Tacacs+ с двухфакторной аутентификацией Google PAM?

Я работаю на сервере tacacs+ для своей сети кампуса, и мне было интересно, как я могу настроить сервер tacacs+ для связи с PAM с двухфакторной аутентификацией Google. Я немного погуглил, нашел некоторую полезную информацию, но не нашел четкой "дорожной карты", и многие шаги кажутся в лучшем случае нечеткими. У меня прямо сейчас работает тестовый стенд Ubuntu tacacs+, на котором еще не настроены ни коммутаторы, ни маршрутизаторы.

Кто-нибудь сделал что-то подобное? Я нашел относительно хорошее руководство в цепочке сообщений RedHat здесь: https://www.redhat.com/archives/pam-list/2014-March/msg00008.html

Я не знаю точно, куда идти дальше, или как эта система работает. Есть ли примеры, которым я могу следовать или какие-либо предложения, которые есть у кого-нибудь? Я чувствую себя как в режиме проб и ошибок прямо сейчас.

РЕДАКТИРОВАТЬ: В частности, прямо сейчас, я смотрю на примеры файлов конфигурации PAM в /etc/pam.d/(tac_plus? Как бы он ни назывался), и я не уверен, что именно нужно идти туда. Это гугл-аутентификатор или Tacacs +? Мой пример выглядит примерно так, как показано ниже, но я не уверен, что здесь будет:

auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_ldap.so use_first_pass
auth        required      pam_deny.so

account     required      pam_unix.so broken_shadow
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     [default=bad success=ok user_unknown=ignore] pam_ldap.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass 
use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in 
crond quiet use_uid
session     required      pam_unix.so
session     required      pam_mkhomedir.so skel=/etc/skel/ umask=0077
session     optional      pam_ldap.so

Есть также конфиг для tacacs, который выглядит очень просто, но, как и все остальное, я никогда не видел его раньше, поэтому я не слишком уверен. Это выглядит так:

# admin group
group = admins {
        default service = permit
        login = PAM
        service = exec {
             priv-lvl = 15
        }
}