[ Pobierz całość w formacie PDF ]
.Flaga kontroli Działanierequisite W przypadku niepowodzenia takiego PAM, nastąpi natychmiastowezatrzymanie procesu autentykacjirequired W przypadku niepowodzenie takiego PAM, zostanie zwrócony błądprzez PAM-AMI, lecz dopiero po tym, jak pozostałe moduły dla tejusługi i rodzaju PAM zostaną wykonanesufficient Sukces takiego modułu wystarcza do zadowolenia wymagańautentykacji w stosie modułów (jeżeli wcześniej nie powiódł się modułrequired, sukces tego jest ignorowany)optional Sukces lub niepowodzenie tego modułu jest istotny tylko jeśli jestjedynym modułem na stosie związanym z daną usługą i rodzajem PAMTab.52.Flagi kontrolne w pliku /etc/pam.confSkładnia plików z /etc/pam.d/ jest taka sama, z tą różnicą że nie ma tam pól usług.W tym wypadku, usługa jest nazwą pliku z /etc/pam.d/.Nazwa pliku musi być zapisanamałymi literami.Ważną właściwością Linux-PAM jest to, że można zestawić na stosie wiele regułi łączyć tak usługi wielu PAMów dla danego zadania autentykacji.- 111 -M.Klesiewicz  Instalacja, konfiguracja i administrowanie serwera sieciowegoPlik /etc/pam.d/login# Przykładowy plik /etc/pam.d/loginauth requisite pam_securetty.so#Wyłącza możliwość zalogowania jako root z wyjątkiem terminali#określonych w pliku /etc/securettyauth requisite pam_nologin.so#Wyłącza możliwość zalogowania innego niż root w sytuacji, gdy#istnieje plik /etc/nologin.auth required pam_env.so#Zamienia plik /etc/environment i pozwala także na użycie#rozszerzonej konfiguracji w pliku /etc/security/pam_env.conf.auth required pam_unix.so nullok#Standardowa Uniksowa autentykacja.Opcja "nullok" pozwala na#rozliczanie haseł.#auth optional pam_group.so#Pozwala pewnym dodatkowym grupom przyznawać użytkownikowi podstawowe#z rzeczy jak czas, terminal, usługa czy użytkownik#account requisite pam_time.so#Pozwala na ustawienie czasu wstrzymywania logowania za pomocą pliku#/etc/seecurity/time.conf.#account required pam_access.so#Pozwala na ustawianie limitów dostępu za pomocą pliku#/etc/security/access.conf.account required pam_unix.sosession required pam_unix.so#Standardowe Uniksowe rozliczanie i zarządzanie sesją.#session required pam_limits.so#Ustawia limity użytkowników za pomocą pliku#/etc/security/limits.conf.session optional pam_lastlog.so#Wyświetla ostatnią informację o pomyślnym logowaniu do systemu.session optional pam_motd.so#Wyświetla wiadomość dnia (plik /etc/motd)po pomyślnym zalogowaniu do#systemu.session optional pam_mail.so standard noenv#Wyświetla status skrzynki pocztowej po pomyślnym zalogowaniu.Można#też stąd uaktywnić zmienną środowiskową MAIL, ale lepiej jest radzić#sobie przez plik /etc/login.defs, odkąd polecenie userdel jest także#używane do upewniania się, że usunięcie użytkownika, także usuwa#jego skrzynkę pocztową.password required pam_unix.so nullok obscure min=4 max=8 md5#Jest używane tylko, kiedy wygasa ważność hasła i musi być zmienione.#Opcja "nullok" umożliwia użytkownikom zmianę pustego hasła, bo#inaczej puste hasła są traktowane jako konta zablokowane.Wpis "md5"#włącza obsługę haseł MD5.Opcje "min" i "max" egzekwują długość#nowego hasła.- 112 -M.Klesiewicz  Instalacja, konfiguracja i administrowanie serwera sieciowegoPlik /etc/pam.d/passwd# Przykładowy plik /etc/pam.d/passwdpassword required pam_unix.so nullok obscure min=4 max=8 md5#Jest używane tylko, kiedy wygasa ważność hasła i musi być zmienione.