文章目录环境症状问题原因解决方案环境系统平台银河麒麟 X86_64版本4.5.11症状highgo用户执行crontab相关命令时出现权限拦截错误具体报错如下[highgolocalhosts ~]$ crontab -l You (highgo) are not allowed to access to (crontab) because of pam configuration.报错说明highgo用户被Linux PAM可插拔认证模块配置限制无法访问crontab命令非命令本身异常而是权限被锁死。问题原因初步判断问题原因Linux系统通过以下两个文件控制用户对crontab命令的访问权限/etc/cron.allow白名单文件仅写入该文件的用户可使用crontab命令/etc/cron.deny黑名单文件写入该文件的用户禁止使用crontab命令。初步尝试将highgo用户加入白名单/etc/cron.allow、/etc/at.allow并重启crond服务但问题未解决判断核心原因是PAM配置文件/etc/pam.d/crond权限限制过严。定位核心问题排查/etc/pam.d/crond配置文件发现文件中存在PAM认证规则使用了required强制认证参数导致即使用户在白名单中也会被PAM模块拦截无法通过认证。解决方案执行环境所有操作需使用root用户执行确保拥有最高权限。核心修复命令修改/etc/pam.d/crond配置文件将PAM认证参数required替换为sufficient足够认证降低认证严格度命令如下sed -i s/required/sufficient/g /etc/pam.d/crond重启服务刷新权限修改配置后需重启crond服务使配置生效systemctl restart crond测试验证切换回highgo用户执行crontab命令测试是否正常su - highgo crontab -l测试结果无报错crontab命令可正常使用问题解决。四、补充说明可选操作为确保权限配置更规范可补充以下操作root用户执行避免后续权限异常1.将highgo用户加入crontab和at服务白名单 echo “highgo” | tee -a /etc/cron.allow echo “highgo” | tee -a /etc/at.allow2.调整相关文件权限确保配置文件合法性 chmod 644 /etc/cron.allow /etc/at.allow chmod 4755 /usr/bin/crontab chmod 600 /etc/pam.d/crond chown root:root /etc/pam.d/crond3.重启atd服务与crontab相关联确保服务协同生效 systemctl restart atd五、问题原理总结1.PAM配置作用/etc/pam.d/crond是crontab命令的PAM认证配置文件用于控制用户访问crontab的认证规则2.参数差异required表示强制认证只要有一个认证环节失败就拒绝用户访问sufficient表示足够认证只要该认证环节通过就允许用户访问无需后续认证3.问题本质原配置中PAM认证使用required导致即使highgo用户在白名单中也无法通过PAM认证替换为sufficient后白名单权限生效用户可正常使用crontab。六、注意事项所有修改操作必须使用root用户普通用户无权限修改PAM配置和系统权限文件修改/etc/pam.d/crond文件前可先备份原文件cp /etc/pam.d/crond /etc/pam.d/crond.bak避免误操作导致系统异常若后续再次出现同类报错可检查/etc/pam.d/crond配置是否被还原或highgo用户是否被加入/etc/cron.deny黑名单。
