如何在 pam_exec 脚本中访问 ssh UserEnvironment var

Question

我正在使用 sshd_config 变量 PermitUserEnvironment

#/etc/ssh/sshd_config
PermitUserEnvironment yes

在 /root/.ssh/authorized_keys 文件中的每个键上设置类似“REALUSERNAME”的内容。

#/root/.ssh/authorized_keys 
environment="REALUSER=custom_value" ssh-rsa AAAAB3....

但我无法访问由 /etc/pam.d/sshd 中的 pam_exec 触发的脚本中的值

我最好的猜测是 pam 脚本是在设置环境变量之前执行的？那么我有什么选择呢？

我试过 pam_env

#/etc/security/pam_env.conf
PAM_REALUSER    DEFAULT="unkonwn" OVERRIDE=${REALUSER}

这是我的 pam.d/ssh 文件的自定义部分

#/etc/pam.d/sshd
session    required     pam_env.so readenv=1
session    optional     pam_exec.so seteuid /usr/local/bin/scripts/my_script

甚至像 SSH_CONNECTION 这样的变量似乎都不可用，这让我感觉很奇怪。这些信息在脚本执行时肯定是可用的，但变量没有设置或者我做错了。

我曾经（成功地）在 /etc/profile 中触发脚本，所以我非常确信问题不在我的自定义脚本中

Answer 1

但我无法访问由pam_exec 在/etc/pam.d/sshd 中触发的脚本中的值

我最好的猜测是 pam 脚本是在设置环境变量之前执行的？那么我有什么选择呢？

是的，你是对的。授权密钥的环境变量在do_setup_env()函数中设置，在pam_session之后调用。

如果你想访问这些变量，我建议你为用户设置ForceCommand 或特殊的shell，在你评估你的变量之后，它将包裹普通的shell。

但请注意，将此项设置为无限制的 root 将允许您的用户做他们想做的任何事情（甚至更改密钥、您的环境变量），而不管您的设置。