Autentificarea cu cheie publică SSH cu Google Authenticator solicită încă parola

Încerc să activez 2FA cu ssh folosind libpam-google-authenticator. Nu toți utilizatorii au nevoie de autentificare activat. Toată lumea folosește chei publice ssh și nimeni nu are o parolă. Rulez Debian buster și am încercat și libpam-google-authenticator de la bullseye.

Problema mea este că indiferent ce am pus în configurația PAM, utilizatorii fără autentificatorul activat nu sunt niciodată autentificați direct, ci întotdeauna li se solicită o parolă.

Am instalat libpam-google-authenticator și am configurat /etc/ssh/sshd_config cu:

PasswordAuthentication nr
ChallengeResponseAuthentication da
AuthenticationMethods cheie publică, tastatură interactivă
PasswordAuthentication nr
PermitEmptyPasswords nr

Nu am reușit să elaborez configurația corectă PAM, astfel încât utilizatorii fără un fișier .google_authenticator să fie în continuare conectați. În funcție de ceea ce folosesc, utilizatorilor fie li se solicită o parolă (nu au una), fie nu permis să intre deloc.

În /etc/pam.d/sshd am încercat (așa Încercarea de a obține SSH cu cheie publică (fără parolă) + Google Authenticator care funcționează pe Ubuntu 14.04.1):

#@include common-auth
auth required pam_google_authenticator.so depanați nullok

În acest caz, utilizatorii fără o configurare de autentificare sunt respinși cu următoarea depanare;

05 august 15:11:18 <gazdă> sshd(pam_google_authenticator)[746624]: depanare: începerea google_authenticator pentru „<utilizator>”
05 august 15:11:18 <gazdă> sshd(pam_google_authenticator)[746624]: depanare: sfârșitul google_authenticator pentru „<utilizator>” Rezultat: valoarea returnată trebuie ignorată de expedierea PAM
05 august 15:11:18 <gazdă> sshd[746620]: eroare: PAM: Permisiune refuzată pentru <utilizator> de la <IP>

Este pam_permit este necesar pentru a configura cazul de rezervă?

Am incercat si diverse combinatii de autentificarea necesară și auth suficient inainte si dupa @include common-auth dar toate au ca rezultat solicitarea unei parole utilizatorilor fără autentificator și, uneori, utilizatorilor CU autentificator li se cere și o parolă.

Are cineva o rețetă pentru a face acest lucru?

Nu cred că aveți nevoie sau doriți să comentați @include common-auth. Sau cel puțin nu am făcut-o și părea să funcționeze corect. Dar încă mai mult am testat asta.

Are cineva o rețetă pentru a face acest lucru?

Nu am timp să-l traduc într-un script shell pentru tine, dar acesta este un fragment dintr-un manual de joc ansible care pare să funcționeze pentru mine.Bănuiesc că ar trebui să poți urmări ceea ce face asta chiar dacă nu folosești ansible.

- gazde: linux_systems
  sarcini:

  - nume: Adăugați grupul „totp”
    grup:
      nume: totp
      stare: prezent
      sistem: da

  - nume: Creați director pentru totp secrete
    fişier:
      stare: director
      cale: /var/lib/google-authenticator
      proprietar: "0"
      grup: "0"
      modul: "0700"

  - nume: instalează libpam-google-authenticator
    apt:
      update_cache: da
      cache_valid_time: „{{ apt_cache_valid_time | implicit(7200) }}'
      stare: prezent
      Nume:
      - libpam-google-authenticator

  - nume: creați secret pentru „utilizator-exemplu”
    argumente:
      creează: /var/lib/google-authenticator/example-user
    coajă: |
      TOTP_USER=exemplu-utilizator; \
      google-authenticator \
        --force --liniștit \
        --emergency-codes=10 \
        --bazat pe timp \
        --qr-mode=niciunul \
        --allow-reuse \
        --window-size=3 \
        --rate-limit=4 --rate-time=30 \
        --secret=/var/lib/google-authenticator/${TOTP_USER}

  - nume: update pam
    lineinfile:
      insertafter: „^@include common-password”
      cale: /etc/pam.d/login
      rând: „auth required pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}”

  - nume: update pam
    lineinfile:
      insertafter: „^@include common-password”
      calea: /etc/pam.d/sshd
      rând: „auth required pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}”

  - nume: update sshd ChallengeResponseAuthentication
    notifică: Reporniți sshd
    lineinfile:
      calea: /etc/ssh/sshd_config
      regexp: '^ChallengeResponseAuthentication .*'
      rând: „ChallengeResponseAuthentication da”

  manipulatori:

  - nume: Reporniți sshd
    serviciu:
      nume: sshd
      stare: repornit