Модульный подход в PAM позволяет объединить разных провайдеров аутентификации и предоставить свой API приложениям. 3 PAM используется везде, где требуется аутентификация пользователя или проверка его прав, например, при подключении через SSH или FTP, а также при повышении привилегий через команду sudo. 1

PAM делит модули на различные категории в зависимости от того, в какой части процесса они участвуют: 2

• Модули аутентификации (Authentication). 2 Проверяют валидность учётных данных пользователя. 2
• Модули аккаунтов (Account). 2 Решают, имеет ли учётная запись, которая пытается войти в систему, доступ к запрашиваемым ресурсам. 2
• Модули сеансов (Session). 2 Устанавливают окружение для работы пользователя, который проходит аутентификацию. 2 Файлы сессий позволяют определить команды, которые нужно запустить для подготовки среды. 2
• Модули паролей (Password). 2 Такие модули отвечают за обновление учётных данных. 2 Если сервис должен обновить пароль, этот модуль свяжется с ним и внесёт соответствующие изменения в данные. 2

Когда приложение запрашивает аутентификацию, PAM считывает соответствующий конфигурационный файл. 2 Конфигурационные файлы содержат списки модулей PAM и методы их обработки. 2 Модули вызываются по очереди. 2 Каждый вызов модуля генерирует успешный результат или отказ. 2 Исходя из этих значений, конфигурационный файл возвращает либо сообщение об успешной аутентификации, либо сообщение об ошибке. 2

Некоторые флаги контроля, которые определяют требование к результату аутентификации:

• Required — указанный модуль должен успешно отработать. 1 Остальные модули будут запущены при неудаче, исполнение продолжится по конфигу. 1
• Requisite — указанный модуль должен успешно отработать. 1 Остальные модули не будут запущены при неудаче, исполнение конфига тут же прекратится. 1
• Sufficient — если указанный модуль отработает успешно, весь сервис будет считаться доступным. 1 При неудаче этого модуля будут выполняться следующие, стоящие в конфиге после него. 1
• Optional — результат модуля не имеет значения, если этот модуль единственный. 1
• Include — подключить содержимое другого конфига PAM. 1