在CentOS 7.2系统中，认证机制是保障服务器安全的核心组成部分，涵盖了用户身份验证、访问控制以及安全策略等多个层面，本文将围绕CentOS 7.2的认证体系展开详细说明，帮助读者理解其核心组件、配置方法及最佳实践。
认证机制的核心组成
CentOS 7.2的认证主要依赖PAM（Pluggable Authentication Modules）框架，该框架允许管理员灵活配置多种认证方式，如密码、密钥、生物特征等，PAM通过模块化设计，将认证逻辑与应用程序分离，例如登录（login）、服务（sshd）等均可调用不同的PAM模块实现安全验证。
系统用户管理也是认证的基础，CentOS 7.2使用/etc/passwd、/etc/shadow、/etc/group等文件存储用户信息，其中/etc/shadow通过加密存储密码哈希值（如SHA-512）并设置密码过期策略，进一步提升安全性，结合SELinux（Security-Enhanced Linux）的强制访问控制（MAC），系统可实现从身份验证到资源访问的全链路保护。
密码策略与账户安全
密码策略是认证安全的第一道防线,CentOS 7.2可通过libuser或pam_pwquality模块强化密码复杂度要求，在/etc/security/pwquality.conf中可配置密码最小长度（minlen）、字符种类要求（minclass）以及历史密码禁用（remember）等参数，确保用户设置的密码具备足够的抗破解能力。
账户锁定机制同样重要,通过pam_faillock模块，可记录连续失败登录次数，超过阈值后临时锁定账户，防止暴力破解，在/etc/pam.d/system-auth中配置：
auth required pam_faillock.so preauth deny=3 unlock_time=600
account required pam_faillock.so 上述配置表示账户连续登录失败3次后将被锁定10分钟。
SSH密钥认证与双因素认证
对于远程管理,SSH（Secure Shell）是CentOS 7.2的默认安全协议，除了传统的密码认证，SSH密钥对认证更受推荐，因其避免了密码泄露风险，生成密钥对后，公钥需存放在用户目录的~/.ssh/authorized_keys文件中，并通过PasswordAuthentication no禁用密码登录（需在/etc/ssh/sshd_config中配置）。
为进一步增强安全性,可启用双因素认证（2FA），结合Google Authenticator和PAM模块，用户需同时提供密码和动态验证码才能登录，安装pam_google_authenticator后，运行google-authenticator命令生成密钥，并将以下内容添加到/etc/pam.d/sshd：
auth required pam_google_authenticator.so 这样,SSH登录时会提示输入动态验证码，大幅提升账户安全性。
LDAP与集中式认证
在大型企业环境中,集中式认证可简化用户管理，CentOS 7.2支持通过LDAP（Lightweight Directory Access Protocol）集成外部目录服务（如OpenLDAP、Active Directory），配置时，需安装openldap-clients和nss-pam-ldapd包，并编辑/etc/nsswitch.conf与/etc/pam.d/system-auth，将用户认证请求转发至LDAP服务器。
在/etc/pam.d/system-auth中添加：
auth sufficient pam_ldap.so
account sufficient pam_ldap.so 确保/etc/openldap/ldap.conf中配置正确的LDAP服务器地址和基DN，实现用户信息的集中查询与验证。
SELinux对认证的增强作用
SELinux通过MAC策略对认证流程中的进程、文件和端口进行精细化控制。sshd进程的默认安全上下文为ssh_t，其访问的~/.ssh目录需设置为ssh_home_t，避免其他恶意程序篡改密钥文件。
可通过semanage fcontext命令调整文件安全上下文，
semanage fcontext -a -t ssh_home_t "/home/username/.ssh(/.*)?" restorecon -Rv /home/username/.ssh
SELinux的布尔值（如ssh_use_tcp_wrappers）可控制是否通过TCP Wrapper限制SSH访问源IP，进一步缩小攻击面。
日志审计与认证监控
认证安全离不开日志审计,CentOS 7.2默认使用rsyslog记录认证相关日志，例如登录成功/失败事件、SSH连接信息等，关键日志文件包括：
/var/log/secure：记录PAM认证、SSH登录等事件；/var/log/audit/audit.log：记录SELinux相关的访问控制事件。
可通过grep命令分析日志，例如查找失败登录尝试：
grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c
启用auditd服务可实时监控文件访问、系统调用等行为，例如审计/etc/shadow文件的修改：
auditctl -w /etc/shadow -p wa -k shadow_access
常见认证问题与解决方案
-
问题1：SSH密钥认证失败
原因：可能因权限错误（如~/.ssh目录权限非700）或公钥格式不正确。
解决：检查~/.ssh目录权限（chmod 700 ~/.ssh），确保authorized_keys文件权限为600，并确认公钥格式为ssh-rsa ... comment。 -
问题2：LDAP用户无法登录
原因：网络连接异常、LDAP服务器配置错误或SSL/TLS证书未信任。
解决：使用ldapsearch -x -H ldap://server -b "dc=example,dc=com"测试连接，检查/etc/openldap/ldap.conf中的服务器地址，并确保启用TLS（uri ldaps://...）。
FAQs
Q1：如何禁用root用户直接SSH登录？
A：编辑/etc/ssh/sshd_config，将PermitRootLogin设置为no，然后重启SSH服务（systemctl restart sshd），建议通过普通用户登录后使用sudo提权，降低root账户暴露风险。
Q2：CentOS 7.2如何设置密码过期策略？
A：编辑/etc/login.defs，修改PASS_MAX_DAYS（密码最大有效期）、PASS_MIN_DAYS（最小修改间隔）等参数，在/etc/shadow中可单独为用户设置过期时间，例如chage -M 90 username将密码有效期设为90天。