Блокирование компьютера при извлечении рутокена ЭЦП 2.0 (Страница 1 из 2)

Здравствуйте,
Блокировка компьютера при извлечении токена описана в статье на Портале Документации.

Ubuntu 18.04.5 LTS
Правильно ли я понял, что мне необходимо дополнительно к уже совершенным действиям создать папку etc,затем  pam_pkcs11 и там уже файл pkcs11_eventmgr.conf? И что нужно вставить в него? Весь приведенный в статье код?

pkcs11_eventmgr
{
    # Запуск в бэкграунде
    daemon = true;
     
    # Настройка сообщений отладки
    debug = false;

    # Время опроса в секундах
    polling_time = 1;

    # Установка тайм-аута на удаление карты
    # По-умолчанию 0
    expire_time = 0;

    # Выбор pkcs11 библиотеки для работы с Рутокен
    pkcs11_module = usr/lib/x86_64-linux-gnu/librtpkcs11ecp.so;

    # Действия с картой
    # Карта вставлена:
    event card_insert {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore ;

        action = "/bin/false";
    }

    # Карта извлечена
    event card_remove {
        on_error = ignore;
         
        # Вызываем функцию блокировки экрана
       
        # Для GNOME
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";

            # Для XFCE
            # action = "xflock4";

            # Для Astra Linux (FLY)
            # action = "fly-wmfunc FLYWM_LOCK";
    }

    # Карта долгое время извлечена
    event expire_time {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore;

        action = "/bin/false";
    }
}

У меня появились новые вопросы.. Итак, я решил пройти все заново, поэтому переустановил систему и сразу начал следовать инструкции Локальная аутентификация в Linux по ГОСТ 2012.
Все действия я совершал в корневой папке от имени админа
1. sudo apt-get install libccid pcscd opensc openssl libpam-pkcs11
2. wget --no-check-certificate https://download.rutoken.ru/Rutoken/PAM … m.so.1.0.0
3. sudo cp librtpam.so.1.0.0 /usr/lib/x86_64-linux-gnu/
    sudo chmod 644 /usr/lib/x86_64-linux-gnu/librtpam.so.1.0.0
4. wget --no-check-certificate https://download.rutoken.ru/Rutoken/PKC … cs11ecp.so
5. sudo cp librtpkcs11ecp.so /usr/lib/x86_64-linux-gnu/
    sudo chmod 644 /usr/lib/x86_64-linux-gnu/librtpkcs11ecp.so
6. pkcs11-tool --module /usr/lib/x86_64-linux-gnu/librtpkcs11ecp.so -T
Так как до этого я создавал и ключи, и сертификат на токене, то пропустил следующие инструкции и сразу перешел к настройке аутентификации
7. sudo nano /usr/share/pam-configs/rtpam-gost
8. Name: Rutoken PAM GOST
Default: yes
Priority: 800
Auth-Type: Primary
Auth: sufficient usr/lib/x86_64-linux-gnu/librtpam.so.1.0.0 /usr/lib/x86_64-linux-gnu/librtpkcs11ecp.so
9. sudo pam-auth-update
10. sudo login - проверить правильность настройки я не смог, потому что запришивалось имя пользователя, которое почему-то было постоянно неверно..
11. sudo nano /etc/pam_pkcs11/pkcs11_eventmgr.conf
12. pkcs11_eventmgr
{
    # Запуск в бэкграунде
    daemon = true;
     
    # Настройка сообщений отладки
    debug = false;

    # Время опроса в секундах
    polling_time = 1;

    # Установка тайм-аута на удаление карты
    # По-умолчанию 0
    expire_time = 0;

    # Выбор pkcs11 библиотеки для работы с Рутокен
    pkcs11_module = usr/lib/x86_64-linux-gnu/librtpkcs11ecp.so;

    # Действия с картой
    # Карта вставлена:
    event card_insert {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore ;

        action = "/bin/false";
    }

    # Карта извлечена
    event card_remove {
        on_error = ignore;
         
        # Вызываем функцию блокировки экрана
       
        # Для GNOME
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";

    }

    # Карта долгое время извлечена
    event expire_time {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore;

        action = "/bin/false";
    }
}
13. Зашел в настройки запуска приложений и добавил туда конфиг: в  строке "команда" прописал путь к конфигу
14. Нажимаю на перезапуск, ПК выключается и уже не запускается. Загрузка не идет, я достаточно долго ждал. Пробовал на втором ПК проделать то же самое - такая же картина.

Здравствуйте! В общем, вроде бы получилось настроить блокировку при извлечении и запрос пароля токена при входе.
Правда теперь ПК не запрашивает пароль пользователя-админа совсем. В терминале если набрать команду sudo su - зайти как админ, нужен будет пароль токена. Скажите, пожалуйста, как это исправить. Возможно, в настройке PAM нужно что-то поменять..

Если я подключу данный пункт, то при входе в ПК и других действиях в системе
будет запрашиваться только пароль пользователя

Да, пароль запрашивается, если нет рутокена. Но можно ли настроить так, чтобы при входе запрашивался только рутокен, а при других взаимодействиях с системой, в том числе, когда нужно зайти как админ в терминале, запрашивался пароль ПК?

Хорошо. Хотел, чтобы пользователь(сотрудник) мог только работать в системе, не изменяя ее. Ну и при этом ПК должен быть защищен от посторонних лиц при помощи токена) Большое Вам спасибо за помощь! Очень помогли мне.