相关疑难解决方法(0)

成功配置 Kerberos 后，这是我在/etc/pam.d/common-auth文件中找到的内容：

auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_winbind.so krb5_auth krb5_ccache_type=FILE cached_login try_first_pass
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so

success=2控制值是否意味着如果pam_unix.so 失败，身份验证会跳到该auth requisite pam_deny.so行还是最后一行？

我有一个启用了基于密码的 SSH 的 FreeBSD 服务器。我想启用sudo，但我不希望潜在的攻击者成为远离 root 访问权限的密码。我目前的解决方案是使用公钥以 root 身份登录（root 的远程密码身份验证被禁用），我的普通用户不在轮子上，sudo也没有安装。

过去，我使用一次性密码进行 sudo 访问（我可以公开密钥进入系统，但是 sudo 需要一个 OTP，并且有 30 分钟的超时时间让我真正完成工作，而无需重新验证所有时间）。然而，这相当麻烦，至少对于 OPIE/S/Key。使用硬件令牌可能没问题，但目前我没有。

我一直在寻找可以让我通过代理转发使用 SSH 公钥对 sudo 进行身份验证的东西。 pam_sshFreeBSD 中包含的似乎没有这样做——它只是通过查看用户是否可以解密服务器上的私钥来进行身份验证。我找到了pam_ssh_agent_auth，但我在其他地方很少找到对它的引用。它现在是 0.9，但我有点犹豫是否信任根到程序的网关，我找不到很多人实际使用的证据。

所以，我的问题基本上是2：

1. 是pam_ssh_agent_auth用在野外可靠吗？
2. 是否有另一个很好的解决方案来启用 sudo 同时仍然有超过登录密码的障碍？我曾想过使用 sudo 访问权限和无密码身份验证的第二个帐户，但这似乎也有些麻烦。