 600 (10 минут).

	   Обратите внимание, что каталог по умолчанию, используемый pam_faillock,
	   обычно очищается при запуске системы, поэтому доступ также будет
	   восстановлен после перезагрузки системы. Если это нежелательно,
	   необходимо задать другой каталог подсчёта с помощью опции dir.

	   Также отметим, что обычно нежелательно постоянно блокировать
	   пользователей, так как они могут стать лёгкой целью атаки отказа
	   в обслуживании, если имена пользователей не случайные и не скрыты
	   от потенциальных злоумышленников.

       even_deny_root
	   Учётная запись root также может быть заблокирована, как и обычные
	   учётные записи.

       root_unlock_time=n
	   Эта опция подразумевает even_deny_root. Разрешить доступ к учётной
	   записи root через n секунд после блокировки. Если опция не указана,
	   значение будет таким же, как у опции unlock_time.

       admin_group=name
	   Если указано имя группы с этой опцией, члены группы будут обрабатываться
	   этим модулем так же, как учётная запись root (на них будут применяться
	   опции even_deny_root и root_unlock_time). По умолчанию опция не задана.

EXAMPLES
       Пример файла /etc/security/faillock.conf:

	   deny=4
	   unlock_time=1200
	   silent


FILES
       /etc/security/faillock.conf
	   файл конфигурации для пользовательских опций

SEE ALSO
       faillock(8), pam_faillock(8), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_faillock был написан Tomas Mraz. Поддержка faillock.conf
       была написана Brian Ward.



Linux-PAM			  05/12/2025		      FAILLOCK.CONF(5)

PAM_TIMESTAMP_CHECK(8)	       Linux-PAM Manual		PAM_TIMESTAMP_CHECK(8)



NAME
       pam_timestamp_check - Проверить, действителен ли дефолтный временный штамп

SYNOPSIS
       pam_timestamp_check [-k] [-d] [target_user]

DESCRIPTION
       Без аргументов pam_timestamp_check проверит, действителен ли дефолтный
       временный штамп, или опционально удалит его.

OPTIONS
       -k
	   Вместо проверки действительности временного штампа, удалить его. Это
	   аналогично опции -k sudo.

       -d
	   Вместо возврата действительности через код выхода, зациклиться
	   неопределённо, регулярно опрашивая и выводя статус на стандартный
	   вывод.

       target_user
	   По умолчанию pam_timestamp_check проверяет или удаляет временные
	   штампы, созданные pam_timestamp, когда пользователи аутентифицируются
	   как сами себя. Когда пользователь аутентифицируется как другой
	   пользователь, имя файла временного штампа изменяется соответственно.
	   target_user позволяет указать это имя пользователя.

RETURN VALUES
       0
	   Временный штамп действителен.

       2
	   Бинарный файл не имеет setuid root.

       3
	   Недопустимый вызов.

       4
	   Пользователь неизвестен.

       5
	   Ошибка разрешений.

       6
	   Недопустимый контролирующий tty.

       7
	   Временный штамп недействителен.

NOTES
       Пользователи могут запутаться, когда не всегда запрашиваются пароли
       при запуске определённой программы. Некоторые пользователи рефлекторно
       начинают вводить информацию, не заметив, что она не запрашивается.

EXAMPLES
	   auth sufficient pam_timestamp.so verbose
	   auth required   pam_unix.so

	   session required pam_unix.so
	   session optional pam_timestamp.so


FILES
       /var/run/sudo/...
	   файлы и директории временных штампов

SEE ALSO
       pam_timestamp_check(8), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_timestamp был написан Nalin Dahyabhai.



Linux-PAM			  05/12/2025		PAM_TIMESTAMP_CHECK(8)

PAM_LISTFILE(8)		       Руководство Linux-PAM		       PAM_LISTFILE(8)



NAME
       pam_listfile - запретить или разрешить сервисы на основе произвольного файла

SYNOPSIS
       pam_listfile.so item=[tty|user|rhost|ruser|group|shell]
		       sense=[allow|deny] file=/path/filename
		       onerr=[succeed|fail] [apply=[user|@group]] [quiet]

DESCRIPTION
       pam_listfile — это модуль PAM, который предоставляет способ запретить или разрешить
       сервисы на основе произвольного файла.

       Модуль получает элемент указанного типа — user указывает имя пользователя,
       PAM_USER; tty указывает имя терминала (если таковой имеется), над которым был
       сделан запрос, PAM_TTY; rhost указывает имя удалённого хоста (если таковой имеется),
       откуда был сделан запрос, PAM_RHOST; и ruser указывает имя удалённого пользователя
       (если доступно), который сделал запрос, PAM_RUSER — и ищет экземпляр этого элемента
       в файле file=filename. Файл filename содержит одну строку на элемент. Если элемент
       найден, то если sense=allow, возвращается PAM_SUCCESS, что приводит к успешной
       авторизации; в противном случае, если sense=deny, возвращается PAM_AUTH_ERR, что
       приводит к неудачной авторизации.

       Если возникает ошибка (например, если файл filename не существует или встречается
       неправильно построенный аргумент), то если onerr=succeed, возвращается PAM_SUCCESS,
       в противном случае, если onerr=fail, возвращается PAM_AUTH_ERR или PAM_SERVICE_ERR
       (в зависимости от ситуации).

       Дополнительный аргумент apply= может использоваться для ограничения применения
       вышеуказанного правила для конкретного пользователя (apply=username) или заданной
       группы (apply=@groupname). Это дополнительное ограничение имеет смысл только при
       использовании с элементами tty, rhost и shell.

       Кроме последнего, все аргументы должны быть указаны; не полагайтесь на какое-либо
       поведение по умолчанию.

       Этот модуль не выдаёт никаких учётных данных.

OPTIONS
       item=[tty|user|rhost|ruser|group|shell]
	   Что указано в файле и должно быть проверено.

       sense=[allow|deny]
	   Действие, которое следует предпринять, если элемент найден в файле. Если элемент НЕ
	   найден в файле, запрашивается противоположное действие.

       file=/path/filename
	   Файл, содержащий по одному элементу на строку. Файл должен быть обычным файлом и
	   не должен быть доступен для записи всем.

       onerr=[succeed|fail]
	   Что делать, если происходит что-то необычное, например, невозможно открыть файл.

       apply=[user|@group]
	   Ограничить класс пользователей, для которого применяется ограничение. Обратите
	   внимание, что при item=[user|ruser|group] это не имеет смысла, но для
	   item=[tty|rhost|shell] это имеет значение.

       quiet
	   Не считать отказы сервиса или отсутствие файлов списков как ошибки, которые нужно
	   логировать.

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_AUTH_ERR
	   Сбой аутентификации.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Правило не применяется к опции apply.

       PAM_SERVICE_ERR
	   Ошибка в модуле сервиса.

       PAM_SUCCESS
	   Успех.

EXAMPLES
       Классическая аутентификация 'ftpusers' может быть реализована с помощью этой записи в
       /etc/pam.d/ftpd:

	   #
	   # запретить доступ по ftp для пользователей, перечисленных в файле /etc/ftpusers
	   #
	   auth	   required	  pam_listfile.so \
		   onerr=succeed item=user sense=deny file=/etc/ftpusers


       Обратите внимание, пользователи, перечисленные в файле /etc/ftpusers, (вопреки
       интуиции) не имеют доступа к сервису ftp.

       Чтобы разрешить доступ для входа только для определённых пользователей, вы можете
       использовать запись в /etc/pam.d/login, такую как эта:

	   #
	   # разрешить вход для пользователей, перечисленных в /etc/loginusers
	   #
	   auth	   required	  pam_listfile.so \
		   onerr=fail item=user sense=allow file=/etc/loginusers


       Для того, чтобы этот пример работал, все пользователи, которым разрешён доступ к
       сервису login, должны быть перечислены в файле /etc/loginusers. Если вы не пытаетесь
       явно заблокировать root, убедитесь, что при этом вы оставляете способ для root войти
       в систему, либо перечислив root в /etc/loginusers, либо перечислив пользователя,
       который может su в учётную запись root.

SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_listfile был написан Michael K. Johnson <johnsonm@redhat.com> и Elliot Lee
       <sopwith@cuc.edu>.



Linux-PAM			  05/12/2025		       PAM_LISTFILE(8)

PAM(8)			       Linux-PAM Manual				PAM(8)



NAME
       PAM, pam - Pluggable Authentication Modules for Linux

DESCRIPTION
       Это руководство предназначено для быстрого введения в Linux-PAM. Для
       получения дополнительной информации читатель должен обратиться к
       руководству системного администратора Linux-PAM.

       Linux-PAM представляет собой систему библиотек, которые выполняют задачи
       аутентификации приложений (сервисов) в системе. Библиотека предоставляет
       стабильный общий интерфейс (Application Programming Interface - API),
       которому программы, предоставляющие привилегии (такие как login(1) и su(1)),
       делегируют выполнение стандартных задач аутентификации.

       Основная особенность подхода PAM заключается в том, что природа
       аутентификации динамически настраиваема. Иными словами, системный
       администратор может самостоятельно выбирать, как приложения, предоставляющие
       сервисы, будут аутентифицировать пользователей. Эта динамическая настройка
       определяется содержимым единственного файла конфигурации Linux-PAM
       /etc/pam.conf. Альтернативно и предпочтительнее, настройка может быть
       задана с помощью отдельных файлов конфигурации, расположенных в каталоге
       pam.d. Наличие этого каталога заставит Linux-PAM игнорировать
       /etc/pam.conf.

       Файлы конфигурации PAM, поставляемые производителем, могут быть установлены
       в системном каталоге /usr/lib/pam.d/ или в другом настраиваемом каталоге,
       специфичном для производителя, вместо каталога конфигурации машины
       /etc/pam.d/. Если файл конфигурации машины не найден, используется файл,
       поставляемый производителем. Все файлы в /etc/pam.d/ переопределяют файлы
       с одинаковыми именами в других каталогах.

       С точки зрения системного администратора, для которого предназначено это
       руководство, не так важно понимать внутреннее поведение библиотеки
       Linux-PAM. Важно понимать, что файл(ы) конфигурации определяют связь между
       приложениями (сервисами) и модулями подключаемой аутентификации (PAMs),
       которые выполняют фактические задачи аутентификации.

       Linux-PAM разделяет задачи аутентификации на четыре независимые группы
       управления: управление учётными записями; управление аутентификацией;
       управление паролями; и управление сессиями. (Мы выделяем сокращения,
       используемые для этих групп в файле конфигурации.)

       Просто говоря, эти группы занимаются разными аспектами типичного запроса
       пользователя на ограниченный сервис:

       account - предоставляют услуги проверки учётных записей: истёк ли срок
       действия пароля пользователя?; разрешён ли этому пользователю доступ к
       запрошенному сервису?

       authentication - аутентифицируют пользователя и настраивают учётные
       данные пользователя. Обычно это происходит через запрос с вызовом и
       ответом, который пользователь должен удовлетворить: если вы тот, за кого
       себя выдаёте, введите свой пароль. Не все виды аутентификации такого типа;
       существуют аппаратные схемы аутентификации (такие как использование
       смарт-карт и биометрических устройств), и с подходящими модулями они могут
       быть seamlessly заменены на более стандартные подходы к аутентификации -
       такая гибкость характерна для Linux-PAM.

       password - ответственность этой группы - задача обновления механизмов
       аутентификации. Обычно такие сервисы тесно связаны с сервисами группы auth.
       Некоторые механизмы аутентификации хорошо подходят для обновления с помощью
       такой функции. Очевидный пример - стандартный доступ на основе пароля UN*X:
       пожалуйста, введите заменяющий пароль.

       session - эта группа задач охватывает вещи, которые должны выполняться
       перед предоставлением сервиса и после его отзыва. К таким задачам относятся
       поддержка журналов аудита и монтирование домашнего каталога пользователя.
       Группа управления сессиями важна, поскольку она предоставляет хуки для
       открытия и закрытия, позволяющие модулям влиять на сервисы, доступные
       пользователю.

