granicus.if.org Git - linux-pam/blob - modules/pam_sepermit/pam_sepermit.8.xml

   1 <?xml version="1.0" encoding='UTF-8'?>
   2 <!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.3//EN"
   3         "http://www.oasis-open.org/docbook/xml/4.3/docbookx.dtd">
   4
   5 <refentry id="pam_sepermit">
   6
   7   <refmeta>
   8     <refentrytitle>pam_sepermit</refentrytitle>
   9     <manvolnum>8</manvolnum>
  10     <refmiscinfo class="sectdesc">Linux-PAM Manual</refmiscinfo>
  11   </refmeta>
  12
  13   <refnamediv id="pam_sepermit-name">
  14     <refname>pam_sepermit</refname>
  15     <refpurpose>PAM module to allow/deny login depending on SELinux enforcement state</refpurpose>
  16   </refnamediv>
  17
  18   <refsynopsisdiv>
  19     <cmdsynopsis id="pam_sepermit-cmdsynopsis">
  20       <command>pam_sepermit.so</command>
  21       <arg choice="opt">
  22         debug
  23       </arg>
  24       <arg choice="opt">
  25         conf=<replaceable>/path/to/config/file</replaceable>
  26       </arg>
  27     </cmdsynopsis>
  28   </refsynopsisdiv>
  29
  30   <refsect1 id="pam_sepermit-description">
  31     <title>DESCRIPTION</title>
  32     <para>
  33       The pam_sepermit module allows or denies login depending on SELinux
  34       enforcement state.
  35     </para>
  36     <para>
  37       When the user which is logging in matches an entry in the config file
  38       he is allowed access only when the SELinux is in enforcing mode. Otherwise
  39       he is denied access. For users not matching any entry in the config file
  40       the pam_sepermit module returns PAM_IGNORE return value.
  41     </para>
  42     <para>
  43       The config file contains a list of user names one per line with optional arguments. If the
  44       <replaceable>name</replaceable> is prefixed with <emphasis>@</emphasis> character it means that all
  45       users in the group <replaceable>name</replaceable> match. If it is prefixed
  46       with a <emphasis>%</emphasis> character the SELinux user is used to match against the <replaceable>name</replaceable>
  47       instead of the account name. Note that when SELinux is disabled the
  48       SELinux user assigned to the account cannot be determined. This means that
  49       such entries are never matched when SELinux is disabled and pam_sepermit
  50       will return PAM_IGNORE.
  51     </para>
  52     <para>
  53       See <citerefentry>
  54       <refentrytitle>sepermit.conf</refentrytitle><manvolnum>5</manvolnum>
  55       </citerefentry> for details.
  56     </para>
  57
  58   </refsect1>
  59
  60   <refsect1 id="pam_sepermit-options">
  61     <title>OPTIONS</title>
  62     <variablelist>
  63       <varlistentry>
  64         <term>
  65           <option>debug</option>
  66         </term>
  67         <listitem>
  68           <para>
  69            Turns on debugging via
  70             <citerefentry>
  71               <refentrytitle>syslog</refentrytitle><manvolnum>3</manvolnum>
  72             </citerefentry>.
  73           </para>
  74         </listitem>
  75       </varlistentry>
  76       <varlistentry>
  77         <term>
  78           <option>conf=<replaceable>/path/to/config/file</replaceable></option>
  79         </term>
  80         <listitem>
  81           <para>
  82             Path to alternative config file overriding the default.
  83           </para>
  84         </listitem>
  85       </varlistentry>
  86     </variablelist>
  87   </refsect1>
  88
  89   <refsect1 id="pam_sepermit-types">
  90     <title>MODULE TYPES PROVIDED</title>
  91     <para>
  92       The <option>auth</option> and <option>account</option>
  93       module types are provided.
  94     </para>
  95   </refsect1>
  96
  97   <refsect1 id='pam_sepermit-return_values'>
  98     <title>RETURN VALUES</title>
  99     <variablelist>
 100       <varlistentry>
 101         <term>PAM_AUTH_ERR</term>
 102         <listitem>
 103           <para>
 104             SELinux is disabled or in the permissive mode and the user
 105             matches.
 106           </para>
 107         </listitem>
 108       </varlistentry>
 109       <varlistentry>
 110         <term>PAM_SUCCESS</term>
 111         <listitem>
 112           <para>
 113             SELinux is in the enforcing mode and the user matches.
 114           </para>
 115         </listitem>
 116       </varlistentry>
 117       <varlistentry>
 118         <term>PAM_IGNORE</term>
 119         <listitem>
 120           <para>
 121             The user does not match any entry in the config file.
 122           </para>
 123         </listitem>
 124       </varlistentry>
 125       <varlistentry>
 126         <term>PAM_USER_UNKNOWN</term>
 127         <listitem>
 128           <para>
 129             The module was unable to determine the user's name.
 130           </para>
 131         </listitem>
 132       </varlistentry>
 133       <varlistentry>
 134         <term>PAM_SERVICE_ERR</term>
 135         <listitem>
 136           <para>
 137             Error during reading or parsing the config file.
 138           </para>
 139         </listitem>
 140       </varlistentry>
 141     </variablelist>
 142   </refsect1>
 143
 144   <refsect1 id="pam_sepermit-files">
 145     <title>FILES</title>
 146     <variablelist>
 147       <varlistentry>
 148         <term><filename>/etc/security/sepermit.conf</filename></term>
 149         <listitem>
 150           <para>Default configuration file</para>
 151         </listitem>
 152       </varlistentry>
 153     </variablelist>
 154   </refsect1>
 155
 156   <refsect1 id='pam_sepermit-examples'>
 157     <title>EXAMPLES</title>
 158     <programlisting>
 159 auth     [success=done ignore=ignore default=bad] pam_sepermit.so
 160 auth     required  pam_unix.so
 161 account  required  pam_unix.so
 162 session  required  pam_permit.so
 163     </programlisting>
 164   </refsect1>
 165
 166   <refsect1 id='pam_sepermit-see_also'>
 167     <title>SEE ALSO</title>
 168     <para>
 169       <citerefentry>
 170         <refentrytitle>sepermit.conf</refentrytitle><manvolnum>5</manvolnum>
 171       </citerefentry>,
 172       <citerefentry>
 173         <refentrytitle>pam.conf</refentrytitle><manvolnum>5</manvolnum>
 174       </citerefentry>,
 175       <citerefentry>
 176         <refentrytitle>pam.d</refentrytitle><manvolnum>5</manvolnum>
 177       </citerefentry>,
 178       <citerefentry>
 179         <refentrytitle>pam</refentrytitle><manvolnum>8</manvolnum>
 180       </citerefentry>
 181       <citerefentry>
 182         <refentrytitle>selinux</refentrytitle><manvolnum>8</manvolnum>
 183       </citerefentry>
 184     </para>
 185   </refsect1>
 186
 187   <refsect1 id='pam_sepermit-author'>
 188     <title>AUTHOR</title>
 189       <para>
 190         pam_sepermit and this manual page were written by Tomas Mraz &lt;tmraz@redhat.com&gt;.
 191       </para>
 192   </refsect1>
 193
 194 </refentry>