有没有办法使用IAM作为PAM的身份验证"方法"？

Question

具体来说,运行一系列postfix,dovecot和nginx为(不是那么多)用户提供"不错"的邮件服务.所有服务共享可插入认证模块(PAM)作为可能的认证方法.目前,系统的"passwd"数据库正被用于通过PAM再次授权.

AWS身份和访问管理(IAM)是一项严格的要求.因此,任何其他服务(如duosecurity)都不是一种选择.在我开始编写PAM模块之前,我要求你的经验 - 你会怎么做？谢谢!

Answer 1

这可能不是您正在寻找的,但肯定有资格作为使用IAM作为PAM的身份验证"方法"的方法:

Denis Mikhalkin(denismo)aws-iam-ldap-bridge 定期使用AWS IAM中的用户,组和角色填充LDAP目录位置,这将允许使用libpam-ldap或libpam-ldapd,从而隐式地对Linux进行身份验证用户使用AWS IAM密钥作为密码对抗AWS IAM.

请注意以下相当重要的注意事项:

1. 目前,该插件需要自定义版本的ApacheDS,因此不太可能进行手动配置 - 请参阅配置现有的ApacheDS LDAP服务器
2. 默认配置为INSECURE,但您可以根据需要自由更改 - 请参阅安全说明

个人评估

虽然本机IAM PAM集成会很棒(并且还支持AWS多因素身份验证(MFA)等高级用例),但我喜欢实用的方法来促进广泛使用的LDAP集成 - 我仍然宁愿选择一个解决方案理想情况下,可以与任何兼容的LDAP服务器一起使用,或者至少使用库存ApacheDS发行版,以便于安装,可维护性和安全性评估.