Аутентификация с открытым ключом SSH с помощью аутентификатора Google по-прежнему запрашивает пароль

Я пытаюсь включить 2FA с помощью ssh, используя libpam-google-authenticator. Не всем пользователям требуется включенный аутентификатор. Все используют открытые ключи ssh, и ни у кого нет пароля. Я использую Debian buster, а также пробовал libpam-google-authenticator от Bullseye.

Моя проблема в том, что независимо от того, что я добавляю в конфигурацию PAM, пользователи без включенного аутентификатора никогда не входят в систему напрямую, но всегда запрашивают пароль.

Я установил libpam-google-authenticator и настроил /etc/ssh/sshd_config с помощью:

ПарольАутентификация нет
ВызовОтветАутентификация да
Методы аутентификации с открытым ключом, интерактивной клавиатурой
ПарольАутентификация нет
PermitEmptyPasswords нет

Мне не удалось разработать правильную конфигурацию PAM, чтобы пользователи без файла .google_authenticator по-прежнему входили в систему. В зависимости от того, что я использую, пользователям либо предлагается ввести пароль (у них его нет), либо нет. пустили вообще.

В /etc/pam.d/sshd я пробовал (вот так Попытка получить SSH с открытым ключом (без пароля) + аутентификатор Google работает на Ubuntu 14.04.1):

#@include общая аутентификация
требуется авторизация pam_google_authenticator.so отладка nullok

В этом случае пользователи без настройки аутентификатора будут отклонены со следующей отладкой;

05 августа, 15:11:18 <хост> sshd(pam_google_authenticator)[746624]: отладка: запуск google_authenticator для "<user>"
05 августа 15:11:18 <хост> sshd(pam_google_authenticator)[746624]: отладка: конец google_authenticator для "<user>" Результат: возвращаемое значение должно игнорироваться диспетчером PAM
05 августа 15:11:18 <хост> sshd[746620]: ошибка: PAM: разрешение отклонено для <пользователя> с <IP>

Является pam_permit необходимо настроить резервный случай?

Я также пробовал различные комбинации требуется авторизация и достаточно авторизации до и после @include общая аутентификация но все они приводят к тому, что у пользователей без аутентификатора запрашивается пароль, а иногда у пользователей с аутентификатором также запрашивается пароль.

У кого-нибудь есть рецепт, как заставить это работать?

Я не думаю, что вам нужно или хотите комментировать @include общая аутентификация. Или, по крайней мере, я этого не делал, и это, казалось, работало правильно. Но я все еще в основном тестирую это.

У кого-нибудь есть рецепт, как заставить это работать?

У меня нет времени переводить его для вас в сценарий оболочки, но это отрывок из ansible playbook, который, похоже, работает для меня.Я подозреваю, что вы должны быть в состоянии следить за тем, что это делает, даже если вы не используете ansible.

- хосты: linux_systems
  задачи:

  - имя: Добавить группу «totp»
    группа:
      имя: топп
      состояние: присутствует
      система: да

  - имя: Создать каталог для секретов totp
    файл:
      состояние: каталог
      путь: /var/lib/google-authenticator
      владелец: "0"
      группа: "0"
      режим: "0700"

  - имя: установить libpam-google-authenticator
    подходящий:
      update_cache: да
      cache_valid_time: '{{ apt_cache_valid_time | по умолчанию (7200) }}'
      состояние: присутствует
      имя:
      - libpam-google-аутентификатор

  - имя: Создать секрет для «пользователя-примера»
    аргументы:
      создает: /var/lib/google-authenticator/example-user
    оболочка: |
      TOTP_USER=пример пользователя; \
      гугл-аутентификатор \
        --force --quiet\
        --аварийные коды=10 \
        --на основе времени \
        --qr-mode=нет \
        --разрешить повторное использование \
        --размер окна=3 \
        --rate-limit=4 --rate-time=30 \
        --secret=/var/lib/google-authenticator/${TOTP_USER}

  - имя: обновить пэм
    линейный файл:
      вставить после: '^@включить общий-пароль'
      путь: /etc/pam.d/логин
      строка: 'Требуется аутентификация pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}'

  - имя: обновить пэм
    линейный файл:
      вставить после: '^@включить общий-пароль'
      путь: /etc/pam.d/sshd
      строка: 'Требуется аутентификация pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}'

  - имя: обновить sshd ChallengeResponseAuthentication
    уведомить: перезапустить sshd
    линейный файл:
      путь: /etc/ssh/sshd_config
      регулярное выражение: '^ChallengeResponseAuthentication .*'
      строка: 'ChallengeResponseAuthentication yes'

  обработчики:

  - имя: Перезапустить sshd
    оказание услуг:
      имя: сшд
      состояние: перезапущен