Эквивалент модуля, требуемого для сеанса PAM, в Windows

У меня есть отличный модуль PAM, который проверяет каждую сессию (например, сессию рабочего стола) при аутентификации и, основываясь на некоторых критериях, либо разрешает, либо запрещает ее. Я хотел бы сделать то же самое на Windows 7.

Теперь это может звучать глупо или тривиально, но я действительно не знаю, как работать с системами Windows, и поэтому хотел бы несколько указателей на то, как добиться чего-то подобного (например, служба или модуль, который запрашивается, когда, например. пользователь пытается начать сеанс.)


windows pam windows-7
person eq-    schedule 17.04.2012    source источник

Ответы (1)


arrow_upward
5
arrow_downward

Я думаю, что вы ищете пакет дополнительной аутентификации, но вы можете добиться большего с помощью поставщика учетных данных.

Пакет субаутентификации — это динамически подключаемая библиотека, которую локальный орган безопасности или центр распространения ключей Kerberos (KDC) будут вызывать после успешной аутентификации, но до того, как пользователю будет предоставлен доступ.

Windows будет аутентифицировать пользователя локально или через Kerberos, в зависимости от вашей конфигурации. Вы должны создать DLL, которая экспортирует две функции:

Вы помещаете свой код в эту DLL и возвращаете STATUS_SUCCESS, если пользователю разрешен вход в систему, или один из других кодов ошибок. Вы не можете предполагать, что у вас будет доступ к паролю.

Если вы входите в систему через Kerberos, вы должны зарегистрировать свою DLL на KDC. Это затрудняет аутентификацию по некоторой локальной информации, такой как аппаратное или биометрическое устройство.

Так что, возможно, Credential Provider мог бы вам помочь, но это не самые элегантные решения. Он был разработан для сбора учетных данных и передачи их в пакет проверки подлинности. Но Microsoft позаботилась о том, чтобы поставщик учетных данных не блокировал пользователя, поэтому он не всегда может вызываться (в безопасном режиме), и пользователь может установить другой CP и т. д. Поэтому я упоминаю об этом для полноты картины.

person ixe013    schedule 16.05.2012