pam_unix (sudo: auth): сбой разговора, авторизация не может определить пароль для [имя пользователя]

Я нашел проблему. Оказалось, что это проблема модуля PAM auth! Позвольте мне описать, как я пришел к решению.

Контекст:

Я настроил свою машину для отладки, то есть у меня было открыто четыре окна терминала.

• 1-й терминал (локальный компьютер): здесь я выполнял ansible prduction_server -m yum -a 'name=vim state=installed' -b -K -u username
• 2-й терминал (рабочий сервер): здесь я выполнил journalctl -f (общесистемный журнал).
• 3-й терминал (рабочий сервер): здесь я выполнил tail -f /var/log/secure (журнал для sshd).
• 4-й терминал (рабочий сервер): здесь я редактировал vi /etc/pam.d/sudo файл.

Каждый раз, когда я выполнял команду из 1-го терминала, я получал следующие ошибки:

# ansible error - on local machine
Timeout (7s) waiting for privilege escalation prompt error.

# sshd error - on remote machine
pam_unix(sudo:auth): conversation failed
pam_unix(sudo:auth):  [username]

Я показал всю свою настройку своему коллеге, и он сказал мне, что ошибка связана с PAM. Честно говоря, я впервые слышу о PAM. Итак, мне пришлось прочитать этот учебник по PAM. Я выяснил, что эта ошибка связана с интерфейсом auth, расположенным в модуле /etc/pam.d/sudo. Копаясь в Интернете, я наткнулся на этот модуль pam_permit.so с флагом управления sufficient, который решил мою проблему!

Решение

По сути, я добавил auth sufficient pam_permit.so строку в /etc/pam.d/sudo файл. Посмотрите на пример ниже.

$ cat /etc/pam.d/sudo
#%PAM-1.0
# Fixing ssh "auth could not identify password for [username]"
auth       sufficient   pam_permit.so

# Below is original config
auth       include      system-auth
account    include      system-auth
password   include      system-auth
session    optional     pam_keyinit.so revoke
session    required     pam_limits.so
session    include      system-auth

Вывод:

Я потратил 4 дня, чтобы прийти к этому решению. Я наткнулся на более чем дюжину решений, которые мне не подошли, начиная от дублированного пароля sudo в файле ansible hosts/config, конкретной конфигурации ldap до получения совета от всегда сварливой системы. админы!

Примечание:

Поскольку я не эксперт в PAM, я не знаю, повлияет ли это исправление на другие аспекты системы, поэтому будьте осторожны, не копируйте и не вставляйте этот код вслепую! Однако, если вы являетесь экспертом в области PAM, поделитесь с нами альтернативными решениями или советами. Спасибо!

Предполагая, что пользователь lukas является локальной учетной записью, вы должны посмотреть, как модуль pam_unix.so объявлен в вашем pam-файле system-auth. Но для конкретного ответа необходима дополнительная информация об учетной записи пользователя и конфигурации pam.

При добавлении достаточной аутентификации pam_permit.so достаточно для получения доступа. Не рекомендуется использовать его где-либо, кроме самой небезопасной тестовой среды. На справочной странице pam_permit:

   pam_permit is a PAM module that always permit access. It does nothing
   else.

Таким образом, добавление pam_permit.so в качестве достаточного для аутентификации таким образом полностью обойдет защиту для всех пользователей.

Я получил ту же ошибку, когда попытался перезапустить apache2 с помощью sudo service apache2 restart

При входе в root я смог увидеть реальную ошибку, связанную с конфигурацией apache2. Оказалось, что я удалил файлы SSL-сертификата сайта несколько месяцев назад, но не отключил сайт в apache2. a2dissite сделал свое дело.

У меня была эта ошибка после обновления sudo до версии 1.9.4 с помощью pacman. Я не заметил, что pacman предоставил новый файл sudoers.

Мне просто нужно было объединить /etc/sudoers.pacnew. Подробнее см. здесь: https://wiki.archlinux.org/index.php/Pacman/Pacnew_and_Pacsave

Я знаю, что это не отвечает на первоначальный вопрос (который относится к системе Centos), но это лучший результат Google для сообщения об ошибке, поэтому я решил оставить свое решение здесь на случай, если кто-нибудь столкнется с этой проблемой. из операционной системы на базе Arch Linux.

Сам оказался в такой же ситуации, рвал на себе волосы. В моем случае в конце файла sudoers была скрыта строка:

%sudo ALL=(ALL:ALL) ALL

Это отменяет предыдущие авторизации. Если вы не используете группу sudo, эту строку можно смело удалить.