禁用组的 PAM 模块

Question

我最近在我的 SSH 服务器上使用 google-authenticator 启用了两因素身份验证。但是我现在面临一个问题：

我的服务器上有一组不同的用户，我将其用于 SFTP，但该组不再能够登录，因为没有为组中的用户设置 2FA。是否可以禁用该组的 google-authenticator 模块？为组中的用户启用它不是一个选项，因为多个用户将使用此帐户。

PS：我用 openssh-server

Answer 1

您可以pam_succeed_if在 之前使用模块（参见手册页）pam_google_authenticator为您的组跳过这一部分：

# the other authentication methods, such as @include common-auth
auth [success=1 default=ignore] pam_succeed_if.so user ingroup group
auth required pam_google_authenticator ...