在CentOS系统中，pam_namespace模块是实现用户私有命名空间的核心工具。它通过为每个登录用户动态创建独立的挂载命名空间，让不同用户拥有各自隔离的临时目录（如/tmp、/var/tmp），从而有效防止用户之间的数据窥探和恶意访问。简单来说，配置好pam_namespace后，用户A登录只能看到自己的私有/tmp，用户B登录看到的是另一个完全独立的/tmp，两者互不干扰。这在多用户共享服务器、高校机房、企业办公终端等场景下是非常实用的安全加固手段。
什么是pam_namespace以及为什么需要它
pam_namespace是Linux PAM（Pluggable Authentication Modules，可插拔认证模块）框架下的一个功能模块。它的作用是在用户登录时，基于用户名自动创建一个独立的挂载命名空间，并将特定目录（通常是/tmp和/var/tmp）挂载到该命名空间中。这样每个用户的临时文件操作都被隔离在自己的"沙盒"里。
在没有pam_namespace的情况下，CentOS默认的/tmp目录是所有用户共享的。这意味着任何一个登录用户都可以查看、修改甚至删除其他用户在/tmp下的文件。这不仅存在隐私泄露风险，还可能被攻击者利用——比如在/tmp下放置恶意脚本，等待其他用户执行。
pam_namespace的工作原理
pam_namespace的工作流程可以分为以下几个步骤：第一，用户通过SSH、本地终端或其他方式登录系统；第二，PAM认证流程触发pam_namespace模块；第三，模块根据配置文件在/var/run/namespace/或/var/lib/namespace/下创建以用户名命名的目录；第四，将/tmp和/var/tmp等目录以bind mount的方式挂载到该私有目录中；第五，用户在该命名空间内的所有文件操作都被限制在私有目录范围内。
需要特别注意的是，pam_namespace只对通过PAM认证的登录会话生效。如果用户通过su命令切换身份，或者以root身份直接操作，则不会触发该模块。这是设计上的合理之处——root本身就拥有全部权限，不需要隔离。
CentOS上安装和启用pam_namespace
在CentOS 7和CentOS 8/Stream中，pam_namespace通常已经作为系统默认组件存在，不需要额外安装。你可以通过以下命令确认是否已安装：
rpm -qa | grep pam_namespace
如果没有输出或者提示未找到，可以通过以下方式安装：
yum install pam_namespace -y
安装完成后，需要确认PAM配置文件中是否已经引用了该模块。查看/etc/pam.d/login文件：
cat /etc/pam.d/login
你应该能看到类似下面的一行：
session optional pam_namespace.so
如果没有这一行，手动添加即可。同时，建议在/etc/pam.d/sshd和/etc/pam.d/system-auth中也添加相同配置，确保通过SSH远程登录时同样生效。
核心配置文件详解
pam_namespace的行为由/etc/security/namespace.conf和/etc/security/namespace.init这两个文件控制。这是整个配置的核心，必须理解清楚。
namespace.conf文件定义了哪些目录需要被隔离、隔离的策略是什么。典型的配置如下：
/tmp /tmp/inst/ level root,adm,myuser /var/tmp /var/tmp/inst/ level root,adm,myuser /var/run /var/run/inst/ level root,adm,myuser
这里每一行的含义是：第一列是需要被隔离的源目录，第二列是隔离后的挂载点（相对于用户私有目录），第三列是策略类型（level表示按用户级别隔离），第四列是排除列表（这些用户不会被隔离）。
策略类型有三种：user表示每个用户一个独立空间；level表示按用户级别（UID范围）分组；context表示按安全上下文（如SELinux）分组。对于大多数场景，使用level策略即可满足需求。
namespace.init文件的作用
/etc/security/namespace.init是一个初始化脚本，在用户首次登录且私有目录尚不存在时自动执行。它通常用于创建用户私有目录的初始结构，比如在/var/lib/namespace/用户名/下创建标准的子目录。
一个典型的namespace.init内容如下：