FILES
       /etc/pam.conf
	   файл конфигурации

       /etc/pam.d
	   каталог конфигурации Linux-PAM. В общем, если этот каталог
	   присутствует, файл /etc/pam.conf игнорируется.

       /usr/lib/pam.d
	   каталог конфигурации Linux-PAM, поставляемый производителем. Файлы в
	   /etc/pam.d переопределяют файлы с одинаковыми именами в этом каталоге.

ERRORS
       Как правило, ошибки, генерируемые системой библиотек Linux-PAM, будут
       записываться в syslog(3).

CONFORMING TO
       DCE-RFC 86.0, October 1995. Содержит дополнительные функции, но остаётся
       обратно совместимым с этим RFC.

SEE ALSO
       pam(3), pam_authenticate(3), pam_sm_setcred(3), pam_strerror(3), PAM(8)



Linux-PAM			  05/12/2025				PAM(8)

PWHISTORY_HELPER(8)	       Linux-PAM Manual		   PWHISTORY_HELPER(8)



NAME
       pwhistory_helper - Вспомогательная программа, которая переносит хэши паролей из файла passwd или shadow в файл opasswd

SYNOPSIS
       pwhistory_helper [...]

DESCRIPTION
       pwhistory_helper — это вспомогательная программа для модуля pam_pwhistory, которая переносит хэши паролей из файла passwd или shadow в файл opasswd и проверяет пароль, предоставленный пользователем, на соответствие существующим хэшам в файле opasswd.

       Цель вспомогательной программы — обеспечить более строгий контроль служб входа и смены пароля. Программа вызывается только при включенном SELinux в системе.

       Интерфейс программы — параметры командной строки и формат входных/выходных данных — является внутренним для модуля pam_pwhistory, и она не должна вызываться напрямую из приложений.

SEE ALSO
       pam_pwhistory(8)

AUTHOR
       Написано Tomas Mraz на основе кода, изначально использованного в модулях pam_pwhistory и pam_unix.



Linux-PAM			  05/12/2025		   PWHISTORY_HELPER(8)

PAM_USERDB(8)		       Linux-PAM Manual			 PAM_USERDB(8)



NAME
       pam_userdb - модуль PAM для аутентификации против базы данных db

SYNOPSIS
       pam_userdb.so db=/path/database [debug] [crypt=[crypt|none]] [icase]
		     [dump] [try_first_pass] [use_first_pass] [unknown_ok]
		     [key_only]

DESCRIPTION
       Модуль pam_userdb используется для проверки пары имя пользователя/пароль
       против значений, хранящихся в базе данных Berkeley DB. База данных
       индексируется по имени пользователя, а поля данных, соответствующие
       ключам имени пользователя, являются паролями.

OPTIONS
       crypt=[crypt|none]
	   Указывает, хранятся ли зашифрованные или обычные пароли в
	   базе данных. Если указано crypt, пароли должны храниться в
	   базе данных в формате crypt(3). Если указано none, пароли должны
	   храниться в базе данных как обычный текст.

       db=/path/database
	   Использовать базу данных /path/database для поиска. Значение по
	   умолчанию отсутствует; модуль вернёт PAM_IGNORE, если база данных
	   не указана. Обратите внимание, что путь к файлу базы данных
	   следует указывать без суффикса .db.

       debug
	   Выводить отладочную информацию. Обратите внимание, что хэши
	   паролей, как из базы данных, так и вычисленные, будут выводиться
	   в syslog.

       dump
	   Выводить все записи из базы данных в лог. Не делайте это по
	   умолчанию!

       icase
	   Сделать проверку пароля нечувствительной к регистру (например,
	   при работе с регистрационными номерами). Работает только с
	   хранением паролей в обычном тексте.

       try_first_pass
	   Использовать аутентификационный токен, полученный ранее другим
	   модулем, который провёл диалог с приложением. Если токен получить
	   нельзя, модуль попытается провести диалог. Эта опция может быть
	   использована для стека модулей, которые работают с
	   аутентификационными токенами.

       use_first_pass
	   Использовать аутентификационный токен, полученный ранее другим
	   модулем, который провёл диалог с приложением. Если токен получить
	   нельзя, модуль завершится с ошибкой. Эта опция может быть
	   использована для стека модулей, которые работают с
	   аутентификационными токенами.

       unknown_ok
	   Не возвращать ошибку при проверке пользователя, отсутствующего
	   в базе данных. Это можно использовать для стека нескольких
	   модулей pam_userdb, которые будут проверять пару
	   имя пользователя/пароль в нескольких базах данных.

       key_only
	   Имя пользователя и пароль объединяются в хэш базы данных как
	   'username-password' с случайным значением. Если объединение
	   имени пользователя и пароля с дефисом в середине возвращает
	   результат, пользователь считается валидным. Это полезно в
	   случаях, когда имя пользователя может не быть уникальным, но
	   пара имя пользователя и пароль уникальна.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и account.

RETURN VALUES
       PAM_AUTH_ERR
	   Сбой аутентификации.

       PAM_AUTHTOK_RECOVERY_ERR
	   Невозможно восстановить информацию аутентификации.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Сбой диалога.

       PAM_SERVICE_ERR
	   Ошибка в модуле службы.

       PAM_SUCCESS
	   Успех.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен базовому модулю аутентификации.

EXAMPLES
	   auth	 sufficient pam_userdb.so icase db=/etc/dbtest


SEE ALSO
       crypt(3), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_userdb был написан Cristian Gafton <gafton@redhat.com>.



Linux-PAM			  05/12/2025			 PAM_USERDB(8)

ACCESS.CONF(5)		       Руководство Linux-PAM			ACCESS.CONF(5)



NAME
       access.conf - файл таблицы контроля доступа для входа

DESCRIPTION
       Файл /etc/security/access.conf определяет комбинации (пользователь/группа, хост),
       (пользователь/группа, сеть/маска сети), (пользователь/группа, tty), (пользователь/группа,
       X-$DISPLAY-value), или (пользователь/группа, имя службы pam), для которых вход будет либо
       принят, либо отклонён.

       Когда кто-то входит в систему, файл access.conf просматривается на предмет первой записи,
       которая соответствует комбинации (пользователь/группа, хост) или (пользователь/группа,
       сеть/маска сети), или, в случае нелокальных входов, первой записи, которая соответствует
       комбинации (пользователь/группа, tty), или в случае нелокальных входов без tty, первой записи,
       которая соответствует комбинации (пользователь/группа, X-$DISPLAY-value) или (пользователь/группа,
       имя службы pam). Поле разрешений этой записи таблицы определяет, будет ли вход принят или
       отклонён.

       Каждая строка таблицы контроля доступа для входа содержит три поля, разделённые символом ":" (двоеточие):

       permission:users/groups:origins

       Первое поле, поле разрешений, может быть символом "+" (плюс) для разрешения доступа или символом "-"
       (минус) для отказа в доступе.

       Второе поле, поле пользователей/групп, должно быть списком одного или нескольких имён входа,
       имён групп, uid, gid или ALL (что всегда соответствует). Чтобы отличить записи пользователей
       от записей групп, записи групп следует писать в скобках, например, (group) или (gid).

       Третье поле, поле источников, должно быть списком одного или нескольких имён tty
       (для нелокальных входов), значений X $DISPLAY или имён служб PAM (для нелокальных входов без tty),
       имён хостов, доменных имён (начинающихся с "."), адресов хостов, номеров интернет-сетей (заканчивающихся
       на "."), адресов интернет-сетей с маской сети (где маска сети может быть десятичным числом или
       адресом интернет), ALL (что всегда соответствует) или LOCAL. Ключевое слово LOCAL соответствует,
       когда пользователь подключается без сетевого соединения (например, su, login). Соединение через
       петлевой интерфейс (например, ssh user@localhost) считается сетевым соединением, и поэтому ключевое
       слово LOCAL не соответствует.

       Если это поддерживается системой, вы можете использовать @netgroupname в шаблонах хостов или
       пользователей. Синтаксис @@netgroupname поддерживается только в шаблоне пользователя и передаёт
       имя локальной системы хоста в вызов сопоставления netgroup в дополнение к имени пользователя. Это
       может не работать корректно на некоторых реализациях libc, что приводит к постоянному сбою
       сопоставления.

       Оператор EXCEPT позволяет писать очень компактные правила.

       Если nodefgroup не установлен, файл групп просматривается, когда имя не соответствует имени
       вошедшего пользователя. Сопоставляются только группы, в которых пользователи явно перечислены.
       Однако модуль PAM не смотрит на основной идентификатор группы пользователя.

       Символ "#" в начале строки (без пробела в начале) может использоваться для пометки этой строки
       как комментария.

EXAMPLES
       Вот некоторые примеры строк, которые могут быть указаны в /etc/security/access.conf.

       Пользователь root должен иметь возможность получить доступ через cron, терминал X11 :0,
       tty1, ..., tty5, tty6.

       +:root:crond :0 tty1 tty2 tty3 tty4 tty5 tty6

       Пользователь root должен иметь возможность получить доступ с хостов, которые владеют
       адресами IPv4. Это не означает, что соединение должно быть IPv4; соединение IPv6 с хостом,
       имеющим один из этих адресов IPv4, тоже работает.

       +:root:192.168.200.1 192.168.200.4 192.168.200.9

       +:root:127.0.0.1

       Пользователь root должен получить доступ из сети 192.168.201., где термин оценивается
       с помощью строкового сопоставления. Но лучше использовать сеть/маску сети. То же значение
       для 192.168.201. эквивалентно 192.168.201.0/24 или 192.168.201.0/255.255.255.0.

       +:root:192.168.201.

       Пользователь root должен иметь возможность получить доступ с хостов foo1.bar.org и
       foo2.bar.org (использует строковое сопоставление).

       +:root:foo1.bar.org foo2.bar.org

       Пользователь root должен иметь возможность получить доступ из домена foo.bar.org (использует
       строковое сопоставление).

       +:root:.foo.bar.org

       Пользователю root должен быть запрещён доступ из всех других источников.

       -:root:ALL

       Пользователю с uid 1003 и группе с gid 1000 должен быть разрешён доступ из всех других источников.

       +:(1000) 1003:ALL

       Пользователь foo и члены netgroup admins должны иметь возможность получить доступ из всех
       источников. Это сработает только если служба netgroup доступна.

       +:@admins foo:ALL

       Пользователям john и foo должен быть разрешён доступ с адреса хоста IPv6.

       +:john foo:2001:db8:0:101::1

       Пользователям john и foo должен быть разрешён доступ с локального адреса хоста IPv6.

       +:john foo:fe80::de95:818c:1b55:7e42%eth1

       Пользователю john должен быть разрешён доступ из сети IPv6/маска.

       +:john:2001:db8:0:101::/64

       Членам группы wheel должен быть разрешён доступ из всех источников.

       +:(wheel):ALL

       Запретить вход в консоль всем, кроме учётных записей shutdown, sync и всех других, которые являются
       членами группы wheel.

       -:ALL EXCEPT (wheel) shutdown sync:LOCAL

       Всем другим пользователям должен быть запрещён доступ из всех источников.

       -:ALL:ALL

NOTES
       Разделители списка элементов в поле по умолчанию - пробел, ",", и символ табуляции. Таким образом,
       если пробелы размещены в начале и в конце полей, они игнорируются. Однако, если разделитель списка
       изменён с помощью опции listsep, пробелы станут частью фактического элемента, и строка, вероятно,
       будет игнорироваться. По этой причине не рекомендуется ставить пробелы вокруг символов ":".

