# Двухфакторная аутентификация для серверов Linux

Вход в Linux со вторым фактором обеспечивает PAM-адаптер Simple2FA. Он устанавливается на сервер или рабочую станцию и обращается к бэкенду локального инстанса по HTTPS. Где именно будет запрашиваться второй фактор, определяет то, в какие PAM-стеки добавлена строка адаптера: локальный вход, SSH, RDP (xRDP) или выполнение команд `sudo`.

Каждая инструкция раздела самодостаточна: ресурс в панели, установка адаптера, настройка PAM и проверка входа описаны на странице целиком. Выберите свою систему и пройдите инструкцию от начала до конца.

Общее для всех инструкций этого раздела:

- **Ресурс в панели — с протоколом HTTPS.** Его ключ указывается в файле конфигурации адаптера `/etc/simple2fa/s2fa_conf.toml`, там же — адрес бэкенда локального инстанса (`local-backend`), а не панели администратора. Ключ RADIUS-ресурса и ключ организации для адаптера не подходят.
- **Установка — из комплекта поставки**: архив с модулем под обе архитектуры и установщиком `install.sh`, который сам находит каталог модулей PAM и создаёт каталоги конфигурации и журнала. Требования к хосту: x86_64 или aarch64, glibc 2.28 или новее.
- **Режим `SendPassword` определяет, кто проверяет первый фактор.** При `true` пароль передаётся в Simple2FA и проверяется по каталогу организации; при `false` пароль проверяет ОС и на сервер не передаётся. От режима зависит и место строки адаптера в PAM-стеке: при `false` она идёт после штатной проверки пароля, при `true` — вместо неё.
- **Способ подтверждения задаётся параметром `Method`** — `auto`, `push`, `telegram`, `max` или `otp`. Для отдельного сервиса его перекрывает аргумент `method=` в строке PAM: на одном хосте вход по SSH можно подтверждать уведомлением, а `sudo` — кодом.
- **Для проверки используется логин пользователя ОС**, и пользователь с таким логином должен быть в Simple2FA. В каталоге организации он обязан быть только при `SendPassword = true`; при `false` подойдёт и локальная учётная запись Linux, заведённая в панели вручную.
- **Общие стеки** (`common-auth`, `system-auth`, `password-auth`) подключаются к большинству сервисов системы: перед изменением делайте резервную копию файла и держите открытой активную root-сессию.
- **Вход по SSH-ключу выполняется в обход PAM-стека** — чтобы требовать и ключ, и второй фактор, цепочка методов задаётся в конфигурации OpenSSH.
- **Диагностика** — журнал адаптера `/var/log/simple2fa/simple2fa.log` и syslog с идентификатором `simple2fa_pam`, режим `Debug = true` в конфигурации и журнал [«Попытки авторизации»](../../admin/auth-attempts.md).

## Инструкции по системам

<div class="doc-list" markdown>

- [ASTRA Linux](astra-linux.md)

    Локальный вход через Fly, SSH и xRDP.

- [RedOS](redos.md)

    Общие стеки `system-auth` и `password-auth`, SSH, xRDP и `sudo`.

- [ALT Linux](alt-linux.md)

    Локальные пароли `pam_tcb`, SSH и вход по ключу, xRDP и группа `tsusers`.

- [Ubuntu](ubuntu.md)

    Общий стек `common-auth`, SSH и xRDP.

- [CentOS](centos.md)

    Общие стеки RHEL-семейства, SSH, вход по ключу и xRDP.

</div>

## Инструкции по сценариям

<div class="doc-list" markdown>

- [Linux SSH](ssh.md)

    Второй фактор при подключении по SSH.

- [Linux sudo](sudo.md)

    Подтверждение при выполнении привилегированных команд.

- [Группа серверов](server-group.md)

    Один ресурс для всех серверов, автоматизированная установка адаптера и схема с входным сервером (бастионом).

- [PAM RADIUS](pam-radius.md)

    Подключение без PAM-адаптера — штатным модулем pam_radius к встроенному RADIUS-серверу.

</div>

## Смотрите также

- [Настройка ресурсов](../index.md)
- [Ресурсы](../../admin/resources.md)
- [Сценарии использования](../../start/scenarios.md)