基于Radius认证SSH用户，实现共享家目录与Shell的技术咨询

刚好做过类似的场景，完全能满足你的需求——不用在Docker容器里创建一堆本地账户，所有Radius认证通过的用户共用同一个家目录和指定的Shell应用，核心是通过PAM+SSHD的配置来绕开本地账户检查，直接强制统一的环境。下面是一步步的具体操作：

1. 安装必要依赖 #

首先在Docker容器里安装Radius PAM模块和OpenSSH服务器，不同发行版命令略有不同：

• Debian/Ubuntu系：

  apt update && apt install -y libpam-radius-auth openssh-server
  

• RHEL/CentOS系：

  yum install -y pam_radius openssh-server
  

2. 配置PAM让SSH走Radius认证 #

编辑/etc/pam.d/sshd文件，调整认证规则，让Radius优先且跳过本地账户检查：

1. 先注释掉原有的@include common-auth行（如果存在），避免本地认证干扰
2. 添加以下两行：

   auth    sufficient    pam_radius_auth.so
   account sufficient    pam_permit.so
   

   • auth sufficient pam_radius_auth.so：表示只要Radius认证通过，就直接放行，不用走后续认证
   • account sufficient pam_permit.so：强制让所有认证通过的用户通过账户校验，不管本地是否存在该用户

3. 配置Radius客户端信息 #

编辑/etc/pam_radius_auth.conf，添加你的Radius服务器地址、共享密钥和超时时间：

# 格式：服务器IP 共享密钥 超时（秒）
192.168.0.100    my_radius_shared_secret    3

然后设置文件权限，避免泄露密钥：

chmod 600 /etc/pam_radius_auth.conf

4. 修改SSHD配置强制统一家目录和Shell #

编辑/etc/ssh/sshd_config，添加或修改以下关键参数：

# 启用PAM认证
UsePAM yes

# 允许密码认证（Radius用密码）
PasswordAuthentication yes

# 禁止空密码登录（安全起见）
PermitEmptyPasswords no

# 强制所有用户使用你的自定义Shell应用
ForceCommand /opt/your-custom-app/shell

# 设置统一的共享家目录（注意权限必须是root:root 755）
ChrootDirectory /shared/home

# 可选：禁用不需要的功能，增强安全性
AllowTcpForwarding no
X11Forwarding no

然后创建共享家目录并设置正确权限（这一步很重要，SSHD对Chroot目录权限要求严格）：

mkdir -p /shared/home
chown root:root /shared/home
chmod 755 /shared/home

5. 重启SSHD服务生效 #

在Docker容器里重启SSHD服务，根据容器的初始化方式选择命令：

• 用systemd的容器：

  systemctl restart sshd
  

• 非systemd的容器，直接重启容器或者前台运行SSHD：

  /usr/sbin/sshd -D
  

关键注意事项 #

• Radius服务器配置：确保你的Radius服务器允许这个Docker容器的IP作为客户端，并且用户的认证信息已正确配置
• 自定义Shell权限：确保你的应用程序Shell有可执行权限（chmod +x /opt/your-custom-app/shell）
• Chroot目录权限：必须是root用户拥有，且不能给其他用户写权限，否则SSHD会拒绝连接
• 测试验证：用一个Radius里的测试用户登录，比如ssh testuser@container-ip，输入密码后应该直接进入你的自定义Shell，且本地/etc/passwd里没有该用户

内容的提问来源于stack exchange，提问作者David Perkinson