使用 Google Authenticator 實現兩步驟驗證

1. 安裝epel延伸套件repo

yum install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm

2. 安裝google-authenticator

yum install -y google-authenticator

3. 編輯vim /etc/ssh/sshd_config，找到ChallengeResponseAuthentication改成yes

ChallengeResponseAuthentication yes

4. 編輯vim /etc/pam.d/sshd，新增auth required pam_google_authenticator.so 在auth substack password-auth下面，新增這一行

auth required pam_google_authenticator.so

或者

auth required pam_google_authenticator.so nullok

這邊的順序將確定先輸入密碼還是動態碼，nullok的作用是讓未設定google-auth的Account能夠單次認證登入，可自行考量實際環境變更此參數 5. 重新啟動ssh服務

systemctl restart sshd

6. 開始設定google-authenticator，((大部分選項都是yes就可以了))

google-authenticator

7.過程會出現 Google-Authenticator 可以使用 QRCode 或是 secret key 加入 下面五組數字，是在您手邊無法使用認證因素時，緊急使用登入的 設定完成後，預設在 User 的家目錄下產生一個 .google_authenticator 裡面有著 secret key 與 emergency scratch codes 相反的，這個檔案也就非常重要，最好不要亂修改權限以及放在公開空間