Acesso de usuários usando o google-authenicator sem token

Question

Estou usando o módulo pam do Google authenticator no CentOS para criar uma autenticação 2FA para meus usuários. No entanto, quero que apenas os usuários que já se registraram com o autenticador sejam solicitados a inserir seu código, enquanto os usuários que não o fizeram registrados os 2FA são solicitados unicamente a sua senha. Como eu posso fazer isso? Na verdade, se um usuário sem token 2FA tentar fazer login, mesmo quando a senha estiver correta, sua conexão será recusada. Aqui está minha configuração de pam. Observação: para usuários que executaram o google-authenticator até o momento, ele funciona perfeitamente.

auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        required      pam_google_authenticator.so
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_sss.so use_first_pass
#auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_sss.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3 type= minlen=8 lcredit=2 ucredit=2 dcredit=2 ocredit=2
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    sufficient    pam_sss.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_sss.so

    

Answer 1

Você pode editar esta linha:

auth        required      pam_google_authenticator.so

para

auth        required      pam_google_authenticator.so    nullok

isso permitirá que ambos, aqueles que têm OATH-TO