Oracle Solaris システムへのログインに UNIX パスワードおよび OTP を要求する方法

言語:

始める前に

OTP の構成方法を完了しておきます。

このタスクのステップを完了するには、次の権利プロファイルを持つ管理者になる必要があります。

User Management 権利プロファイル – ユーザーへの PAM ポリシーの割り当て
OTP Auth Manage All Users 権利プロファイル – OTP の管理

root 役割には、これらの権利がすべて含まれています。詳細は、Oracle Solaris 11.3 でのユーザーとプロセスのセキュリティー保護 の割り当てられている管理権利の使用を参照してください。

ユーザーがモバイルオーセンティケータアプリに秘密鍵を入力し確定したことを確認します。
管理者とユーザーは次のタスクを完了しています。
- OTP の秘密鍵を構成および確認する方法
- OTP ユーザー用に秘密鍵を設定する方法
User Management 権利プロファイルを持つ管理者として、ユーザーの PAM ポリシーを otp に変更します。
```
$ pfexec usermod -K pam_policy=otp username
```
OTP ユーザーにログインをテストするよう指示します。
ユーザーは、最初に通常のログインパスワード、次に OTP の入力を求められるはずです。
(オプション) ユーザーに対して OTP を無効にするには、次の 2 つのステップを実行します。
1. User Management 権利プロファイルを持つ管理者として、ユーザーの PAM ポリシーとしての otp を削除します。
```
$ pfexec usermod -K pam_policy=  username
```
2. OTP Auth Manage All Users 権利プロファイルを持つ管理者として、ユーザーのホームディレクトリから非アクティブの OTP 構成ファイルを削除します。
```
$ pfexec otpadm -u username expunge
```

使用例 48 長い OTP および強力なアルゴリズムへの変更の強制

企業で使用されているオーセンティケータアプリは、非常に強力なアルゴリズムと長いパスワードを扱うことができます。強力なセキュリティーポリシーを実装するには、管理者は OTP ユーザーに SHA2 アルゴリズムおよび 8 桁のパスワードに変更するよう通知します。次に、管理者はユーザーの変更を監査します。電子メールおよびユーザーの責任は、使用例 46に示されています。

ユーザーが OTP 属性を変更する時間を与えたあと、管理者はすべての OTP ユーザーを監査します。
```
$ pfexec otpadm -u username get algorithm digits
              digits=8
           algorithm=hmac-sha256
```
ユーザーの構成が以前の出力とは異なる場合、管理者はユーザーがロックアウトされる日付を指定した警告電子メールを送信します。
管理者は、指定された日に、新しい OTP 構成に変更しなかった OTP ユーザーをロックアウトします。
```
$ pfexec usermod -e date username
```

使用例 49 OTP 認証にタイマーではなくカウンタを使用

この例では、ユーザーはカウンタモードをサポートしているモバイルオーセンティケータを使用しています。管理者は、モバイルオーセンティケータがログインサーバーに同期しない場合、OTP モードを counter に設定します。既存のコードの使用を防ぐため、管理者は新しい秘密鍵を設定します。

$ otpadm -u username set mode=counter secret
$ otpadm -u username get secret
VOCJ YHTV 2C4O DTDN R34X CGM4 YZVM JJFI

管理者は、秘密鍵をアウトオブバンドでユーザーに送信します。秘密を入力する前に、ユーザーはモバイルオーセンティケータアプリがカウンタモードを使用するように設定します。

トラブルシューティング

オーセンティケータがユーザーの OTP を確認しない場合、ユーザーは 2 つ目に表示される OTP を待機し、試す必要があります。

ログインサーバーが OTP を受け入れない場合、モバイルデバイスのクロックとサーバーが同期していることを確認します。