       Локальный адрес хоста IPv6 должен содержать идентификатор интерфейса. Сеть/маска локальной связи IPv6
       не поддерживается.

SEE ALSO
       pam_access(8), pam.d(5), pam(8)

AUTHORS
       Оригинальное руководство login.access(5) было предоставлено Guido van Rooij, которое было
       переименовано в access.conf(5), чтобы отразить связь с файлом конфигурации по умолчанию.

       Описание адреса сети / маски сети и примеры текста были введены Mike Becher <mike.becher@lrz-muenchen.de>.



[FIXME: source]			  05/12/2025			ACCESS.CONF(5)

PAM_LOCALUSER(8)	       Linux-PAM Manual		      PAM_LOCALUSER(8)

NAME
       pam_localuser - требовать, чтобы пользователи были перечислены в /etc/passwd

SYNOPSIS
       pam_localuser.so [debug] [file=/path/passwd]

DESCRIPTION
       pam_localuser — это модуль PAM, помогающий реализовывать политики входа для всего сайта, где они обычно включают подмножество пользователей сети и несколько аккаунтов, локальных для конкретной рабочей станции. Использование pam_localuser вместе с pam_wheel или pam_listfile — эффективный способ ограничить доступ для локальных пользователей и/или подмножества пользователей сети.

       Это также можно реализовать с помощью pam_listfile.so и короткого скрипта awk, вызываемого cron, но это достаточно распространено, чтобы быть выделено отдельно.

OPTIONS
       debug
	   Выводить информацию отладки.

       file=/path/passwd
	   Использовать файл, отличный от /etc/passwd.

MODULE TYPES PROVIDED
       Все типы модулей (account, auth, password и session) предоставляются.

RETURN VALUES
       PAM_SUCCESS
	   Новый localuser был успешно установлен.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул PAM_CONV_AGAIN.

       PAM_SERVICE_ERR
	   Имя пользователя недействительно или файл passwd недоступен.

       PAM_PERM_DENIED
	   Пользователь не перечислен в файле passwd.

EXAMPLES
       Добавьте следующие строки в /etc/pam.d/su, чтобы разрешить использование su только локальным пользователям или группе wheel.

	   account sufficient pam_localuser.so
	   account required pam_wheel.so

FILES
       /etc/passwd
	   Информация о локальных учетных записях пользователей.

SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_localuser был написан Nalin Dahyabhai <nalin@redhat.com>.

Linux-PAM			  05/12/2025		      PAM_LOCALUSER(8)

PAM_KEYINIT(8)		       Linux-PAM Manual			PAM_KEYINIT(8)



NAME
       pam_keyinit - Модуль инициализации ключевого кольца сессии ядра

SYNOPSIS
       pam_keyinit.so [debug] [force] [revoke]

DESCRIPTION
       Модуль PAM pam_keyinit обеспечивает, что вызывающий процесс имеет session keyring, отличную от user default session keyring.

       Модуль проверяет, является ли session keyring процесса user-session-keyring(7), и, если да, создаёт новую session-keyring(7) для её замены. Если новая session keyring создана, в неё будет добавлена ссылка на user-keyring(7), чтобы ключи, общие для пользователя, были автоматически доступны через неё. Session keyring вызывающего процесса отныне будет наследоваться всеми его дочерними процессами, если они не переопределят её.

       Чтобы позволить другим модулям PAM прикреплять токены к ключевому кольцу, этот модуль предоставляет как компонент auth (ограниченный pam_setcred(3)), так и компонент session. Session keyring создаётся в вызванном модуле. Кроме того, этот модуль следует включать как можно раньше в конфигурацию PAM.

       Этот модуль предназначен в первую очередь для использования процессами входа в систему. Имейте в виду, что после замены session keyring старая session keyring и ключи, которые она содержит, больше не будут доступны.

       Этот модуль, как правило, не следует вызывать в программах вроде su, поскольку обычно желательно, чтобы набор ключей передавался в альтернативный контекст. Ключи имеют собственную систему разрешений для управления этим.

       Пакет keyutils используется для прямого манипулирования ключами. Его можно получить из:

       Keyutils[1]

OPTIONS
       debug
	   Записывать отладочную информацию с помощью syslog(3).

       force
	   Принудительно заменяет session keyring вызывающего процесса.

       revoke
	   Вызывает отзыв session keyring вызывающего процесса при выходе вызывающего процесса, если session keyring была создана для этого процесса изначально.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_SUCCESS
	   Этот модуль обычно возвращает это значение.

       PAM_AUTH_ERR
	   Сбой аутентификации.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Возвращаемое значение должно игнорироваться диспетчером PAM.

       PAM_SERVICE_ERR
	   Невозможно определить имя пользователя.

       PAM_SESSION_ERR
	   Этот модуль вернёт это значение, если его аргументы недействительны или если возникает системная ошибка, такая как ENOMEM.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен.

EXAMPLES
       Добавьте эту строку в записи входа в систему, чтобы каждая сессия входа начиналась с собственной session keyring:

	   session  required  pam_keyinit.so


       Это предотвратит утечку ключей из одной сессии в другую для одного и того же пользователя.

SEE ALSO
       pam.conf(5), pam.d(5), pam(8), keyctl(1)

AUTHOR
       pam_keyinit был написан David Howells, <dhowells@redhat.com>.

NOTES
	1. Keyutils
	   http://people.redhat.com/~dhowells/keyutils/



Linux-PAM			  05/12/2025			PAM_KEYINIT(8)

PAM_TTY_AUDIT(8)	       Linux-PAM Manual		      PAM_TTY_AUDIT(8)



NAME
       pam_tty_audit - Включение или отключение аудита TTY для указанных пользователей

SYNOPSIS
       pam_tty_audit.so [disable=patterns] [enable=patterns]

DESCRIPTION
       Модуль PAM pam_tty_audit используется для включения или отключения аудита TTY.
       По умолчанию, ядро не аудитирует ввод на любом TTY.

OPTIONS
       disable=patterns
	   Для каждого пользователя, соответствующего шаблонам, отключить аудит TTY. Это
	   переопределяет любое предыдущее включение опции, соответствующее тому же имени
	   пользователя в командной строке. См. NOTES для дальнейшего описания шаблонов.

       enable=patterns
	   Для каждого пользователя, соответствующего шаблонам, включить аудит TTY. Это
	   переопределяет любое предыдущее отключение опции, соответствующее тому же имени
	   пользователя в командной строке. См. NOTES для дальнейшего описания шаблонов.

       open_only
	   Установить флаг аудита TTY при открытии сессии, но не восстанавливать его при
	   закрытии сессии. Использование этой опции необходимо для некоторых служб, которые
	   не используют fork() для запуска аутентифицированной сессии, таких как sudo.

       log_passwd
	   Логировать нажатия клавиш, когда режим ECHO выключен, но режим ICANON активен.
	   Это режим, в который TTY переводится во время ввода пароля. По умолчанию,
	   пароли не логируются. Эта опция может быть недоступна в более старых ядрах (3.9?).

MODULE TYPES PROVIDED
       Поддерживается только тип session.

RETURN VALUES
       PAM_SESSION_ERR
	   Ошибка чтения или изменения флага аудита TTY. См. системный лог для дополнительных
	   деталей.

       PAM_SUCCESS
	   Успех.

NOTES
       Когда аудит TTY включен, он наследуется всеми процессами, запущенными этим
       пользователем. В частности, демоны, перезапущенные пользователем, будут иметь
       включенный аудит TTY и будут аудитировать ввод TTY даже от других пользователей,
       если аудит для этих пользователей явно не отключен. Поэтому рекомендуется
       использовать disable=* в качестве первой опции для большинства демонов,
       использующих PAM.

       Для просмотра данных, логируемых ядром в аудит, используйте команду
       aureport --tty.

       Шаблоны представляют собой запятыми разделенные списки шаблонов glob или диапазонов
       UID. Диапазон указывается как min_uid:max_uid, где одно из значений может быть
       пустым. Если min_uid пуст, то будет соответствовать только пользователь с UID
       max_uid. Если max_uid пуст, то будут соответствовать пользователи с UID, большим
       или равным min_uid.

       Обратите внимание, что пароли в некоторых ситуациях могут логироваться аудитом TTY
       даже если опция log_passwd не используется. Например, весь ввод в сессии SSH будет
       логироваться - даже если вводится пароль в какое-то программное обеспечение на
       удаленном хосте, поскольку только локальное состояние TTY влияет на локальный
       аудит TTY.

EXAMPLES
       Аудит всех административных действий.

	   session   required pam_tty_audit.so disable=* enable=root



SEE ALSO
       aureport(8), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_tty_audit был написан Miloslav Trmač <mitr@redhat.com>. Опция
       log_passwd была добавлена Richard Guy Briggs <rgb@redhat.com>.



Linux-PAM			  05/12/2025		      PAM_TTY_AUDIT(8)

PAM_UNIX(8)		       Linux-PAM Manual			   PAM_UNIX(8)



NAME
       pam_unix - Модуль для традиционной аутентификации по паролю

SYNOPSIS
       pam_unix.so [...]

DESCRIPTION
       Это стандартный модуль аутентификации Unix. Он использует стандартные вызовы из системных библиотек для получения и установки информации об учётной записи, а также для аутентификации. Обычно это получается из файлов /etc/passwd и /etc/shadow, если shadow включен.

       Компонент account выполняет задачу определения статуса учётной записи пользователя и пароля на основе следующих элементов shadow: expire, last_change, max_change, min_change, warn_change. В случае последнего, он может дать пользователю совет по изменению пароля или, через возвращаемое значение PAM_AUTHTOKEN_REQD, отложить предоставление сервиса пользователю, пока он не установит новый пароль. Указанные выше записи документированы в руководстве shadow(5). Если запись пользователя не содержит одну или несколько из этих записей, соответствующая проверка shadow не выполняется.

       Компонент аутентификации выполняет задачу проверки учётных данных пользователя (пароля). Действие этого модуля по умолчанию заключается в том, чтобы не разрешать пользователю доступ к сервису, если его официальный пароль пуст.

       Предоставляется вспомогательный бинарный файл unix_chkpwd(8), который проверяет пароль пользователя, когда он хранится в базе данных с защитой от чтения. Этот бинарный файл очень прост и будет проверять только пароль пользователя, вызывающего его. Он вызывается прозрачно от имени пользователя компонентом аутентификации этого модуля. Таким образом, приложения, такие как xlock(1), могут работать без установки setuid-root. Модуль по умолчанию временно отключает обработку SIGCHLD на время выполнения вспомогательного бинарного файла. Это обычно правильное действие, так как многие приложения не подготовлены к обработке этого сигнала от дочернего процесса, о котором они не знали, что он был создан с fork(). Аргумент модуля noreap можно использовать для подавления этой временной защиты и может потребоваться для использования с определёнными приложениями.

       Максимальная длина пароля, поддерживаемая модулем pam_unix через вспомогательный бинарный файл, составляет PAM_MAX_RESP_SIZE - в настоящее время 512 байт. Остальная часть пароля, предоставленная функцией разговора модулю, будет игнорироваться.

       Компонент password этого модуля выполняет задачу обновления пароля пользователя. Шифрование хэша по умолчанию берётся из переменной ENCRYPT_METHOD из /etc/login.defs.

       Компонент session этого модуля фиксирует, когда пользователь входит в систему или выходит из неё.

       Оставшиеся аргументы, поддерживаемые другими функциями этого модуля, игнорируются молча. Другие аргументы фиксируются как ошибки через syslog(3).

