PIM(EP) r12.8 SP1: PIM アンインストール後、全ユーザがログインできない

Products

• CA Privileged Identity Management Endpoint (PIM)
• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Identity Manager (以下、 PIM) を システムからアンインストールした後で、全てのユーザがシステムにリモートからも、コンソールからもログインできなくなった。

Environment

Privileged Identity Manager: エンドポイント  r12.8 SP1 
Privileged Access Manager Server Control: エンドポイント すべてのバージョン

Cause

PIM インストーラは ログインのインターセプションを行うために、 pam_seos.so のエントリを PAM 設定ファイルの pam_unix.so の直後に追加します。
この時、ルールの中にインデックスジャンプ ("success = x" の要素) の設定がある場合、PIM インストーラは インデックスを加算して更新します。

PIM のアンインストーラは この PAM 設定ファイルから、 pam_seos.so のエントリは削除しますが、インデックスジャンプの項目が更新されていませんでした。

このため、正しい行にジャンプできず、ログインが失敗していました。 

Resolution

回避策としては、手動でインデックスジャンプの行番号を減算してください。

例: 

PIM インストール前:
  auth [success=3 default=ignore] pam_unix.so nullok try_first_pass

PIM インストール後:
  auth [success=4 default=ignore] pam_unix.so nullok try_first_pass

PIM アンインストール後:
  auth [success=4 default=ignore] pam_unix.so nullok try_first_pass

以下のように変更して保存してください:
  auth [success=3 default=ignore] pam_unix.so nullok try_first_pass

なお、本問題は テストフィックス T5C1155 修正されました。
このテストフィックスは PIM 12.8 SP1 CP02以降に含まれています。

Additional Information

なお、本KBは以下の英文 KB を翻訳し補足しました。

Article ID: 119901: PIM(EP) r12.8 SP1: cannot login after uninstall PIM