ldd /usr/bin/login | grep libpam

最常用的四个关键字：

• required — 模块 必须 成功。如果失败，不立即返回错误，而是继续执行后续同类型模块，但最终结果为失败。这样设计是为了避免攻击者探测系统配置。
• requisite — 类似 required ，但模块失败时 立即 返回失败，不再执行后续模块。
• sufficient — 如果此模块成功，且之前所有 required 模块也都成功，则 立即 返回成功，跳过后续模块。如果此模块失败，不影响最终结果（忽略失败）。
• optional — 模块的成功或失败通常不影响最终结果，只有在它是该类型下唯一模块时才有决定权。

required:  失败 → 继续执行 → 最终返回失败
requisite: 失败 → 立即返回失败
sufficient: 成功 → 立即返回成功（前提：之前的 required 都成功了）
optional:  无论成败 → 不影响结果

还有两个特殊关键字 include 和 substack ，用于引入其他配置文件中的同类型规则。

除了上面的关键字，还可以用方括号语法更精细地控制行为：

session  [success=1 default=ignore]  pam_succeed_if.so service !~ gdm* quiet

方括号内的含义是：

• success=1 — 如果模块成功，跳过接下来 1 条规则
• default=ignore — 对于其他所有返回值，忽略该模块的结果

常用的 action 有：

简单关键字可以用方括号语法等价表达：

假设你想禁止某些用户通过 SSH 登录系统。可以使用 pam_listfile.so 模块，它可以根据一个文件中的列表来允许或拒绝用户。

编辑 /etc/pam.d/sshd ，在文件开头（其他 auth 规则之前）添加：

auth  required  pam_listfile.so \
      onerr=succeed  item=user  sense=deny  file=/etc/ssh/deniedusers

参数说明：

• onerr=succeed — 如果文件不存在或读取出错，允许登录（安全兜底）
• item=user — 检查用户名
• sense=deny — 如果用户名在文件中，则 拒绝
• file=/etc/ssh/deniedusers — 指定黑名单文件路径

然后创建黑名单文件，每行一个用户名：

sudo tee /etc/ssh/deniedusers <<EOF
baduser
hacker
EOF
sudo chmod 600 /etc/ssh/deniedusers

pam_nologin.so 模块可以在系统维护期间阻止非 root 用户登录。当 /etc/nologin 文件存在时，只有 root 能登录，其他用户会看到文件内容作为提示信息。

echo "系统维护中，预计 18:00 恢复" | sudo tee /etc/nologin

这个模块通常已经在 /etc/pam.d/login 中配置好了：

account  required  pam_nologin.so

如果想彻底禁止 root 通过控制台登录，可以用 pam_securetty.so 模块。它只允许 root 从 /etc/securetty 中列出的终端登录：

auth  required  pam_securetty.so

编辑 /etc/securetty ，只保留允许 root 登录的终端即可。

pam_time.so 模块可以根据时间、日期、用户和服务来限制登录。非常适合用来控制儿童使用电脑的时间。

首先，在需要限制的服务配置中添加 pam_time.so 。以 login 为例，编辑 /etc/pam.d/login ，在 account 规则区域添加：

account  required  pam_time.so

然后编辑 /etc/security/time.conf ，添加时间规则。规则的语法是：

services;ttys;users;times

四个字段用分号分隔，含义分别是：服务名、终端、用户、时间段。

时间段中的日期用两个字母表示： Mo （周一）、 Tu （周二）、 We （周三）、 Th （周四）、 Fr （周五）、 Sa （周六）、 Su （周日）、 Wk （工作日）、 Wd （周末）、 Al （每天）。时间格式为 24 小时制的 HHMM-HHMM 。

假设用户 child 只能在工作日的 18:00-21:00 和周末的 08:00-21:00 登录：

login ; * ; child ; Wk1800-2100 | Wd0800-2100

解释：

• login — 作用于 login 服务
• * — 所有终端
• child — 仅限制用户 child
• Wk1800-2100 | Wd0800-2100 — 工作日 18:00-21:00，或周末 08:00-21:00

如果还想限制 SSH 登录，可以再加一条：

sshd ; * ; child ; Wk1800-2100 | Wd0800-2100

注意： pam_time.so 只控制 登录时刻 ，不会在时间到期后强制结束已有会话。如果需要强制下线，还需要配合其他手段（如 timeout 命令或 cron 任务）。