OPTIONS
       debug
	   Включает отладку через syslog(3).

       audit
	   Немного более экстремально, чем debug.

       quiet
	   Отключает информационные сообщения, а именно сообщения об открытии и закрытии сессии через syslog(3).

       nullok
	   Действие этого модуля по умолчанию заключается в том, чтобы не разрешать пользователю доступ к сервису, если его официальный пароль пуст. Аргумент nullok отменяет это значение по умолчанию.

       nullresetok
	   Позволяет пользователям аутентифицироваться с пустым паролем, если принудительно требуется сброс пароля, даже если nullok не установлен. Если сброс пароля не требуется и nullok не установлен, аутентификация с пустым паролем будет запрещена.

       try_first_pass
	   Перед запросом пароля у пользователя модуль сначала пытается использовать пароль из предыдущего модуля в стеке, на случай, если он удовлетворит и этот модуль.

       use_first_pass
	   Аргумент use_first_pass заставляет модуль использовать пароль из предыдущего модуля в стеке и никогда не запрашивать у пользователя - если пароль недоступен или неподходит, пользователю будет отказано в доступе.

       nodelay
	   Этот аргумент можно использовать, чтобы отговорить компонент аутентификации от запроса задержки, если аутентификация в целом не удалась. Действие по умолчанию - запрос задержки при неудаче порядка двух секунд.

       use_authtok
	   При изменении пароля принуждает модуль установить новый пароль на тот, который предоставлен предыдущим модулем пароля в стеке (это используется в примере стека с модулем pam_passwdqc, документированном ниже).

       authtok_type=type
	   Этот аргумент можно использовать для изменения подсказки пароля при изменении паролей, чтобы включить в неё тип пароля. По умолчанию пусто.

       nis
	   Для установки новых паролей используется RPC NIS.

       remember=n
	   Последние n паролей для каждого пользователя сохраняются в /etc/security/opasswd, чтобы обеспечить историю изменений пароля и предотвратить чередование одного и того же пароля слишком часто. Для хранения старых паролей используется алгоритм хэширования MD5. Вместо этого варианта следует использовать модуль pam_pwhistory.

       shadow
	   Пытается поддерживать систему на основе shadow.

       md5
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма MD5.

       bigcrypt
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма DEC C2.

       sha256
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма SHA256. Алгоритм SHA256 должен поддерживаться функцией crypt(3).

       sha512
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма SHA512. Алгоритм SHA512 должен поддерживаться функцией crypt(3).

       blowfish
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма blowfish. Алгоритм blowfish должен поддерживаться функцией crypt(3).

       gost_yescrypt
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма gost-yescrypt. Алгоритм gost-yescrypt должен поддерживаться функцией crypt(3).

       yescrypt
	   При следующем изменении пароля пользователем зашифровать его с использованием алгоритма yescrypt. Алгоритм yescrypt должен поддерживаться функцией crypt(3).

       rounds=n
	   Устанавливает необязательное количество раундов для алгоритмов хэширования паролей SHA256, SHA512, blowfish, gost-yescrypt и yescrypt равным n.

       broken_shadow
	   Игнорировать ошибки чтения информации shadow для пользователей в модуле управления учётными записями.

       minlen=n
	   Устанавливает минимальную длину пароля в n символов. Максимум для паролей на основе DES crypt - 8 символов.

       no_pass_expiry
	   При установке игнорировать истечение срока действия пароля, как определено в записи shadow пользователя. Этот параметр действует только в случае, если pam_unix не использовался для аутентификации или он вернул неудачу аутентификации, что означает, что другой источник или метод аутентификации удался. Примером может быть аутентификация по публичному ключу в sshd. Модуль вернёт PAM_SUCCESS вместо возможного PAM_NEW_AUTHTOK_REQD или PAM_AUTHTOK_EXPIRED.

       Недопустимые аргументы фиксируются с помощью syslog(3).

MODULE TYPES PROVIDED
       Все типы модулей (account, auth, password и session) предоставляются.

RETURN VALUES
       PAM_IGNORE
	   Игнорировать этот модуль.

EXAMPLES
       Пример использования для /etc/pam.d/login будет следующим:

	   # Аутентифицировать пользователя
	   auth	      required	 pam_unix.so
	   # Убедиться, что учётная запись и пароль пользователя всё ещё активны
	   account    required	 pam_unix.so
	   # Изменить пароль пользователя, но сначала проверить его силу с помощью pam_passwdqc(8)
	   password   required	 pam_passwdqc.so config=/etc/passwdqc.conf
	   password   required	 pam_unix.so use_authtok nullok yescrypt
	   session    required	 pam_unix.so



SEE ALSO
       login.defs(5), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_unix был написан различными людьми.



Linux-PAM			  05/12/2025			   PAM_UNIX(8)

UNIX_CHKPWD(8)		       Руководство Linux-PAM			UNIX_CHKPWD(8)



NAME
       unix_chkpwd - Вспомогательная программа, которая проверяет пароль текущего пользователя

SYNOPSIS
       unix_chkpwd [...]

DESCRIPTION
       unix_chkpwd — это вспомогательная программа для модуля pam_unix, которая проверяет пароль текущего пользователя. Она также проверяет даты истечения срока пароля и аккаунта в shadow. Она не предназначена для запуска напрямую из командной строки и фиксирует нарушение безопасности, если это сделано.

       Она обычно устанавливается с setuid root или setgid shadow.

       Интерфейс вспомогательной программы — параметры командной строки и формат ввода/вывода — является внутренним для модуля pam_unix, и она не должна вызываться напрямую из приложений.

SEE ALSO
       pam_unix(8)

AUTHOR
       Написано Эндрю Морганом и другими различными людьми.



Linux-PAM			  05/12/2025			UNIX_CHKPWD(8)

PAM_SHELLS(8)		       Руководство Linux-PAM			 PAM_SHELLS(8)



NAME
       pam_shells - модуль PAM для проверки допустимой оболочки входа

SYNOPSIS
       pam_shells.so

DESCRIPTION
       pam_shells — это модуль PAM, который позволяет доступ к системе только в том случае, если оболочка пользователя указана в /etc/shells.

       Он также проверяет, являются ли необходимые файлы (например, /etc/shells) обычными файлами и не доступными для записи всем.

OPTIONS
       Этот модуль не распознает никаких опций.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и account.

RETURN VALUES
       PAM_AUTH_ERR
	   Доступ к системе был запрещен.

       PAM_SUCCESS
	   Оболочка входа пользователя была указана как допустимая в /etc/shells.

       PAM_USER_UNKNOWN
	   Пользователь не существует или оболочка входа пользователя не может быть определена.

       PAM_SERVICE_ERR
	   Модулю не удалось получить имя пользователя.

EXAMPLES
	   auth	 required  pam_shells.so



SEE ALSO
       shells(5), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_shells был написан Эриком Троаном <ewt@redhat.com>.



Linux-PAM			  05/12/2025			 PAM_SHELLS(8)

PAM_FILTER(8)		       Руководство Linux-PAM			 PAM_FILTER(8)



NAME
       pam_filter - модуль фильтра PAM

SYNOPSIS
       pam_filter.so [debug] [new_term] [non_term] run1|run2 filter [...]

DESCRIPTION
       Этот модуль предназначен для предоставления доступа ко всему вводу/выходу, который проходит между пользователем и приложением. Он подходит только для приложений, основанных на терминале (tty) и (stdin/stdout).

       Для работы этого модуля требуются установленные фильтры. Единственный фильтр, поставляемый с модулем, просто переставляет регистр букв в потоках ввода и вывода. (Это может быть очень раздражающим и неудобным для редакторов, основанных на termcap).

       Каждый компонент модуля потенциально может вызвать желаемый фильтр. Фильтр всегда запускается с помощью execv(2) с привилегиями вызывающего приложения, а не пользователя. По этой причине его обычно нельзя завершить пользователем без закрытия сессии.

OPTIONS
       debug
	   Выводить отладочную информацию.

       new_term
	   По умолчанию фильтр устанавливает элемент PAM_TTY для указания терминала, который пользователь использует для подключения к приложению. Этот аргумент указывает, что фильтр должен установить PAM_TTY для отфильтрованного псевдотерминала.

       non_term
	   Не пытаться устанавливать элемент PAM_TTY.

       runX
	   Чтобы модуль мог вызвать фильтр, ему нужно знать, когда это делать. Этот аргумент обязателен для указания момента запуска фильтра.

	   Допустимые значения для X — 1 и 2. Эти значения указывают точное время запуска фильтра. Чтобы понять эту концепцию, полезно прочитать страницу руководства pam(3). В основном, для каждой группы управления есть до двух способов вызова функций модуля. В случае компонентов аутентификации и сессии существует две отдельных функции. Для аутентификации эти функции — pam_authenticate(3) и pam_setcred(3); здесь run1 означает запуск фильтра из функции pam_authenticate, а run2 — из pam_setcred. В случае модулей сессии run1 подразумевает запуск фильтра на этапе pam_open_session(3), а run2 — на этапе pam_close_session(3).

	   В случае компонента account можно использовать либо run1, либо run2.

	   В случае компонента password run1 используется для указания запуска фильтра при первом вызове pam_chauthtok(3) (фаза PAM_PRELIM_CHECK), а run2 — при втором вызове (фаза PAM_UPDATE_AUTHTOK).

       filter
	   Полный путь к запускаемому фильтру и любые аргументы командной строки, которые может ожидать фильтр.

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_SUCCESS
	   Новый фильтр был успешно установлен.

       PAM_ABORT
	   Критическая ошибка, немедленный отказ.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/login, чтобы увидеть, как настроить login на перестановку регистра букв после входа пользователя:

		   session required pam_filter.so run1 /lib/security/pam_filter/upperLOWER



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_filter был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			 PAM_FILTER(8)

PAM_SETQUOTA(8)		       Ручной Linux-PAM		       PAM_SETQUOTA(8)



NAME
       pam_setquota - PAM-модуль для установки или изменения дисковых квот при старте сессии

SYNOPSIS
       pam_setquota.so [fs=/home] [overwrite=0] [debug=0] [startuid=1000]
		       [enduid=0] [bsoftlimit=19000] [bhardlimit=20000]
		       [isoftlimit=3000] [ihardlimit=4000]

DESCRIPTION
       pam_setquota — это PAM-модуль для установки или изменения дисковой квоты при старте сессии.

       Это делает квоты usable с центральными базами данных пользователей, такими как MySQL или LDAP.

OPTIONS
       fs=/home
	   Файл устройства или точка монтирования, к которой применяется политика. По умолчанию — файловая система, содержащая домашний каталог пользователя.

       overwrite=0
	   Перезаписывать существующую квоту. Примечание: Включение этой опции удалит возможность для администратора вручную настраивать разные квоты для пользователей на файловой системе с помощью edquota(8). (По умолчанию 0)

       debug=0
	   Включить отладку. Значение 1 выводит старые и новые квоты на устройстве. Значение 2 также выводит информацию о совпадающих и найденных файловых системах, если fs не установлен. (По умолчанию 0)

       startuid=1000
	   Определяет начало диапазона UID, к которому применяется политика. (По умолчанию UID_MIN из login.defs или значение uidmin, определённое на этапе компиляции, если UID_MIN не определено.)

       enduid=0
	   Определяет конец диапазона UID, к которому применяется политика. Установка enduid=0 приводит к открытому диапазону UID (т.е. все UID больше, чем startuid, включаются). (По умолчанию 0)

       bsoftlimit=19000
	   Мягкий лимит для блоков дисковой квоты, как определено в quotactl(2). Примечание: bsoftlimit и bhardlimit должны быть установлены одновременно!

       bhardlimit=20000
	   Жёсткий лимит для блоков дисковой квоты, как определено в quotactl(2). Примечание: bsoftlimit и bhardlimit должны быть установлены одновременно!

       isoftlimit=3000
	   Мягкий лимит для inode, как определено в quotactl(2). Примечание: isoftlimit и ihardlimit должны быть установлены одновременно!

       ihardlimit=4000
	   Жёсткий лимит для inode, как определено в quotactl(2). Примечание: isoftlimit и ihardlimit должны быть установлены одновременно!

