Xác thực khóa công khai SSH bằng trình xác thực google vẫn yêu cầu mật khẩu

Tôi đang cố bật 2FA bằng ssh bằng libpam-google-authenticator. Không phải tất cả người dùng đều cần bật trình xác thực. Mọi người đều sử dụng khóa công khai ssh và không ai có mật khẩu. Tôi đang chạy Debian buster và tôi cũng đã thử libpam-google-authenticator từ bullseye.

Vấn đề của tôi là bất kể tôi đặt gì trong cấu hình PAM, người dùng không bật trình xác thực sẽ không bao giờ đăng nhập trực tiếp mà luôn bị yêu cầu nhập mật khẩu.

Tôi đã cài đặt libpam-google-authenticator và định cấu hình /etc/ssh/sshd_config với:

Mật khẩu Xác thực không
ChallengeResponseXác thực có
AuthenticationMethods khóa công khai, bàn phím tương tác
Mật khẩu Xác thực không
Giấy phépEmptyMật khẩu không

Tôi chưa thể tìm ra cấu hình PAM chính xác để người dùng không có tệp .google_authenticator vẫn đăng nhập. Tùy thuộc vào những gì tôi sử dụng, người dùng được nhắc nhập mật khẩu (họ không có mật khẩu) hoặc không được phép vào cả.

Trong /etc/pam.d/sshd tôi đã thử (như thế này Đang cố gắng lấy SSH bằng khóa chung (không có mật khẩu) + trình xác thực google hoạt động trên Ubuntu 14.04.1):

#@bao gồm xác thực chung
yêu cầu xác thực pam_google_authenticator.so gỡ lỗi nullok

Trong trường hợp này, người dùng không có thiết lập trình xác thực sẽ bị từ chối với lần gỡ lỗi sau;

Ngày 05 tháng 8 15:11:18 <host> sshd(pam_google_authenticator)[746624]: gỡ lỗi: bắt đầu google_authenticator cho "<user>"
Ngày 05 tháng 8 15:11:18 <host> sshd(pam_google_authenticator)[746624]: gỡ lỗi: kết thúc google_authenticator cho "<user>" Kết quả: Giá trị trả về phải được bỏ qua bởi công văn PAM
ngày 05 tháng 8 15:11:18 <máy chủ> sshd[746620]: lỗi: PAM: Quyền bị từ chối đối với <người dùng> từ <IP>

Là pam_permit là cần thiết để thiết lập trường hợp dự phòng?

Tôi cũng đã thử nhiều cách kết hợp khác nhau yêu cầu xác thực và xác thực đủ trước và sau @include chung-auth nhưng tất cả đều dẫn đến việc người dùng không có trình xác thực được yêu cầu nhập mật khẩu và đôi khi người dùng CÓ trình xác thực cũng được yêu cầu nhập mật khẩu.

Có ai có một công thức để làm cho công việc này?

Tôi không nghĩ rằng bạn cần hoặc muốn bình luận về @include chung-auth. Hoặc ít nhất là tôi đã không làm và nó dường như hoạt động chính xác. Nhưng tôi vẫn chủ yếu thử nghiệm điều này.

Có ai có một công thức để làm cho công việc này?

Không có thời gian để dịch nó sang tập lệnh shell cho bạn, nhưng đây là đoạn trích của một vở kịch ansible có vẻ phù hợp với tôi.Tôi nghi ngờ bạn sẽ có thể làm theo những gì nó đang làm ngay cả khi bạn không sử dụng ansible.

- máy chủ: linux_systems
  nhiệm vụ:

  - tên: Thêm nhóm 'totp'
    tập đoàn:
      tên: totp
      trạng thái: hiện tại
      hệ thống: có

  - name: Tạo thư mục bí mật totp
    tập tin:
      trạng thái: thư mục
      đường dẫn: /var/lib/google-authenticator
      chủ sở hữu: "0"
      nhóm: "0"
      chế độ: "0700"

  - tên: cài đặt libpam-google-authenticator
    đúng cách:
      update_cache: có
      cache_valid_time: '{{ apt_cache_valid_time | mặc định (7200) }}'
      trạng thái: hiện tại
      Tên:
      - libpam-google-xác thực

  - tên: Tạo bí mật cho 'người dùng ví dụ'
    lập luận:
      tạo: /var/lib/google-authenticator/example-user
    vỏ: |
      TOTP_USER=ví dụ-người dùng; \
      trình xác thực google \
        --force --quiet \
        --emergency-codes=10 \
        --dựa trên thời gian \
        --qr-mode=none \
        --allow-tái sử dụng \
        --window-size=3 \
        --rate-limit=4 --rate-time=30 \
        --secret=/var/lib/google-authenticator/${TOTP_USER}

  - tên: cập pam
    tập tin dòng:
      insertafter: '^@bao gồm mật khẩu chung'
      đường dẫn: /etc/pam.d/login
      dòng: 'yêu cầu xác thực pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}'

  - tên: cập pam
    tập tin dòng:
      insertafter: '^@bao gồm mật khẩu chung'
      đường dẫn: /etc/pam.d/sshd
      dòng: 'yêu cầu xác thực pam_google_authenticator.so nullok user=root secret=/var/lib/google-authenticator/${USER}'

  - tên: cập nhật sshd ChallengeResponseAuthentication
    thông báo: Khởi động lại sshd
    tập tin dòng:
      đường dẫn: /etc/ssh/sshd_config
      regexp: '^ChallengeResponseAuthentication .*'
      dòng: 'ChallengeResponseAuthentication có'

  xử lý:

  - tên: Khởi động lại sshd
    dịch vụ:
      tên: sshd
      trạng thái: khởi động lại