Administration de l'authentification avec le RPC sécurisé (tâches)

En requérant l'authentification pour l'utilisation des systèmes de fichiers NFS montés, vous augmentez la sécurité de votre réseau.

Administration du RPC sécurisé (liste des tâches)

La liste des tâches suivante indique les procédures de configuration du RPC sécurisé pour NIS et NFS.

Procédure de redémarrage du serveur de clé RPC sécurisé

Avant de commencer

Vous devez être dans le rôle root.

1. Vérifiez que le démon keyserv est en cours d'exécution.

   # svcs \*keyserv\*
   STATE    STIME   FMRI
   disabled Dec_14  svc:/network/rpc/keyserv

2. Activez le service du serveur de clés si le service n'est pas en ligne.

   # svcadm enable network/rpc/keyserv

Procédure de configuration d'une clé Diffie-Hellman pour un hôte NIS

Cette procédure doit être effectuée sur chaque hôte du domaine NIS.

Avant de commencer

Vous devez être dans le rôle root.

1. Si le service de noms par défaut n'est pas NIS, ajoutez-y la carte publickey.
   1. Vérifiez que la valeur de config/default pour le service de noms n'est pas nis.

      # svccfg -s name-service/switch listprop config
      config                       application
      config/value_authorization   astring       solaris.smf.value.name-service.switch
      config/default               astring       files
      config/host                  astring       "files nis dns"
      config/printer               astring       "user files nis"

      Si la valeur de config/default est nis, vous pouvez arrêter ici.

   2. Définissez le service de noms pour publickey sur nis.

      # svccfg
      # svccfg -s name-service/switch setprop config/publickey = astring: "nis"
      # svccfg -s name-service/switch:default refresh

   3. Confirmez la valeur de publickey.

      # svccfg
      # svccfg -s name-service/switch listprop
      config                       application
      config/value_authorization   astring       solaris.smf.value.name-service.switch
      config/default               astring       files
      config/host                  astring       "files nis dns"
      config/printer               astring       "user files nis"
      config/publickey             astring       nis

      Sur ce système, la valeur de publickey est répertoriée, car elle est différente de la valeur par défaut, files.

2. Créez une nouvelle paire de clés à l'aide de la commande newkey.

   # newkey -h hostname

   où hostname est le nom du client.

Exemple 14-1 Configuration d'une nouvelle clé pour root sur un client NIS

Dans l'exemple ci-dessous, earth est configuré en tant que client NIS sécurisé. L'administrateur se voit attribuer le profil de droits Name Service Security (sécurité du service de noms).

# newkey -h earth
Adding new key for unix.earth@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

Procédure de configuration d'une clé Diffie-Hellman pour un utilisateur NIS

Cette procédure doit être effectuée sur chaque utilisateur du domaine NIS.

Avant de commencer

Seuls les administrateurs système, lorsqu'ils sont connectés au serveur maître NIS, peuvent générer une nouvelle clé pour un utilisateur. Le profil de droits Name Service Security (sécurité du service de noms) doit avoir été attribué aux administrateurs.

1. Endossez le rôle d'administrateur et dotez-vous des attributs de sécurité nécessaires.

   Pour plus d'informations, reportez-vous à la section Procédure d'obtention des droits d'administration.

2. Créez une nouvelle clé pour un utilisateur.

   # newkey -u username

   où username correspond au nom de l' utilisateur. Le système vous invite à saisir un mot de passe. Vous pouvez saisir un mot de passe générique. La clé privée est stockée sous forme chiffrée à l'aide du mot de passe générique.

3. Indiquez à l'utilisateur de se connecter et de saisir la commande chkey -p.

   Cette commande permet aux utilisateurs de re-chiffrer leurs clés privées avec un mot de passe uniquement connu de l'utilisateur.

   ---

   Remarque - La commande chkey peut être utilisée pour créer une nouvelle paire de clés pour un utilisateur.

   ---

Exemple 14-2 Configuration et chiffrement d'une nouvelle clé utilisateur dans NIS

Dans cet exemple, le superutilisateur définit la clé.

# newkey -u jdoe
Adding new key for unix.12345@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

L'utilisateur jdoe re-chiffre la clé à l'aide d'un mot de passe privé.

% chkey -p
Updating nis publickey database.
Reencrypting key for unix.12345@example.com
Please enter the Secure-RPC password for jdoe:<Type password>
Please enter the login password for jdoe:     <Type password>
Sending key change request to centralexample...

Procédure de partage de fichiers NFS avec l'authentification Diffie-Hellman

Cette procédure protège les systèmes de fichiers partagés sur un serveur NFS en requérant l'authentification pour l'accès.

Avant de commencer

L'authentification par clé publique Diffie-Hellman doit être activée sur le réseau. Pour activer l'authentification sur le réseau, effectuez la procédure Procédure de configuration d'une clé Diffie-Hellman pour un hôte NIS.

Le profil de droits System Management (gestion du système) doit vous avoir été attribué pour effectuer cette tâche.

1. Endossez le rôle d'administrateur et dotez-vous des attributs de sécurité nécessaires.

   Pour plus d'informations, reportez-vous à la section Procédure d'obtention des droits d'administration.

2. Sur le serveur NFS, partagez un système de fichiers avec l'authentification Diffie-Hellman.

   # share -F nfs -o sec=dh /filesystem

   où filesystem est le système de fichiers partagé.

   L'option -o sec=dh signifie que l'authentification AUTH_DH est désormais requise pour accéder au système de fichiers.

3. Sur un client NFS, montez un système de fichiers avec l'authentification Diffie-Hellman.

   # mount -F nfs -o sec=dh server:filesystem mount-point

   server

   Nom du système qui partage filesystem

   filesystem

   Nom du système de fichiers partagé, tel que opt

   mount-point

   Nom du point de montage, tel que /opt

   L'option -o sec=dh permet de monter le système de fichiers avec l'authentification AUTH_DH.