#Opcja "nullok" umożliwia użytkownikom zmianę pustego hasła, bo#inaczej puste hasła są traktowane jako konta zablokowane.Wpis "md5"#włącza obsługę haseł MD5.Opcje "min" i "max" egzekwują długość#nowego hasła.Plik /etc/pam.d/su# Przykładowy plik /etc/pam.d/suauth required pam_wheel.so#Umożliwia korzystanie z polecenia su tylko użytkownikom z grupy#root (domyślnie) lub po jej utworzeniu  grupy wheel.#auth sufficient pam_wheel.so trust#Umożliwia korzystanie z polecenia su bez podawania hasła roota#członkom grupy wheel.#auth required pam_wheel.so deny group=#Uniemożliwia członkom grupy "grupa" korzystania z polecenia suauth sufficient pam_rootok.so#Umożliwia użytkonikowi root korzystania z su bez podawania hasła#(standardowa operacja).#account requisite pam_time.so#Umożliwia ustawianie czasu wyłączania polecenia su za pomocą pliku#/etc/security/time.conf.auth required pam_unix.soaccount required pam_unix.sosession required pam_unix.so#Standardowe Uniksowa autentykacja.session required pam_limits.so#Ustawia limity użytkowników za pomocą pliku#/etc/security/limits.conf.Konfiguracja ograniczeńKonfigurację podstawowych ograniczeń oraz przywilejów umożliwiają plikikonfiguracyjne z katalogu /etc/security.Zawiera on następujące pliki:/etc/security/access.conf/etc/security/group.conf/etc/security/limits.conf/etc/security/pam_env.conf/etc/security/time.confPlik /etc/security/access.confPlik /etc/security/access.conf pozwala na kontrolę tego, skąd następuje logowanieposzczególnych użytkowników.- 113 -M.Klesiewicz  Instalacja, konfiguracja i administrowanie serwera sieciowegoKażdy wpis w tym pliku ma następujący format:::gdzie zezwolenie może przyjmować dwie wartości: + (przyznanie dostępu) lub -(zabronienie dostępu), pole użytkownicy określa listę użytkowników, których dotyczyćma zezwolenie, zaś pochodzenie oznacza listę terminali logowania, nazwy hostów,adresy hostów lub nazwy domen.# Przykładowy plik /etc/security/access.conf-:root:ALL EXCEPT LOCAL.tk.krakow.pl#Zabrania logowania administratora ze wszystkich hostów oprócz hostów#lokalnych i z hostow domeny tk.krakow.pl-:school:ALL EXCEPT LOCAL#Zabrania logowania członkom grupy school logowania z hostów nie#należących do sieci lokalnejPlik /etc/security/limits.confPlik /etc/security/limits.conf umożliwia wprowadzenie różnych przydatnychograniczeń dla użytkowników systemu.Każdy wpis w tym pliku ma następujący format:gdzie dziedzina określa nazwę użytkownika lub nazwę grupy (ze znakiem @), typprzyjmuje dwie wartości: soft dla wprowadzania w życie limitów, po przekroczeniuktórych system zacznie wyświetlać komunikaty o ich przekroczeniu i hard dla limitów, poprzekroczeniu których system zablokuje możliwość dalszego ich przekraczania; rzeczokreśla, czego dotyczy limit i może przyjmować wartości: core (limity plików corew KB), data (maksymalna wielkość danych w KB), fsize (maksymalny rozmiar plikóww KB), memlock (maksymalna przestrzeń adresowa ulokowana w pamięci w KB), nofile(maksymalna liczba otwartych plików), rss (maksymalny rozmiar używanej pamięciw KB), stack (maksymalny rozmiar stosu w KB), cpu (maksymalny czas procesoraw minutach), nproc (maksymalna liczba uruchomionych procesów), as (limit przestrzeniadresowej), maxlogins (maksymalna liczba zalogowań) oraz priority (priorytet, z jakimuruchamiane są procesy), natomiast wartość określa wartość przypisanego limitu.# Przykładowy plik /etc/security/limits [ Pobierz całość w formacie PDF ]