#=============================
# ■ PAM設定と認証確認テスト
#-----------------------------
#【設定】以下のファイルに設定する
# /etc/pam.d/system-auth、/etc/pam.d/password-auth
#-----------------------------
#-----------------------------
#【auth セクション】
# ⇒以下の★行を２個追記
#-----------------------------
auth required pam_env.so
auth required pam_faildelay.so delay=2000000
auth [default=1 ignore=ignore success=ok] pam_usertype.so isregular
auth [default=1 ignore=ignore success=ok] pam_localuser.so
auth sufficient pam_unix.so nullok try_first_pass
auth [default=1 ignore=ignore success=ok] pam_usertype.so isregular
auth sufficient pam_sss.so forward_pass
★ auth required pam_faillock.so preauth silent audit deny=3 unlock_time=0
★ auth [success=1 default=bad] pam_unix.so
★ auth [default=die] pam_faillock.so authfail audit deny=3 unlock_time=0
★ auth sufficient pam_faillock.so authsucc audit deny=3 unlock_time=0
auth required pam_deny.so
#-----------------------------
#【account セクション】
# ⇒以下の★行を１個追記
#-----------------------------
account required pam_unix.so
★ account required pam_faillock.so
account sufficient pam_localuser.so
account sufficient pam_usertype.so issystem
account [default=bad success=ok user_unknown=ignore] pam_sss.so
account required pam_permit.so
#-----------------------------
#【password セクション】
#-----------------------------
★ password requisite pam_pwquality.so try_first_pass retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 enforce_for_root
## password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 enforce_for_root
★ password sufficient pam_unix.so sha512 shadow nullok remember=5 try_first_pass use_authtok enforce_for_root
## password required pam_pwhistory.so sha512 shadow nullok remember=5 try_first_pass use_authtok enforce_for_root
password sufficient pam_sss.so use_authtok
password required pam_deny.so
#-----------------------------
#【session セクション】
#-----------------------------
session optional pam_keyinit.so revoke
session required pam_limits.so
-session optional pam_systemd.so
session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session required pam_unix.so
session optional pam_sss.so
#=============================
# ■ テスト用ユーザー作成（認証ロック）
#-----------------------------
useradd pamtest
passwd pamtest
⇒ Unixp@ssw0rd
#-----------------------------
# 認証ログイン状態確認（失敗無し）
faillock
faillock --user pamtest
#-----------------------------
# ※わざと３回パスワード入力間違えて認証ロックさせる
su - pamtest
#-----------------------------
# 認証ログイン状態確認（３回失敗している）
faillock
faillock --user pamtest
#-----------------------------
# 認証ロックを手動解除
faillock --user pamtest --reset
#-----------------------------
# 認証ログイン状態確認（リセットされている）
faillock
faillock --user pamtest
