Нужна помощь по аутентификатору google на ubuntu

У меня Ubuntu 20.04.3 LTS, где я успешно установил аутентификатор Google для аутентификации MFA, теперь мне нужна помощь на этапах аутентификации, моя цель такова:

1. Если у пользователя нет ssh-ключа, то при подключении по SSH пользователь должен сначала ввести свой пароль, а затем ввести ключ подтверждения Google, чтобы получить доступ к системе.

2. Если у пользователя есть ssh-ключ, то пароль вводить не нужно, но нужно ввести ключ подтверждения Google.

Теперь это возможно, если да, то какие настройки мне нужно сделать в /etc/ssh/sshd_config и /etc/pam.d/sshd

Вот мой существующий /etc/pam.d/sshd конфигурация

# Стандартное обновление пароля Un*x.
@include общий пароль

# Стандартная аутентификация Un*x.
@include общая аутентификация

# Стандартная аутентификация Un*x.
требуется авторизация pam_google_authenticator.so nullok user=root secret=/root/totp/${USER}
требуется авторизация pam_permit.so

А вот /etc/ssh/sshd_config файл

ВызовОтветАутентификация да
ИспользоватьPAM да
PubkeyAuthentication да
Файл авторизованных ключей .ssh/authorized_keys
Разрешить RootLogin да
ПарольАутентификация нет
Методы аутентификации с открытым ключом, интерактивной клавиатурой

Предполагая, что у вас все установлено правильно, т.е. Установлено с:

sudo apt-get установить libpam-google-authenticator

И получил код с

Google-аутентификатор

И есть код в вашей домашней папке по адресу

лс /home/$USER/.google_authenticator

Затем вы должны добавить следующие две строки в ваш файл /etc/pam.d/sshd.

...

# Стандартное обновление пароля Un*x.
@include общий пароль
требуется авторизация pam_google_authenticator.so
требуется авторизация pam_permit.so

...

Или если вы хотите, чтобы MFA был необязательным для некоторых пользователей

...

# Стандартное обновление пароля Un*x.
@include общий пароль
требуется авторизация pam_google_authenticator.so nullok
требуется авторизация pam_permit.so

...

В вашем файле /etc/ssh/sshd_config измените:

ВызовОтветАутентификация да

Затем:

sudo systemctl перезапустить sshd.service

При тестировании не убивайте ваше ssh-соединение запустите новый, если вы настроите неправильно, вы можете быть заблокированы