Dotaz: Nastavení sshd_config, v match user potlačit přihlašování heslem

[Šangala]

Pokud mám sshd konfigurováno na používání PAM (OpenSuse 11.x)

ChallengeResponseAuthentication yes
PasswordAuthentication no
UsePAM yes

a fčul bych chtěl, aby pomocí hesla se mohli hlásit jen někteří uživatelé (nebo definovat podmínku obráceně - obě množiny jsou lehce definovatelné a malé - omezené přes AllowUsers), existuje možnost (pomocí match user) změnit povolený způsob ověření? - nebo mě popadlo něco principiálně zboudilého?
PS: ChallengeResponseAuthentication v match user nelze použít.

---

---

Odpovědi

[Šangala]

Tak mně někdo napište aspoň, že je to kravina :)

[NN]

Jaky povoleny zpusob overeni ?

NN

[Šangala]

Dle výše uvedené konfigurace, je povolené ověření přes PAM heslem…
A já chci mít malou skupinu uživatelů, kteří se takto mohou přihlásit a druhou, která se přihlásí jen a pouze pomocí certifikátu (na jednom a tom samém portu, kde běží sshd).

[Bilbo]

U sebe (debian lenny) mám tohle (výcuc relevantních řádků):

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile      %h/.ssh/authorized_keys
ChallengeResponseAuthentication no
PasswordAuthentication no
UsePAM yes

Match User abc
    PasswordAuthentication yes

(ChallengeResponseAuthentication je něco jiného než přihlašovánín přes RSA nebo jiné veřejné klíče ....)

Všichni se mohou přihlásit pomocí RSA klíče, a pouze uživatel abc může krom toho použít i heslo.

[Šangala]

No super, neodstřihl jsem se a funguje to - moc dík.
Teď jasně vím kde je můj problém, nerozuměl jsem (a to trvá - musím na to juknout) rozdílu ChallengeResponseAuthentication a PasswordAuthentication, bral jsem to jako něco co je předem dáno, co se vnitřně používá když je 'UsePAM yes'.
RSAAuthentication,PubkeyAuthentication mám nastaveno, to jsem sice mohl uvést, ale bral jsem to tak nějako jakože to je jasné :).
Fčil už umím to nastavit tak i tak (negovat podmínku)…