#!/bin/bash mkdir -p /var/lib/namespace/$USER/tmp mkdir -p /var/lib/namespace/$USER/var/tmp chmod 1777 /var/lib/namespace/$USER/tmp chmod 1777 /var/lib/namespace/$USER/var/tmp
这个脚本确保每个用户的私有/tmp目录具有正确的权限（1777即sticky bit，防止用户删除他人文件）。注意，这个脚本必须可执行：
chmod +x /etc/security/namespace.init
完整配置实战步骤
下面给出一套完整的CentOS 7/8配置流程，按照步骤操作即可实现用户私有命名空间。
第一步，编辑namespace.conf：
vim /etc/security/namespace.conf
写入以下内容：
/tmp /tmp/ level root,adm /var/tmp /var/tmp/ level root,adm
这里排除了root和adm用户，因为系统服务和管理员通常需要访问全局/tmp。
第二步，编辑namespace.init：
vim /etc/security/namespace.init
写入：
#!/bin/bash umask 0077 mkdir -p /var/lib/namespace/$USER/tmp mkdir -p /var/lib/namespace/$USER/var/tmp chmod 1777 /var/lib/namespace/$USER/tmp chmod 1777 /var/lib/namespace/$USER/var/tmp
第三步，确保PAM引用了pam_namespace。编辑/etc/pam.d/login：
vim /etc/pam.d/login
在session部分添加：
session optional pam_namespace.so
第四步，重启相关服务或重新登录测试。
验证配置是否生效
配置完成后，用普通用户登录系统，然后执行以下命令查看/tmp的挂载情况：
mount | grep tmp
你应该看到类似输出：
/tmp on /var/lib/namespace/testuser/tmp type none (rw,bind)
这说明/tmp已经被bind mount到了用户testuser的私有目录中。再用另一个用户登录，你会发现两个用户看到的/tmp内容完全不同，互不影响。
也可以通过查看/var/lib/namespace/目录来确认私有目录是否被创建：
ls -la /var/lib/namespace/
常见问题和排错指南
在实际部署中，可能会遇到几个常见问题。第一，用户登录后/tmp没有被隔离。这通常是因为PAM配置文件中没有正确添加pam_namespace行，或者该行被注释掉了。检查/etc/pam.d/下所有相关文件，确保都有配置。
第二，namespace.init脚本没有执行。检查脚本是否有执行权限，以及/etc/security/namespace.conf中是否指定了正确的init路径。默认路径就是/etc/security/namespace.init。
第三，某些服务无法正常运行。因为服务进程通常不经过PAM登录流程，所以不会触发pam_namespace。如果某个服务依赖/tmp下的文件，需要在namespace.conf的排除列表中添加该服务运行的用户，或者调整策略。
第四，SELinux冲突。如果系统启用了SELinux，可能会阻止bind mount操作。可以通过查看/var/log/audit/audit.log来排查，必要时添加相应的SELinux策略。
安全加固的额外建议
pam_namespace只是CentOS安全加固的一环。配合使用效果更好的措施包括：设置/tmp目录的noexec选项防止执行恶意程序，定期清理私有命名空间中的过期文件，结合systemd的PrivateTmp功能为服务提供独立的/tmp，以及通过auditd监控对/tmp的异常访问行为。
另外，对于root用户，建议不要排除在隔离之外。虽然root通常需要全局访问权限，但在高安全场景下，即使是root也应该在特定操作中使用受限环境，这需要根据实际业务需求权衡。
总结
pam_namespace是CentOS系统中一个轻量级但非常有效的安全模块。它通过PAM框架在用户登录时自动创建隔离的挂载命名空间，让每个用户拥有独立的/tmp和/var/tmp，从根本上解决了多用户环境下临时目录的安全隐患。配置过程并不复杂，核心就是编辑namespace.conf和namespace.init两个文件，并确保PAM配置正确引用。在实际生产环境中，建议先在测试机器上验证，确认不影响业务后再全面部署。这是一项投入小、收益大的安全措施，值得每一位CentOS系统管理员掌握和应用。
