Administration du système NFS sécurisé

Afin d'utiliser le système NFS sécurisé, tous les ordinateurs dont vous êtes responsable doivent posséder un nom de domaine. En règle générale, un domaine est une entité administrative de plusieurs ordinateurs qui fait partie d'un réseau de plus grande taille. Si vous exécutez un service de noms, vous devez également définir le service de noms pour le domaine. Reportez-vous au manuel Oracle Solaris Administration: Naming and Directory Services .

L'authentification via Kerberos 5 est prise en charge par le service NFS. Le Chapitre 19, Introduction au service Kerberos du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité traite du service Kerberos.

Vous pouvez également configurer l'environnement NFS sécurisé pour utiliser l'authentification Diffie-Hellman. Le Chapitre 18, Authentification des services réseau (tâches) du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité aborde ce service d'authentification.

Configuration d'un environnement NFS sécurisé avec l'authentification DH

Attribuez un nom de domaine.
Indiquez-le à tous les ordinateurs du domaine.
Etablissez les clés publiques et les clés secrètes pour les utilisateurs de vos clients.
Utilisez la commande newkey. Faites en sorte que chaque utilisateur définisse son propre mot de passe RPC sécurisé en utilisant la commande chkey.

Remarque - Pour plus d'informations sur ces commandes, reportez-vous aux pages de manuel newkey(1M) et chkey(1).

Une fois les clés publiques et les clés secrètes générées, les clés publiques et les clés secrètes chiffrées sont stockées dans la base de données publickey.
Vérifiez que le service de noms répond.
Par exemple :
- Si vous exécutez NIS, vérifiez que le démon ypbind est en cours d'exécution.
Vérifiez que le démon keyserv du serveur de clé est en cours d'exécution.
Saisissez la commande suivante :
```
# ps -ef | grep keyserv
root    100      1  16    Apr 11 ?        0:00 /usr/sbin/keyserv
root   2215   2211   5  09:57:28 pts/0    0:00 grep keyserv
```
Si le démon n'est pas en cours d'exécution, démarrez le serveur de clés en saisissant la commande suivante :
```
# svcadm enable network/rpc/keyserv
```
Déchiffrez et stockez la clé secrète.
En général, le mot de passe de connexion est identique au mot de passe réseau. Dans cette situation, keylogin n'est pas nécessaire. Si les mots de passe sont différents, les utilisateurs doivent se connecter, puis exécuter keylogin. Vous avez toujours besoin d'utiliser la commande keylogin -r en tant que root pour stocker la clé secrète déchiffrée dans /etc/.rootkey.

Remarque - Vous devez exécuter keylogin -r si la clé secrète root est modifiée ou si /etc/.rootkey est perdu.
Définissez le mode de sécurité pour le système de fichiers à partager.
Pour l'authentification Diffie-Hellman, ajoutez l'option sec=dh à la ligne de commande.
```
# share -F nfs -o sec=dh /export/home
```
Pour plus d'informations sur les modes de sécurité, reportez-vous à la page de manuel nfssec(5).
Mettez à jour les mappes de montage automatique pour le système de fichiers.
Modifiez les données auto_master pour inclure sec=dh en tant qu'option de montage dans les entrées appropriées pour l'authentification Diffie-Hellman :
```
/home    auto_home    -nosuid,sec=dh
```
Lorsque vous réinstallez, déplacez ou mettez à niveau un ordinateur, n'oubliez pas d'enregistrer /etc/.rootkey si vous ne définissez pas de nouvelles clés ou modifiez les clés pour root. Si vous supprimez /etc/.rootkey, vous pouvez toujours entrer les éléments suivants :
```
# keylogin -r
```

Ignorer les liens de navigation
Quitter l'aperu
	Gestion de systèmes de fichiers réseau dans Oracle Solaris 11.1 Oracle Solaris 11.1 Information Library (Français)