MODULE TYPES PROVIDED
       Предоставляется только тип модуля session.

RETURN VALUES
       PAM_SUCCESS
	   Квота была установлена успешно.

       PAM_IGNORE
	   Действие не было выполнено, потому что либо UID пользователя находился вне указанного диапазона, либо квота уже существовала и overwrite=1 не была настроена, либо лимиты не были настроены вообще.

       PAM_USER_UNKNOWN
	   Пользователь не найден.

       PAM_PERM_DENIED
	   Не удалось открыть /proc/mounts.

	   Указанная файловая система или устройство не найдены.

	   Не удалось получить лимиты для пользователя. См. syslog для дополнительной информации.

	   Не удалось установить лимиты для пользователя. См. syslog для дополнительной информации.

	   Либо isoftlimit/ihardlimit, либо bsoftlimit/bhardlimit не были установлены одновременно.

EXAMPLES
       Один вызов `pam_setquota` применяет конкретную политику к диапазону UID. Применение разных политик к конкретным диапазонам UID достигается путём вызова pam_setquota несколько раз. Последняя совпадающая запись определяет итоговую квоту.

		 session  required   pam_setquota.so bsoftlimit=1000 bhardlimit=2000 isoftlimit=1000 ihardlimit=2000 startuid=1000 enduid=0 fs=/home
		 session  required   pam_setquota.so bsoftlimit=19000 bhardlimit=20000 isoftlimit=3000 ihardlimit=4000 startuid=2001 enduid=3000 fs=/dev/sda1
		 session  required   pam_setquota.so bsoftlimit=19000 bhardlimit=20000 isoftlimit=3000 ihardlimit=4000 startuid=3001 enduid=4000 fs=/dev/sda1 overwrite=1



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_setquota изначально был написан Ruslan Savchenko <savrus@mexmat.net>.

       Дополнительные изменения внесли Shane Tzen <shane@ict.usc.edu>, Sven Hartge <sven@svenhartge.de> и Keller Fuchs <kellerfuchs@hashbang.sh>.



Linux-PAM			  05/12/2025		       PAM_SETQUOTA(8)

PAM_NOLOGIN(8)		       Руководство Linux-PAM			PAM_NOLOGIN(8)



НАЗВАНИЕ
       pam_nologin - Предотвращение входа для не-рутовых пользователей

СИНОПСИС
       pam_nologin.so [file=/path/nologin] [successok]

ОПИСАНИЕ
       pam_nologin — это модуль PAM, который предотвращает вход пользователей
       в систему, если существует /var/run/nologin или /etc/nologin. Содержимое
       файла отображается пользователю. Модуль pam_nologin не влияет на
       возможность входа пользователя root.

ОПЦИИ
       file=/path/nologin
	   Использовать этот файл вместо стандартного /var/run/nologin или /etc/nologin.

       successok
	   Возвращать PAM_SUCCESS, если файл не существует; по умолчанию возвращается PAM_IGNORE.

ТИПЫ МОДУЛЕЙ
       Предоставляются типы модулей auth и account.

ЗНАЧЕНИЯ ВОЗВРАТА
       PAM_AUTH_ERR
	   Пользователь не является root, и существует /etc/nologin, поэтому вход пользователю запрещен.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Это значение возврата по умолчанию.

       PAM_SUCCESS
	   Успех: либо пользователь является root, либо файл nologin не существует.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен базовому модулю аутентификации.

ПРИМЕРЫ
       Рекомендуемое использование в /etc/pam.d/login выглядит так:

	   auth	 required  pam_nologin.so



ПРИМЕЧАНИЯ
       Чтобы сделать этот модуль эффективным, все методы входа должны быть
       защищены им. Его следует использовать как обязательный метод, указанный
       перед любыми достаточными методами, для получения стандартной семантики
       Unix nologin. Обратите внимание, что использование аргумента successok
       модуля приводит к возврату PAM_SUCCESS, что может нарушить такую
       конфигурацию — неудача достаточных модулей приведет к успешному входу,
       поскольку модуль nologin завершился успешно.

СМОТРИТЕ ТАКЖЕ
       nologin(5), pam.conf(5), pam.d(5), pam(8)

АВТОР
       pam_nologin был написан Michael K. Johnson <johnsonm@redhat.com>.



Руководство Linux-PAM			  05/12/2025			PAM_NOLOGIN(8)

MKHOMEDIR_HELPER(8)	       Linux-PAM Manual		   MKHOMEDIR_HELPER(8)



NAME
       mkhomedir_helper - Вспомогательная программа, создающая домашние директории

SYNOPSIS
       mkhomedir_helper {user} [umask [ path-to-skel [ home_mode ] ]]

DESCRIPTION
       mkhomedir_helper — это вспомогательная программа для модуля pam_mkhomedir,
       которая создает домашние директории и заполняет их содержимым указанной
       директории skel.

       Значение umask по умолчанию — 0022, а значение path-to-skel — /etc/skel.
       Значение home_mode вычисляется на основе значения umask.

       Вспомогательная программа отделена от модуля, чтобы не требовать прямого
       доступа из доменов SELinux входа к содержимому домашних директорий
       пользователей. Переход домена SELinux происходит, когда модуль выполняет
       mkhomedir_helper.

       Вспомогательная программа никогда не затрагивает домашние директории, если
       они уже существуют.

SEE ALSO
       pam_mkhomedir(8)

AUTHOR
       Написано Tomas Mraz на основе кода, первоначально находящегося в модуле
       pam_mkhomedir.



Linux-PAM			  05/12/2025		   MKHOMEDIR_HELPER(8)

PAM_RHOSTS(8)		       Руководство по Linux-PAM			 PAM_RHOSTS(8)



NAME
       pam_rhosts - Модуль PAM rhosts

SYNOPSIS
       pam_rhosts.so

DESCRIPTION
       Этот модуль выполняет стандартную сетевую аутентификацию для служб,
       как это используется в традиционных реализациях rlogin и rsh и т.д.

       Механизм аутентификации этого модуля основан на содержимом двух файлов: /etc/hosts.equiv (или) и ~/.rhosts. Во-первых, хосты, перечисленные в
       первом файле, рассматриваются как эквивалентные локальному хосту. Во-вторых,
       записи в личной копии второго файла используются для сопоставления пар
       "удалённый-хост удалённый-пользователь" с учётной записью пользователя на текущем
       хосте. Доступ предоставляется пользователю, если его хост присутствует в
       /etc/hosts.equiv и его удалённая учётная запись идентична локальной,
       или если его удалённая учётная запись имеет запись в личном
       файле конфигурации.

       Модуль аутентифицирует удалённого пользователя (внутренне указанного элементом
       PAM_RUSER, подключающегося с удалённого хоста (внутренне указанного элементом
       PAM_RHOST). Соответственно, для совместимости приложений с
       этим модулем аутентификации они должны устанавливать эти элементы перед вызовом
       pam_authenticate(). Модуль не способен самостоятельно проверять
       сетевые подключения для получения такой информации.

OPTIONS
       debug
	   Выводить отладочную информацию.

       silent
	   Не выводить информационные сообщения.

       superuser=account
	   Обрабатывать account как root.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_AUTH_ERR
	   Не удалось определить удалённый хост, имя удалённого пользователя или имя локального пользователя, или доступ был запрещён файлом .rhosts.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

EXAMPLES
       Чтобы предоставить удалённому пользователю доступ через /etc/hosts.equiv или .rhosts для rsh,
       добавьте следующие строки в /etc/pam.d/rsh:

	   #%PAM-1.0
	   #
	   auth	    required	   pam_rhosts.so
	   auth	    required	   pam_nologin.so
	   auth	    required	   pam_env.so
	   auth	    required	   pam_unix.so



SEE ALSO
       rootok(3), hosts.equiv(5), rhosts(5), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_rhosts был написан Thorsten Kukuk <kukuk@thkukuk.de>



Linux-PAM			  05/12/2025			 PAM_RHOSTS(8)

PAM_ISSUE(8)		       Linux-PAM Manual			  PAM_ISSUE(8)



NAME
       pam_issue - модуль PAM для добавления файла issue к подсказке пользователя

SYNOPSIS
       pam_issue.so [noesc] [issue=issue-file-name]

DESCRIPTION
       pam_issue — это модуль PAM, который добавляет файл issue к подсказке ввода имени пользователя. По умолчанию он также анализирует escape-коды в файле issue, подобно некоторым распространенным getty (используя формат \x).

       Распознаваемые escape-коды:

       \d
	   текущий день

       \l
	   имя этого терминала (tty)

       \m
	   архитектура машины (uname -m)

       \n
	   имя хоста сети машины (uname -n)

       \o
	   доменное имя этой системы

       \r
	   номер релиза операционной системы (uname -r)

       \t
	   текущее время

       \s
	   имя операционной системы (uname -s)

       \u
	   количество пользователей,currently вошедших в систему

       \U
	   то же, что и \u, за исключением того, что оно дополняется словом "user" или "users" (например, "1 user" или "10 users")

       \v
	   версия операционной системы и дата сборки (uname -v)

OPTIONS
       noesc
	   Отключает анализ escape-кодов.

       issue=issue-file-name
	   Файл для вывода, если не используется значение по умолчанию.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Подсказка уже была изменена.

       PAM_SERVICE_ERR
	   Произошла ошибка модуля службы.

       PAM_SUCCESS
	   Новая подсказка была успешно установлена.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/login для установки issue, специфичного для пользователя, при входе:

		   auth optional pam_issue.so issue=/etc/issue



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_issue был написан Ben Collins <bcollins@debian.org>.



Linux-PAM			  05/12/2025			  PAM_ISSUE(8)

PAM_MOTD(8)		       Руководство Linux-PAM			   PAM_MOTD(8)



НАИМЕНОВАНИЕ
       pam_motd - Отображение файла motd

СИНОПСИС
       pam_motd.so [motd=/path/filename] [motd_dir=/path/dirname.d]

ОПИСАНИЕ
       pam_motd — это модуль PAM, который может использоваться для отображения произвольных файлов motd
       (message of the day) после успешного входа. По умолчанию,
       pam_motd показывает файлы в следующих местах:

	   /etc/motd
	   /run/motd
	   /usr/lib/motd
	   /etc/motd.d/
	   /run/motd.d/
	   /usr/lib/motd.d/

       Каждый размер сообщения ограничен 64KB.

       Если /etc/motd не существует, то показывается /run/motd. Если /run/motd не существует,
       то показывается /usr/lib/motd.

       Похожее переопределяющее поведение применяется к директориям. Файлы в
       /etc/motd.d/ переопределяют файлы с тем же именем в /run/motd.d/ и
       /usr/lib/motd.d/. Файлы в /run/motd.d/ переопределяют файлы с тем же
       именем в /usr/lib/motd.d/.

       Файлы в перечисленных выше директориях отображаются в лексикографическом
       порядке по имени. Кроме того, файлы фильтруются при чтении их с
       учетными данными целевого пользователя, аутентифицирующегося в системе.

       Чтобы заглушить сообщение, символическая ссылка с целью /dev/null может быть
       размещена в /etc/motd.d с тем же именем файла, что и сообщение, которое нужно
       заглушить. Пример: Создание символической ссылки следующим образом заглушает
       /usr/lib/motd.d/my_motd.

       ln -s /dev/null /etc/motd.d/my_motd

       Переменная окружения MOTD_SHOWN=pam устанавливается после показа файлов motd,
       даже когда все из них были заглушены с помощью символических ссылок.

