sasldb2¶

Die sasldb2 ist eine Berkeley-Datenbank, welche die Benutzer und Kennwörter enthält. Sie ist getrennt von der Benutzerverwaltung im Linux-System. Diese liegt unter /etc/sasldb2.

Um diese nutzen zu können, muss in der Datei /etc/default/saslauthd die Methode geändert werden:

MECHANISMS="sasldb"

Verwaltet wird diese mit der Software saslpasswd2.

Benutzer hinzufügen:

m@jammy:/etc$ sudo saslpasswd2 -c BENUTZER
Password: 
Again (for verification): 
m@jammy:/etc$  

Benutzer löschen:

sudo saslpasswd2 -d BENUTZER 

Benutzer anzeigen:

m@jammy:/etc$ sudo sasldblistusers2 
test@jammy: userPassword
m@jammy:/etc$  

MySQL¶

Cyrus-SASL kann mittels PAM nicht nur gegen die Unix-Benutzer, sondern auch gegen einen MySQL-Datenbank authentifizieren.

• libpam-mysql

Befehl zum Installieren der Pakete:

sudo apt-get install libpam-mysql 

Oder mit apturl installieren, Link: apt://libpam-mysql

Anschließend muss eine Konfigurationsdatei erstellt werden, z.B. /etc/mail-pam-mysql.conf. Diese muss folgenden Inhalt haben (die Daten müssen an die Datenbank angepasst werden):

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

verbose = 0;
users.host = IP-oder-Hostname;
users.database = Name_der_DB;
users.db_user = Datenbankbenutzer;
users.db_passwd = DB-Kennwort;
users.password_crypt = 1;
users.md5 = true;
users.table = mail_users;
users.where_clause = active = 1;
users.user_column = username;
users.password_column = password;

Die Datenbank selbst kann mit folgendem SQL-Befehl angelegt werden:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

CREATE DATABASE db_mail;
GRANT SELECT ON db_mail.* TO 'db_mail_user'@'localhost'
    IDENTIFIED BY 'db_mail_password';

USE db_mail;

CREATE TABLE mail_users (
    username VARCHAR(200) NOT NULL,
    password VARCHAR(40) NOT NULL,
    active TINYINT(1) NOT NULL DEFAULT 1,
    INDEX username_idx(username)
);

Ein Benutzer kann mit folgendem SQL-Befehl angelegt werden, das 2. Argument ist ein Salt:

1
2

INSERT INTO mail_users SET username='mustermann',
    password=ENCRYPT('Kennwort','$1$1234abcd'), active=1;

Anschließend muss eine Datei unter /etc/pam.d erstellt werden, die den Namen des Services hat, den die SASL-Applikation nutzt, z.B. test oder imap. Die Applikation (z.B. der IMAP-Server Cyrus-IMAPd) muss diesen Service-Namen übergeben, damit auch diese Variante genutzt wird. Beispielsweise die Datei /etc/pam.d/test

auth       sufficient   pam_mysql.so config_file=/etc/mail-pam-mysql.conf
account    sufficient   pam_mysql.so config_file=/etc/mail-pam-mysql.conf

Hier wird die oben erstelle Konfigurationsdatei genutzt, für unterschiedliche Dienste könnten hier z.B. unterschiedliche Datenbanken genutzt werden.

Aktiviert man verbose-Logging in saslauthd, kann man den genutzten Service-Namen im Log sehen:

Aug  2 13:23:36 jammy saslauthd[7340]:                 : [login=mustermann] [service=test] [realm=]: not found, update pending

Entsprechend kann man auch testen:

m@jammy:/etc/pam.d$ sudo testsaslauthd -u mustermann -p Kennwort -s test
0: OK "Success."
m@jammy:/etc/pam.d$  

Ohne Angabe von -s wird imap genommen.