Ce lab montre comment un login shell Linux passe par Kie.la via PAM : d’abord la démonstration, ensuite le code.
On peut aussi le coupler avec l’authentification par certificat de SSH.
DémarrerPasscode Kie.la (2 lettres + 4 chiffres) sur le PC, puis Approve dans l’application. Le PIN reste sur le téléphone.
Le binaire kiela-login n’affiche pas de nom d’utilisateur. Il démarre le service PAM kiela-login, qui charge pam_kiela.so.
Le login Unix est formé du pseudo préfixé de la lettre k. Quand le compte n’existe pas, il est créé lors de la première authentification avec Kie.la (cela reste configurable). Le login Kie.la est activable pour un groupe d’utilisateurs uniquement — pas root.
/etc/pam.d/kiela-login
Chargement…Le code SSH est le bloc Match dans /etc/ssh/sshd_config : certificat (ou clé) d’abord, puis MFA Kie.la. Il s’active pour un groupe d’utilisateurs uniquement, et les comptes doivent déjà exister sur le serveur. Le second facteur est branché dans /etc/pam.d/sshd via pam_kiela.so.
/etc/ssh/sshd_config
Chargement…