ОПЦИИ
       motd=/path/filename
	   Файл /path/filename отображается как message of the day.
	   Несколько путей для попытки можно указать в виде списка, разделенного двоеточиями.
	   По умолчанию эта опция установлена на /etc/motd:/run/motd:/usr/lib/motd.

       motd_dir=/path/dirname.d
	   Директория /path/dirname.d сканируется, и каждый файл внутри нее отображается.
	   Несколько директорий для сканирования можно указать в виде списка, разделенного двоеточиями.
	   По умолчанию эта опция установлена на /etc/motd.d:/run/motd.d:/usr/lib/motd.d/.

       Когда опции не указаны, применяется поведение по умолчанию для обоих
       опций. Указание любой опции (или обеих) отключит поведение по умолчанию
       для обоих опций.

ПРЕДОСТАВЛЯЕМЫЕ ТИПЫ МОДУЛЕЙ
       Предоставляется только тип модуля session.

ЗНАЧЕНИЯ, ВОЗВРАЩАЕМЫЕ
       PAM_ABORT
	   Не все релевантные данные или опции могли быть получены.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_IGNORE
	   Это значение по умолчанию для этого модуля.

ПРИМЕРЫ
       Предлагаемое использование для /etc/pam.d/login выглядит так:

	   session  optional  pam_motd.so


       Чтобы использовать файл motd из другого места:

	   session  optional  pam_motd.so motd=/elsewhere/motd


       Чтобы использовать файл motd из другого места, вместе с соответствующей директорией .d:

	   session  optional  pam_motd.so motd=/elsewhere/motd motd_dir=/elsewhere/motd.d

СМ. ТАКЖЕ
       motd(5), pam.conf(5), pam.d(5), pam(8)

АВТОР
       pam_motd был написан Ben Collins <bcollins@debian.org>.

       Опция motd_dir= была добавлена Allison Karlitskaya
       <allison.karlitskaya@redhat.com>.



Linux-PAM			  05/12/2025			   PAM_MOTD(8)

PAM_TIME(8)		       Linux-PAM Manual			   PAM_TIME(8)



NAME
       pam_time - модуль PAM для контроля доступа по времени

SYNOPSIS
       pam_time.so [conffile=conf-file] [debug] [noaudit]

DESCRIPTION
       Модуль PAM pam_time не аутентифицирует пользователя, а вместо этого
       ограничивает доступ к системе и/или конкретным приложениям в различные
       времена суток и на определенные дни или через различные терминалы.
       Этот модуль можно настроить для отказа в доступе (индивидуальным)
       пользователям на основе их имени, времени суток, дня недели, сервиса,
       для которого они запрашивают доступ, и терминала, с которого они делают
       запрос.

       По умолчанию правила для доступа по времени/порту берутся из файла
       конфигурации /etc/security/time.conf. Альтернативный файл можно указать
       с опцией conffile.

       Если Linux PAM скомпилирован с поддержкой аудита, модуль будет
       сообщать о случаях отказа в доступе.

OPTIONS
       conffile=/path/to/time.conf
	   Указывает альтернативный файл конфигурации в стиле time.conf для
	   переопределения значения по умолчанию.

       debug
	   Выводится некоторая отладочная информация с помощью syslog(3).

       noaudit
	   Не сообщать о входах в систему в недопустимое время подсистеме
	   аудита.

MODULE TYPES PROVIDED
       Предоставляется только тип account.

RETURN VALUES
       PAM_SUCCESS
	   Доступ предоставлен.

       PAM_ABORT
	   Не удалось получить все необходимые данные.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_PERM_DENIED
	   Доступ не предоставлен.

       PAM_USER_UNKNOWN
	   Пользователь неизвестен системе.

FILES
       /etc/security/time.conf
	   Файл конфигурации по умолчанию

EXAMPLES
	   #%PAM-1.0
	   #
	   # Применить учет pam_time к запросам на вход
	   #
	   login  account  required  pam_time.so


SEE ALSO
       time.conf(5), pam.d(5), pam(8).

AUTHOR
       pam_time был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			   PAM_TIME(8)

PAM_ECHO(8)		       Linux-PAM Manual			   PAM_ECHO(8)



NAME
       pam_echo - Модуль PAM для вывода текстовых сообщений

SYNOPSIS
       pam_echo.so [file=/path/message]

DESCRIPTION
       Модуль PAM pam_echo предназначен для вывода текстовых сообщений, чтобы информировать пользователя о специальных вещах. Последовательности, начинающиеся с символа %, интерпретируются следующим образом:

       %H
	   Имя удалённого хоста (PAM_RHOST).

       %h
	   Имя локального хоста.

       %s
	   Имя службы (PAM_SERVICE).

       %t
	   Имя управляющего терминала (PAM_TTY).

       %U
	   Имя удалённого пользователя (PAM_RUSER).

       %u
	   Имя локального пользователя (PAM_USER).

       Все другие последовательности, начинающиеся с %, заменяются на символы, следующие за %.

OPTIONS
       file=/path/message
	   Содержимое файла /path/message будет выведено с использованием функции преобразования PAM как PAM_TEXT_INFO.

MODULE TYPES PROVIDED
       Все типы модулей (auth, account, password и session) предоставляются.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_SUCCESS
	   Сообщение успешно выведено.

       PAM_IGNORE
	   Указан флаг PAM_SILENT или файл сообщения не существует, сообщение не выводится.

EXAMPLES
       В качестве примера использования этого модуля покажем, как его можно применить для вывода информации о хороших паролях:

	   password optional pam_echo.so file=/usr/share/doc/good-password.txt
	   password required pam_unix.so



SEE ALSO
       pam.conf(8), pam.d(5), pam(8)

AUTHOR
       Thorsten Kukuk <kukuk@thkukuk.de>



Linux-PAM			  05/12/2025			   PAM_ECHO(8)

PAM_DEBUG(8)		       Linux-PAM Manual			  PAM_DEBUG(8)



NAME
       pam_debug - Модуль PAM для отладки стека PAM

SYNOPSIS
       pam_debug.so [auth=value] [cred=value] [acct=value]
		    [prechauthtok=value] [chauthtok=value] [auth=value]
		    [open_session=value] [close_session=value]

DESCRIPTION
       Модуль PAM pam_debug предназначен для помощи в отладке, чтобы определить, как работает стек PAM. Этот модуль возвращает то, что указано в его аргументах модуля.

OPTIONS
       auth=value
	   Функция pam_sm_authenticate(3) вернет value.

       cred=value
	   Функция pam_sm_setcred(3) вернет value.

       acct=value
	   Функция pam_sm_acct_mgmt(3) вернет value.

       prechauthtok=value
	   Функция pam_sm_chauthtok(3) вернет value, если установлен флаг
	   PAM_PRELIM_CHECK.

       chauthtok=value
	   Функция pam_sm_chauthtok(3) вернет value, если флаг
	   PAM_PRELIM_CHECK не установлен.

       open_session=value
	   Функция pam_sm_open_session(3) вернет value.

       close_session=value
	   Функция pam_sm_close_session(3) вернет value.

       Где value может быть одним из: success, open_err, symbol_err, service_err,
       system_err, buf_err, perm_denied, auth_err, cred_insufficient,
       authinfo_unavail, user_unknown, maxtries, new_authtok_reqd,
       acct_expired, session_err, cred_unavail, cred_expired, cred_err,
       no_module_data, conv_err, authtok_err, authtok_recover_err,
       authtok_lock_busy, authtok_disable_aging, try_again, ignore, abort,
       authtok_expired, module_unknown, bad_item, conv_again, incomplete.

MODULE TYPES PROVIDED
       Предоставляются все типы модулей (auth, account, password and session).

RETURN VALUES
       PAM_SUCCESS
	   Код возврата по умолчанию, если не указано иное, иначе указанный
	   код возврата.

EXAMPLES
	   auth	   requisite	   pam_permit.so
	   auth	   [success=2 default=ok]  pam_debug.so auth=perm_denied cred=success
	   auth	   [default=reset]	   pam_debug.so auth=success cred=perm_denied
	   auth	   [success=done default=die] pam_debug.so
	   auth	   optional	   pam_debug.so auth=perm_denied cred=perm_denied
	   auth	   sufficient	   pam_debug.so auth=success cred=success


SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_debug был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			  PAM_DEBUG(8)

PAM_UMASK(8)		       Linux-PAM Manual			  PAM_UMASK(8)



NAME
       pam_umask - PAM-модуль для установки маски создания режима файла

SYNOPSIS
       pam_umask.so [debug] [silent] [usergroups] [nousergroups] [umask=mask]

DESCRIPTION
       pam_umask — это PAM-модуль, устанавливающий маску создания режима файла
       для текущей среды. Маска umask влияет на разрешения по умолчанию,
       назначаемые вновь созданным файлам.

       Модуль PAM пытается получить значение umask из следующих источников
       в следующем порядке:

       •   запись umask= в поле GECOS пользователя (см. ниже для деталей)

       •   аргумент umask=

       •   запись UMASK из /etc/login.defs

       •   запись UMASK= из /etc/default/login

       Поле GECOS разделяется на подполя с помощью запятых ','. Записи должны
       устанавливаться в его "другом" (sub-)поле (пятое поле в GECOS),
       что можно сделать, например, с помощью chfn --other. Кроме записи
       umask=, модуль также распознает запись pri=, которая устанавливает
       значение приоритета nice для сессии, и запись ulimit=, которая
       устанавливает максимальный размер файлов, которые могут создавать
       процессы в сессии.

OPTIONS
       debug
	   Выводить информацию отладки.

       silent
	   Не выводить информационные сообщения.

       usergroups
	   Если пользователь не является root и имя пользователя совпадает
	   с именем основной группы, биты группы в маске umask устанавливаются
	   такими же, как биты владельца (примеры: 022 → 002, 077 → 007).

       nousergroups
	   Это прямая противоположность опции usergroups, описанной выше,
	   что может быть полезно в случае, если pam_umask был скомпилирован
	   с usergroups, включенным по умолчанию, и вы хотите отключить его
	   во время выполнения.

       umask=mask
	   Устанавливает маску создания режима файла (umask) вызывающего
	   процесса на mask & 0777. Значение интерпретируется как восьмеричное.

MODULE TYPES PROVIDED
       Предоставляется только тип сессии.

RETURN VALUES
       PAM_SUCCESS
	   Новая umask была успешно установлена.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить
	   имя пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул
	   PAM_CONV_AGAIN.

       PAM_SERVICE_ERR
	   Имя пользователя не было указано.

       PAM_USER_UNKNOWN
	   Пользователь не известен.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/login, чтобы установить
       пользовательскую umask при входе:

		   session optional pam_umask.so umask=0022



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_umask был написан Thorsten Kukuk <kukuk@thkukuk.de>.



Linux-PAM			  05/12/2025			  PAM_UMASK(8)

PAM_DENY(8)		       Руководство Linux-PAM			   PAM_DENY(8)



NAME
       pam_deny - Модуль PAM для блокировки доступа

SYNOPSIS
       pam_deny.so

DESCRIPTION
       Этот модуль можно использовать для отказа в доступе. Он всегда указывает
       на сбой приложению через фреймворк PAM. Он может быть подходящим для
       использования в качестве значений по умолчанию (OTHER).

OPTIONS
       Этот модуль не распознает никаких опций.

MODULE TYPES PROVIDED
       Предоставляются все типы модулей (account, auth, password and session).

RETURN VALUES
       PAM_AUTH_ERR
	   Это возвращается службами account и auth.

       PAM_CRED_ERR
	   Это возвращается функцией setcred.

       PAM_AUTHTOK_ERR
	   Это возвращается службой password.

