あたらしいpamの設定ファイルとpam_ldap
libpam-runtimeに入っているpam.d/common-*が変わったのでちょっと設定変更
auth [success=2 default=ignore] pam_unix.so nullok_secure
auth [success=1 default=ignore] pam_ldap.so use_first_pass
auth requisite pam_deny.so
auth required pam_permit.so
となった。3行目の部分がデフォルトで追加されているのでこうなる。今までよりsuccessで飛ばす行数が増えた。
pam.conf(5)を読んでいて気付いたがrequiredとかのキーワードは[...]で定義される条件に名前をつけたものになっているわけですね。