コンソールにログインできるユーザーを制限する方法

での変更

このタスクでは、特定のユーザーに対してコンソールへのアクセスを制限します。/etc/pam.d/login 構成ファイルは、コンソールログインを制御します。

始める前に

root 役割になる必要があります。詳細は、Oracle Solaris 11.3 でのユーザーとプロセスのセキュリティー保護 の 割り当てられている管理権利の使用を参照してください。

1. /etc/pam.d/login ファイルを変更します。
   1. login ファイルのコピーを保存してから、元のファイルを開きます。

      # cd /etc/pam.d
      # cp login login.orig
      # pfedit login

   2. 次のエントリを追加します。

      ## Account management for login(1) incorporates pam_list(5)
      ## Restricts who can log in on the console to the users and netgroups 
      ## that are listed in the /etc/users.allow file
      account requisite pam_roles.so.1
      account definitive pam_user_policy.so.1
      account required pam_unix_account.so.1
      account required pam_list.so.1 allow=/etc/users.allow
      account required pam_tsol_account.so.1

2. /etc/users.allow ファイルを作成し、保護します。

   # cd /etc
   # touch users.allow ; chmod 644 users.allow

3. /etc/users.allow ファイルにユーザーを追加します。
   • たとえば、jdoe アカウントを追加します。

     ## permitted console logins
     jdoe

   • たとえば、ネットグループを追加します。

     ネットグループは、LDAP または NIS で一元的に定義され、ユーザーメンバーを持つグループです。一覧表示されているネットグループのメンバーは、コンソールのこの特定のシステムにログインできるようになります。

     ## permitted console logins
     jdoe
     @alladmins

     詳細は、netgroup(4)およびpam_list(5) のマニュアルページを参照してください。