[devel] pam; radius

[Peter V. Saveliev]

...

есть pam_auth_radius (кстати, его бы до кучи в сизиф, лишним не будет).
Он нормально аутентифицирует пользователя, но есть одна тонкость. Радиус
в данном случае лишь проверяет соответствие логин/пароль. Мне же нужно
по радиусу авторизовать пользователей, не загромождая /etc/passwd.

Вот краткие характеристики ситуации:

*) есть k пользователей
*) есть freeradius из сизифа
*) есть n систем на базе _очень_ урезанного линуха

+) нужно пускать пользователей на системы в промышленном масштабе,
  adduser etc. исключено, радиус авторизует из БД
+) шелл у всех одинаковый, самописный
+) хомятник _не_нужен_, временное лежит в /tmp и от пользователя скрыто
+) неплохо бы ещё раскидывать пользователей по группам, при логине шелл 
  составляет список completions, доступных пользователю, ориентируясь на
  доступные в некоторой директории скрипты


Как это сделать проще всего? Можно ли радиусом передавать группу, к
которой принадлежит юзер? Можно ли в pam.d/login прописать такую
комбинацию, чтобы login лез на радиус только за паролем, а остальное
просто подставлялось бы по умолчанию, без заглядывания в локальный
/etc/passwd?

Куда читать, наконец? Пока изучаю доки по радиусу, просветление пока не
настигло.

Спасибо.

ЗЫ: писать ещё и свой login считаю извращением :)) Пока хватило своего
шелла, кучи скриптов и переписанного наполовину rlwrap :)

-- 
<signature />