PAM - แฟล็กการควบคุมที่จำเป็นและเพียงพอ

ฉันกำลังศึกษา PAM และฉันค่อนข้างสับสนเกี่ยวกับความหมายของการรวมกันของธงควบคุม จากเอกสารของ Red Hat เรามี:

• 
  ความล้มเหลวที่จำเป็นของ PAM ดังกล่าวในที่สุดจะนำไปสู่ความล้มเหลวในการส่งคืน PAM-API แต่หลังจากโมดูลที่เหลืออยู่ (สำหรับบริการและประเภทนี้) ได้ถูกเรียกใช้

• สิ่งที่
  จำเป็นต้องมีตามต้องการอย่างไรก็ตามในกรณีที่โมดูลดังกล่าวส่งคืนความล้มเหลวการควบคุมจะถูกส่งกลับไปยังแอปพลิเคชันโดยตรง

• 
  ความสำเร็จที่เพียงพอของโมดูลดังกล่าวเพียงพอที่จะตอบสนองความต้องการการรับรองความถูกต้องของสแต็คของโมดูล (หากโมดูลที่จำเป็นก่อนหน้านี้ล้มเหลวความสำเร็จของโมดูลนี้จะถูกละเว้น) ความล้มเหลวของโมดูลนี้ไม่ถือว่าร้ายแรงถึงความพึงพอใจกับแอปพลิเคชันที่ประสบความสำเร็จในประเภทนี้ หากโมดูลสำเร็จเฟรมเวิร์ก PAM จะส่งคืนความสำเร็จให้กับแอ็พพลิเคชันทันทีโดยไม่ต้องลองโมดูลอื่น ๆ

ดังนั้นในความเข้าใจของฉันหากโมดูลrequisiteล้มเหลวสแต็กของโมดูลทั้งหมดจะไม่ถูกแยกวิเคราะห์และการควบคุมจะกลับไปที่แอปพลิเคชันทันที หากโมดูลsufficientสำเร็จโมดูลส่วนที่เหลือจะไม่ถูกแยกวิเคราะห์และการควบคุมจะกลับไปที่แอปพลิเคชันทันที หากโมดูลrequiredล้มเหลวสแต็กทั้งหมดจะถูกวิเคราะห์คำ

ตอนนี้ฉันไม่สามารถเข้าใจสิ่งที่จะเป็นพฤติกรรมเมื่อโมดูลบางอย่างrequiredล้มเหลวและโมดูลอื่นsufficientประสบความสำเร็จ

PAM ดำเนินการผ่านรายการต่างๆในสแต็กตามลำดับ มันเก็บความทรงจำของสิ่งที่อยู่ในสถานะเท่านั้น (ความสำเร็จหรือถูกปฏิเสธด้วยความสำเร็จหมายถึงความสำเร็จจนถึงตอนนี้) ไม่ใช่วิธีที่มันมาถึงสถานะนั้น

หากรายการที่ทำเครื่องหมายsufficientสำเร็จแล้วไลบรารี PAM จะหยุดการประมวลผลสแต็ก สิ่งนี้เกิดขึ้นไม่ว่าจะมีrequiredรายการก่อนหน้าหรือไม่ ณ จุดนี้ PAM จะส่งคืนสถานะปัจจุบัน: สำเร็จหากไม่มีrequiredรายการก่อนหน้านี้ล้มเหลวหรือถูกปฏิเสธ

หากรายการที่ทำเครื่องหมายว่าrequisiteล้มเหลวไลบรารี PAM จะหยุดการประมวลผลและส่งคืนความล้มเหลว ณ จุดนั้นมันไม่เกี่ยวข้องว่าrequiredรายการก่อนหน้าล้มเหลว

กล่าวอีกนัยหนึ่งrequiredไม่จำเป็นว่าจะต้องประมวลผลสแต็กทั้งหมด มันหมายถึงการไปต่อ

ในความคิดของฉันrequiredธงควบคุมต้องประสบความสำเร็จเสมอเพื่อให้โมดูลประสบความสำเร็จ

sufficientโมดูลถูกตั้งค่าสถานะจะถูกละเว้นถ้ามันล้มเหลว หากสำเร็จและไม่มีrequiredโมดูลที่ถูกตั้งค่าสถานะด้านบนล้มเหลวจะไม่มีการตรวจสอบโมดูลประเภทเดียวกันอื่น ๆ และถือว่าโมดูลประสบความสำเร็จ โดยทั่วไปแล้วrequiredธงมีลำดับความสำคัญสูงกว่าsufficientธง แต่คนหลังมีความสามารถในการหยุดการตรวจสอบส่วนที่เหลือของพวกเขาหากrequiredคนก่อนหน้าประสบความสำเร็จ

ตัวอย่าง:

1 auth       required     /lib/security/pam_nologin.so
2 auth       required     /lib/security/pam_securetty.so
3 auth       required     /lib/security/pam_env.so
4 auth       sufficient   /lib/security/pam_rhosts_auth.so
5 auth       required     /lib/security/pam_stack.so service=system-auth

หากบรรทัดที่ 1, 2, 3 และ 4 นั้นสำเร็จจะสามารถข้ามบรรทัด 5 และโมดูลauthได้สำเร็จ หากบรรทัดที่ 4 ไม่สำเร็จจะถูกละเว้นและตรวจสอบบรรทัดที่ 5 หากบรรทัดใดบรรทัดหนึ่ง 1, 2, 3 ล้มเหลวบรรทัดที่ 4 จะไม่นำมาพิจารณา