       PAM_SESSION_ERR
	   Это возвращается службой session.

EXAMPLES
	   #%PAM-1.0
	   #
	   # Если у нас нет записей конфигурации для службы, то
	   # используются записи OTHER. Для обеспечения безопасности, выдавать
	   # предупреждение и отказывать в доступе ко всему.
	   other auth	  required	 pam_warn.so
	   other auth	  required	 pam_deny.so
	   other account  required	 pam_warn.so
	   other account  required	 pam_deny.so
	   other password required	 pam_warn.so
	   other password required	 pam_deny.so
	   other session  required	 pam_warn.so
	   other session  required	 pam_deny.so


SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_deny был написан Andrew G. Morgan <morgan@kernel.org>



Linux-PAM			  05/12/2025			   PAM_DENY(8)

PAM_MAIL(8)		       Linux-PAM Manual			   PAM_MAIL(8)



NAME
       pam_mail - Информирует о наличии почты

SYNOPSIS
       pam_mail.so [close] [debug] [dir=maildir] [empty] [hash=count] [noenv]
		   [nopen] [quiet] [standard]

DESCRIPTION
       Модуль PAM pam_mail предоставляет услугу "у вас новая почта" пользователю. Он может быть интегрирован в любое приложение, которое использует хуки для учетных данных или сессий. Этот модуль выдает одно сообщение, указывающее на наличие новой почты в папке почты пользователя. Кроме того, модуль устанавливает переменную окружения PAM, MAIL, в каталог почты пользователя.

       Если файл спула почты (будь то /var/mail/$USER или путь, указанный с параметром dir=) является каталогом, то pam_mail предполагает, что он в формате Maildir.

OPTIONS
       close
	   Указывать, есть ли у пользователя почта, также при выходе.

       debug
	   Выводить информацию отладки.

       dir=maildir
	   Искать почту пользователя в альтернативном месте, определяемом как maildir/<login>. По умолчанию почта находится в /var/mail/<login>. Обратите внимание, если указанный maildir начинается с '~', каталог интерпретируется как файл в домашнем каталоге пользователя.

       empty
	   Также выводить сообщение, если у пользователя нет почты.

       hash=count
	   Глубина хеширования каталога почты. Например, значение hashcount равное 2 сделает файл почты /var/spool/mail/u/s/user.

       noenv
	   Не устанавливать переменную окружения MAIL.

       nopen
	   Не выводить информацию о почте при входе. Этот флаг полезен для установки переменной окружения MAIL, но без отображения информации о ней.

       quiet
	   Сообщать только о наличии новой почты.

       standard
	   Старый стиль формата "У вас..." без указания используемого спула почты. Это также подразумевает "empty".

MODULE TYPES PROVIDED
       Типы модулей session и auth (при установке и удалении учетных данных) предоставляются.

RETURN VALUES
       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_SERVICE_ERR
	   Неправильно сформированные аргументы.

       PAM_SUCCESS
	   Успех.

       PAM_USER_UNKNOWN
	   Пользователь не известен.

EXAMPLES
       Добавьте следующую строку в /etc/pam.d/login, чтобы указывать пользователю о новой почте при входе в систему.

	   session  optional  pam_mail.so standard



SEE ALSO
       pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_mail был написан Andrew G. Morgan <morgan@kernel.org>.



Linux-PAM			  05/12/2025			   PAM_MAIL(8)

PAM_FAILDELAY(8)	       Linux-PAM Manual		      PAM_FAILDELAY(8)



NAME
       pam_faildelay - Изменение задержки при неудаче для каждого приложения

SYNOPSIS
       pam_faildelay.so [debug] [delay=microseconds]

DESCRIPTION
       pam_faildelay — это модуль PAM, который можно использовать для установки задержки при неудаче для каждого приложения.

       Если задержка не указана, pam_faildelay будет использовать значение FAIL_DELAY из /etc/login.defs.

OPTIONS
       debug
	   Включает сообщения отладки, отправляемые в syslog.

       delay=N
	   Устанавливает задержку при неудаче в N микросекунд.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля auth.

RETURN VALUES
       PAM_IGNORE
	   Задержка была успешно скорректирована.

       PAM_SYSTEM_ERR
	   Указанная задержка недействительна.

EXAMPLES
       В следующем примере задержка при неудаче будет установлена на 10 секунд:

	   auth	 optional  pam_faildelay.so  delay=10000000



SEE ALSO
       pam_fail_delay(3), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_faildelay был написан Darren Tucker <dtucker@zip.com.au>.



Linux-PAM			  05/12/2025		      PAM_FAILDELAY(8)

PAM.CONF(5)		       Linux-PAM Manual			   PAM.CONF(5)



NAME
       pam.conf, pam.d - Файлы конфигурации PAM

DESCRIPTION
       Когда запускается приложение, осведомленное о PAM и предоставляющее привилегии, оно активирует подключение к PAM-API. Эта активация выполняет ряд задач, наиболее важной из которых является чтение файлов конфигурации: /etc/pam.conf. В качестве альтернативы и предпочтительно, конфигурация может задаваться отдельными файлами конфигурации в каталоге pam.d. Наличие этого каталога заставит Linux-PAM игнорировать /etc/pam.conf.

       Эти файлы перечисляют PAM-модули, которые будут выполнять задачи аутентификации, требуемые для этой службы, а также соответствующее поведение PAM-API в случае, если отдельные PAM-модули не выполнятся успешно.

       Синтаксис файла конфигурации /etc/pam.conf следующий. Файл состоит из списка правил, каждое из которых обычно размещается на одной строке, но может быть расширено с помощью экранированного конца строки: `\LF'. Комментарии начинаются с символов `#` и продолжаются до конца строки.

       Формат каждого правила — это разделенный пробелами набор токенов, первые три из которых нечувствительны к регистру:

	service type control module-path module-arguments

       Синтаксис файлов в каталоге /etc/pam.d/ идентичен, за исключением отсутствия поля service. В этом случае служба — это имя файла в каталоге /etc/pam.d/. Имя файла должно быть в нижнем регистре.

       Важной особенностью PAM является то, что несколько правил могут быть объединены в стек для комбинирования услуг нескольких PAM-модулей для заданной задачи аутентификации.

       Service обычно представляет собой знакомое имя соответствующего приложения: login и su — хорошие примеры. Имя службы other зарезервировано для задания правил по умолчанию. Только строки, которые упоминают текущую службу (или, в отсутствие таковой, записи other), будут связаны с данным приложением службы.

       Type — это группа управления, которой соответствует правило. Она используется для указания, к какой из групп управления будет присоединен последующий модуль. Допустимые значения:

       account
	   этот тип модуля выполняет управление учетной записью, не основанное на аутентификации. Он обычно используется для ограничения/разрешения доступа к службе на основе времени суток, доступных системных ресурсов (максимальное количество пользователей) или, возможно, местоположения пользователя — например, вход 'root' только на консоли.

       auth
	   этот тип модуля предоставляет два аспекта аутентификации пользователя. Во-первых, он устанавливает, что пользователь является тем, кем он себя называет, инструктируя приложение запросить у пользователя пароль или другой способ идентификации. Во-вторых, модуль может предоставлять членство в группе или другие привилегии через свои свойства выдачи учетных данных.

       password
	   этот тип модуля требуется для обновления токена аутентификации, связанного с пользователем. Обычно существует один модуль для каждого типа аутентификации на основе "вопрос-ответ" (auth).

       session
	   этот тип модуля связан с выполнением действий, которые нужно сделать для пользователя до/после того, как ему будет предоставлена служба. К таким действиям относятся ведение журнала информации о открытии/закрытии обмена данными с пользователем, монтирование каталогов и т.д.

       Если значение type из приведенного выше списка предшествует символ `-`, библиотека PAM не будет записывать в системный журнал, если модуль невозможно загрузить из-за его отсутствия в системе. Это может быть полезно, особенно для модулей, которые не всегда установлены в системе и не требуются для корректной аутентификации и авторизации сеанса входа.

       Третье поле, control, указывает поведение PAM-API в случае, если модуль не сможет успешно выполнить задачу аутентификации. Существует два типа синтаксиса для этого поля control: простой, с одним ключевым словом; и более сложный, с квадратными скобками, содержащими набор пар value=action.

       Для простого (исторического) синтаксиса допустимые значения control:

       required
	   неудача такого PAM в конечном итоге приведет к тому, что PAM-API вернет неудачу, но только после вызова остальных модулей в стеке (для этой службы и типа).

       requisite
	   как required, однако, в случае, если такой модуль вернет неудачу, контроль немедленно передается приложению или вышестоящему стеку PAM. Возвращаемое значение — то, которое связано с первым модулем required или requisite, который не выполнился. Обратите внимание, этот флаг можно использовать для защиты от возможности ввода пользователем пароля в небезопасной среде. Можно представить, что такое поведение может информировать нападающего о действительных учетных записях в системе. Это возможность следует взвесить по сравнению с несущественными опасениями раскрытия чувствительного пароля в враждебной среде.

       sufficient
	   если такой модуль выполнится успешно и ни один предыдущий required-модуль не потерпел неудачу, структура PAM немедленно вернет успех приложению или вышестоящему стеку PAM, не вызывая дальнейших модулей в стеке. Неудача sufficient-модуля игнорируется, и обработка стека PAM продолжается без изменений.

       optional
	   успех или неудача этого модуля важны только в том случае, если он является единственным модулем в стеке, связанным с этой службой+типом.

       include
	   включить все строки заданного типа из файла конфигурации, указанного в качестве аргумента для этого control.

       substack
	   включить все строки заданного типа из файла конфигурации, указанного в качестве аргумента для этого control. Это отличается от include тем, что оценка действий done и die в подстеке не приводит к пропуску остальной части полного стека модулей, а только подстека. Переходы в подстеке также не могут заставить оценку выйти из него, и весь подстек считается одним модулем при выполнении перехода в родительском стеке. Действие reset сбросит состояние стека модулей к состоянию, в котором оно было в начале оценки подстека.

       Для более сложного синтаксиса допустимые значения control имеют следующую форму:

		 [value1=action1 value2=action2 ...]


       Где valueN соответствует коду возврата из функции, вызванной в модуле, для которого определена строка. Он выбирается из одного из следующих: success, open_err, symbol_err, service_err, system_err, buf_err, perm_denied, auth_err, cred_insufficient, authinfo_unavail, user_unknown, maxtries, new_authtok_reqd, acct_expired, session_err, cred_unavail, cred_expired, cred_err, no_module_data, conv_err, authtok_err, authtok_recover_err, authtok_lock_busy, authtok_disable_aging, try_again, ignore, abort, authtok_expired, module_unknown, bad_item, conv_again, incomplete, и default.

       Последнее из них, default, подразумевает "все valueN, которые не указаны явно". Обратите внимание, полный список ошибок PAM доступен в /usr/include/security/_pam_types.h. ActionN может принимать одну из следующих форм:

       ignore
	   при использовании со стеком модулей статус возврата модуля не будет вносить вклад в код возврата, получаемый приложением.

       bad
	   это действие указывает, что код возврата следует рассматривать как указывающий на неудачу модуля. Если этот модуль является первым в стеке, потерпевшим неудачу, его значение статуса будет использовано для всего стека. Это действие по умолчанию для всех кодов возврата.

       die
	   эквивалентно bad с дополнительным эффектом завершения стека модулей и немедленного возврата PAM к приложению.

       ok
	   это говорит PAM, что администратор считает, что этот код возврата должен напрямую вносить вклад в код возврата полного стека модулей. Другими словами, если предыдущее состояние стека привело бы к возврату PAM_SUCCESS, код возврата модуля переопределит это значение. Обратите внимание, если предыдущее состояние стека содержит значение, указывающее на неудачу модуля, это значение 'ok' не будет использовано для переопределения того значения.

       done
	   эквивалентно ok с дополнительным эффектом завершения стека модулей и немедленного возврата PAM к приложению, если ранее не было непроигнорированной неудачи модуля.

