pam是动态可插拔认证接口规范，分为auth、account、password、session四栈；配置位于/etc/pam.d/，集成totp需追加模块并启用challengeresponseauthentication；支持多因子条件加载与失败策略控制；调试需启用debug并查看auth.log。
理解PAM的核心架构与模块类型
PAM（Pluggable Authentication Modules）不是单一程序，而是一套动态可插拔的认证接口规范。它把认证过程拆解为四个独立功能栈：auth（验证用户身份，如密码检查）、account（授权控制，如账号过期、时间限制）、password（密码修改逻辑）、session（会话建立/清理，如日志记录、环境设置）。每个栈可叠加多个模块，按顺序执行，通过[success=ok default=bad]等控制标志决定是否继续或中断流程。
定位并修改PAM配置文件
系统级配置在/etc/pam.conf（旧式单文件），但现代发行版普遍采用/etc/pam.d/目录下的服务粒度配置，如sshd、login、sudo。修改前务必备份，并用pam_authenticate()调试工具或sshd -t验证语法。关键原则：多因子应在auth栈中**追加**模块，而非替换原有密码验证；避免在required后使用sufficient导致跳过必要检查。
集成TOTP（基于时间的一次性密码）
以libpam-google-authenticator为例：
- 用户运行
google-authenticator生成密钥和二维码，保存~/.google_authenticator - 在
/etc/pam.d/sshd中添加一行：auth [success=ok new_authtok_reqd=ok default=ignore] pam_google_authenticator.so secret=/home/${USER}/.google_authenticator - 确保
ChallengeResponseAuthentication yes在/etc/ssh/sshd_config中启用，并重启sshd - 注意：该模块默认要求同时输入密码+TOTP码（空格分隔），若需强制双因素，应将原
pam_unix.so行设为requisite，再接sufficient的TOTP模块
组合多种因子并控制失败策略
真实场景常需“密码 + 硬件令牌 + 生物特征”组合。PAM支持条件加载，例如：
- 用
pam_succeed_if.so判断用户组：auth [success=1 default=ignore] pam_succeed_if.so user ingroup mfa-required，仅对特定组启用第二因子 - 用
pam_faildelay.so delay=3000000在失败后延迟3秒，防暴力枚举 - 结合
pam_tally2.so锁定账户：auth [default=die] pam_tally2.so deny=5 unlock_time=900，5次失败锁15分钟 - 若集成YubiKey，可用
pam_yubico.so校验OTP，配合id=your_client_id和key=your_api_key调用Yubico云验证服务
调试与审计必须做
PAM错误不报具体原因，只返回通用失败码。开启调试的关键步骤：
- 在模块参数中加
debug，如pam_google_authenticator.so debug - 查看
/var/log/auth.log或journalctl -u sshd -f实时跟踪认证事件 - 用
strace -e trace=openat,read -p $(pgrep sshd)观察PAM模块加载路径 - 测试时先用非root账户+备用终端登录，避免锁死自己
