某些用户的Google身份validation器

在我的一个运行ubuntu 16.04（LTS）的测试服务器上启用Google身份validation器（2步身份validation）后，我发现我无法再登录服务器上没有Google身份validation器配置文件的用户。 我必须创建一个谷歌身份validation器配置文件（密钥）让该用户登录。

我现在的问题是：是否有可能让某些用户使用谷歌身份validation器和其他用户只需SSH登录而无需谷歌身份validation器。

详情：

user1有一个带有google身份validation器的个人资料。

user2没有google身份validation器的个人资料。

user1通过SSH登录，填写他的密码和谷歌身份validation器应用程序提供的代码，他能够登录。

user2通过SSH登录，填写密码并能够登录（他不需要输入代码。

拥有2个需要谷歌身份validation器代码的用户组和不需要谷歌身份validation器代码的用户组是理想的。

Answer 1

使用以下解决方案，可以禁用特定用户的PAM模块（谷歌身份validation器） –

1）在Linux实例上创建用户组。 对于此新组中的用户，将禁用MFA / PAM-

sudo groupadd  

2）创建用户或将现有用户添加到新创建的组 –

 sudo useradd  sudo usermod -a -G   

3）编辑/etc/pam.d/sshd文件并添加以下语句以跳过新创建的组的PAM模块 –

 auth [success=done default=ignore] pam_succeed_if.so user ingroup  

可选的-

如果此新组需要完全访问权限，则将以下行添加到visudo文件中 –

 %ALL=(ALL) NOPASSWD: ALL 

创建用户并将其添加到新组后，将跳过这些用户的MFA。

参考 – TechManyu博客

Answer 2

这可能会有所帮助： 为组禁用PAM模块 。

您可以将一个用户放在google-authenticator组中，将另一个用户放在non-google-authenticator组中。