sshd_config 的 UsePAM 介绍

UsePAM 是 OpenSSH 服务器（sshd）配置文件 /etc/ssh/sshd_config 中的一个参数，用于控制 SSH 服务是否启用 PAM（Pluggable Authentication Modules，可插拔认证模块）。

🔍 PAM 是什么？

PAM 是 Linux/Unix 系统中一种灵活的认证机制框架。它允许系统管理员通过配置文件来定义不同服务（如 login、su、sshd 等）如何对用户进行身份验证、授权、会话管理等，而无需修改应用程序本身的代码。

例如，PAM 可以实现：

• 密码复杂度检查
• 登录失败次数限制（配合 pam_tally2 或 pam_faillock）
• 使用 LDAP、Kerberos、双因素认证等外部认证方式
• 登录时执行自定义脚本（如记录日志、发送通知）

📌 UsePAM yes 的作用

当在 /etc/ssh/sshd_config 中设置：

UsePAM yes

表示 SSH 服务将使用 PAM 框架来处理用户的认证、账户管理和会话建立等流程。

这意味着：

• 用户登录时，除了 SSH 自身的密钥或密码验证外，还会经过 PAM 配置（通常位于 /etc/pam.d/sshd）中定义的策略。
• 可以集成更复杂的认证逻辑（比如必须同时输入密码和 OTP 动态令牌）。
• 能更好地与系统安全策略集成（如 SELinux、审计日志、登录限制等）。

⚠️ 注意：如果 UsePAM yes，但 /etc/pam.d/sshd 配置错误，可能导致无法登录！建议修改前备份，并确保有其他访问方式（如控制台）。

✅ 如何操作？

1. 编辑配置文件：

   sudo nano /etc/ssh/sshd_config
   

2. 找到或添加一行：

   UsePAM yes
   

3. 保存并退出。

4. 重启 SSH 服务（根据系统不同命令略有差异）：

   # systemd 系统（如 Ubuntu 16.04+、CentOS 7+）
   sudo systemctl restart sshd
   
   # 或者（某些发行版服务名为 ssh）
   sudo systemctl restart ssh
   

5. 验证服务状态：

   sudo systemctl status sshd
   

❓是否应该启用 UsePAM？

✅ 推荐启用，尤其是在以下情况：

• 需要强制密码策略
• 使用多因素认证（MFA）
• 集成集中认证（如 LDAP、AD）
• 需要记录详细的登录审计日志

❌ 如果你在一个高度定制或最小化环境中，且不需要 PAM 提供的额外功能，可以设为 no，但一般生产环境建议开启。