       N (целое беззнаковое число)
	   перейти через следующие N модулей в стеке. Обратите внимание, что N, равное 0, не допускается; в таком случае оно будет обработано как ignore. Дополнительный эффект зависит от вызова функции PAM: для pam_authenticate, pam_acct_mgmt, pam_chauthtok и pam_open_session это ignore; для pam_setcred и pam_close_session это одно из ignore, ok или bad в зависимости от значения возврата модуля.

       reset
	   очистить всю память о состоянии стека модулей и начать заново с следующего модуля в стеке.

       Если действие для кода возврата не определено явно с помощью токена valueN и значение default не указано, действие для этого кода возврата по умолчанию будет bad.

       Каждое из четырех ключевых слов: required; requisite; sufficient; и optional, имеет эквивалентное выражение в синтаксисе [...]. Они следующие:

       required
	   [success=ok new_authtok_reqd=ok ignore=ignore default=bad]

       requisite
	   [success=ok new_authtok_reqd=ok ignore=ignore default=die]

       sufficient
	   [success=done new_authtok_reqd=done default=ignore]

       optional
	   [success=ok new_authtok_reqd=ok default=ignore]

       module-path — это либо полный путь к файлу PAM, который будет использоваться приложением (он начинается с `/`), либо относительный путь от каталога модулей по умолчанию: /lib/security/ или /lib64/security/, в зависимости от архитектуры.

       module-arguments — это разделенный пробелами список токенов, которые могут использоваться для изменения конкретного поведения данного PAM. Такие аргументы документированы для каждого индивидуального модуля. Обратите внимание, если вы хотите включить пробелы в аргументе, вы должны заключить этот аргумент в квадратные скобки.

	       squid auth required pam_mysql.so user=passwd_query passwd=mada \
		     db=eminence [query=select user_name from internet_service \
		     where user_name='%u' and password=PASSWORD('%p') and \
		   service='web_proxy']


       При использовании этой конвенции вы можете включать символы `[` внутри строки, и если вы хотите включить символ `]` внутри строки, который переживет разбор аргументов, вы должны использовать `\]`. Другими словами:

	       [..[..\]..]    -->   ..[..]..


       Любая строка в (одном из) файлов конфигурации, которая отформатирована неправильно, как правило, приведет (с оглядкой на осторожность) к неудаче процесса аутентификации. Соответствующая ошибка записывается в системные файлы журнала с вызовом syslog(3).

       Более гибким, чем один файл конфигурации, является настройка libpam через содержимое каталогов pam.d. В этом случае каталоги заполнены файлами, каждый из которых имеет имя файла, равное имени службы (в нижнем регистре): это личный файл конфигурации для данной службы.

       Предоставляемые производителем файлы конфигурации PAM могут быть установлены в системном каталоге /usr/lib/pam.d/ или в configurable каталоге, специфичном для производителя, вместо каталога конфигурации машины /etc/pam.d/. Если файл конфигурации машины не найден, используется файл, предоставленный производителем. Все файлы в /etc/pam.d/ переопределяют файлы с одинаковыми именами в других каталогах.

       Синтаксис каждого файла в pam.d аналогичен синтаксису файла /etc/pam.conf и состоит из строк следующего вида:

	   type	 control  module-path  module-arguments


       Единственное отличие — отсутствие имени службы. Имя службы, конечно, является именем данного файла конфигурации. Например, /etc/pam.d/login содержит конфигурацию для службы login.

FILES
       /etc/pam.conf
	   файл конфигурации

       /etc/pam.d
	   каталог конфигурации Linux-PAM. В общем, если этот каталог присутствует, файл /etc/pam.conf игнорируется.

       /usr/lib/pam.d
	   каталог конфигурации Linux-PAM от производителя. Файлы в /etc/pam.d переопределяют файлы с одинаковыми именами в этом каталоге.

SEE ALSO
       pam(3), PAM(8), pam_start(3)



Linux-PAM			  05/12/2025			   PAM.CONF(5)

PAM_FAILLOCK(8)		       Руководство по Linux-PAM		       PAM_FAILLOCK(8)



NAME
       pam_faillock - Модуль подсчета неудачных попыток аутентификации в указанный интервал

SYNOPSIS
       auth ... pam_faillock.so {preauth|authfail|authsucc}
				[conf=/path/to/config-file]
				[dir=/path/to/tally-directory]
				[even_deny_root] [deny=n] [fail_interval=n]
				[unlock_time=n] [root_unlock_time=n]
				[admin_group=name] [audit] [silent]
				[no_log_info]

       account ... pam_faillock.so [dir=/path/to/tally-directory]
				   [no_log_info]

DESCRIPTION
       Этот модуль поддерживает список неудачных попыток аутентификации для каждого пользователя в указанный интервал и блокирует учетную запись в случае, если было больше, чем deny, последовательных неудачных аутентификаций.

       Обычно неудачные попытки аутентификации root не приведут к блокировке учетной записи root, чтобы предотвратить отказ в обслуживании: если вашим пользователям не предоставлены shell-аккаунты и root может войти только через su или на консоли машины (не через telnet/rsh и т.д.), это безопасно.

OPTIONS
       {preauth|authfail|authsucc}
	   Этот аргумент должен быть установлен в соответствии с позицией этого экземпляра модуля в стеке PAM.

	   Аргумент preauth должен использоваться, когда модуль вызывается до модулей, запрашивающих учетные данные пользователя, таких как пароль. Модуль просто проверяет, должен ли пользователь быть заблокирован от доступа к службе в случае аномального количества недавних последовательных неудачных попыток аутентификации. Этот вызов является необязательным, если используется authsucc.

	   Аргумент authfail должен использоваться, когда модуль вызывается после модулей, определяющих исход аутентификации, и аутентификация не удалась. Если пользователь уже не заблокирован из-за предыдущих неудач аутентификации, модуль запишет неудачу в соответствующий файл подсчета пользователя.

	   Аргумент authsucc должен использоваться, когда модуль вызывается после модулей, определяющих исход аутентификации, и аутентификация удалась. Если пользователь уже не заблокирован из-за предыдущих неудач аутентификации, модуль очистит запись неудач в соответствующем файле подсчета пользователя. В противном случае он вернет ошибку аутентификации. Если этот вызов не выполнен, pam_faillock не сможет отличить последовательные от не последовательных неудачных попыток аутентификации. В таком случае должен использоваться вызов preauth. Из-за осложнений в настройке стека PAM также возможно вызывать pam_faillock как модуль account. В такой конфигурации модуль также должен вызываться на этапе preauth.

       conf=/path/to/config-file
	   Использовать другой файл конфигурации вместо значения по умолчанию /etc/security/faillock.conf.

       Опции для настройки поведения модуля описаны в руководстве faillock.conf(5). Опции, указанные в командной строке модуля, переопределяют значения из файла конфигурации.

MODULE TYPES PROVIDED
       Предоставляются типы модулей auth и account.

RETURN VALUES
       PAM_AUTH_ERR
	   Указан недопустимый вариант, модулю не удалось получить имя пользователя, не найден допустимый файл счетчика или слишком много неудачных входов.

       PAM_BUF_ERR
	   Ошибка буфера памяти.

       PAM_CONV_ERR
	   Метод разговора, предоставленный приложением, не смог получить имя пользователя.

       PAM_INCOMPLETE
	   Метод разговора, предоставленный приложением, вернул PAM_CONV_AGAIN.

       PAM_SUCCESS
	   Все прошло успешно.

       PAM_IGNORE
	   Пользователь не найден в базе данных passwd.

NOTES
       Настройка опций в командной строке модуля не рекомендуется. Вместо этого следует использовать /etc/security/faillock.conf.

       Настройка pam_faillock в стеке PAM отличается от настройки модуля pam_tally2.

       Индивидуальные файлы с записями неудач создаются как принадлежащие пользователю. Это позволяет модулю pam_faillock.so работать корректно, когда он вызывается из заставки.

       Обратите внимание, что использование модуля в preauth без опции silent в /etc/security/faillock.conf или с полем контроля requisite раскрывает информацию о наличии или отсутствии учетной записи пользователя в системе, поскольку неудачи не фиксируются для неизвестных пользователей. Сообщение о блокировке учетной записи никогда не отображается для несуществующих учетных записей, что позволяет злоумышленнику сделать вывод, что определенная учетная запись не существует в системе.

EXAMPLES
       Вот два возможных примера конфигурации для /etc/pam.d/login. Они заставляют pam_faillock блокировать учетную запись после 4 последовательных неудачных входов в течение интервала по умолчанию 15 минут. Учетная запись root также будет заблокирована. Учетные записи будут автоматически разблокированы через 20 минут.

       В первом примере модуль вызывается только в фазе auth, и модуль не выводит никакой информации о блокировке учетной записи pam_faillock. Вызов preauth можно добавить, чтобы сообщить пользователям, что их входы заблокированы модулем, и также прервать аутентификацию, не запрашивая пароль в таком случае.

       Пример файла /etc/security/faillock.conf:

	   deny=4
	   unlock_time=1200
	   silent


       Пример файла /etc/pam.d/config:

	   auth	    required	   pam_securetty.so
	   auth	    required	   pam_env.so
	   auth	    required	   pam_nologin.so
	   # необязательно вызвать: auth requisite pam_faillock.so preauth
	   # чтобы отобразить сообщение о блокировке учетной записи
	   auth	    [success=1 default=bad] pam_unix.so
	   auth	    [default=die]  pam_faillock.so authfail
	   auth	    sufficient	   pam_faillock.so authsucc
	   auth	    required	   pam_deny.so
	   account  required	   pam_unix.so
	   password required	   pam_unix.so shadow
	   session  required	   pam_selinux.so close
	   session  required	   pam_loginuid.so
	   session  required	   pam_unix.so
	   session  required	   pam_selinux.so open


       Во втором примере модуль вызывается как в фазе auth, так и в фазе account, и модуль информирует аутентифицирующегося пользователя о блокировке учетной записи, если опция silent не указана в faillock.conf.

	   auth	    required	   pam_securetty.so
	   auth	    required	   pam_env.so
	   auth	    required	   pam_nologin.so
	   auth	    required	   pam_faillock.so preauth
	   # необязательно использовать requisite выше, если вы не хотите запрашивать пароль
	   # для заблокированных учетных записей
	   auth	    sufficient	   pam_unix.so
	   auth	    [default=die]  pam_faillock.so authfail
	   auth	    required	   pam_deny.so
	   account  required	   pam_faillock.so
	   # если вы удалите вышеуказанный вызов pam_faillock.so, блокировка будет происходить также
	   # для не последовательных неудач аутентификации
	   account  required	   pam_unix.so
	   password required	   pam_unix.so shadow
	   session  required	   pam_selinux.so close
	   session  required	   pam_loginuid.so
	   session  required	   pam_unix.so
	   session  required	   pam_selinux.so open


FILES
       /var/run/faillock/*
	   файлы, логирующие неудачные попытки аутентификации для пользователей

	   Примечание: Эти файлы исчезнут после перезагрузки на системах, где каталог /var/run/faillock смонтирован на виртуальной памяти. Для постоянного хранения используйте опцию dir= в файле /etc/security/faillock.conf.

       /etc/security/faillock.conf
	   файл конфигурации для опций pam_faillock

SEE ALSO
       faillock(8), faillock.conf(5), pam.conf(5), pam.d(5), pam(8)

AUTHOR
       pam_faillock был написан Tomas Mraz.



[FIXME: source]			  05/12/2025		       PAM_FAILLOCK(8)