pam_tsol_account - Trusted Extensions 用 PAM アカウント管理モジュール
/usr/lib/security/pam_tsol_account.so.1
PAM 用の Solaris Trusted Extensions サービスモジュール /usr/lib/security/pam_tsol_account.so.1 は、ラベルに関連したアカウント制限を検査します。pam_tsol_account.so.1 モジュールは、必要な機能をオンデマンドで提供する、動的にロード可能な共有オブジェクトです。パスは、PAM 構成ファイルで指定されます。
pam_tsol_account.so.1 には、アカウント管理を実行するための関数 pam_sm_acct_mgmt() が含まれます。この関数は、ユーザーに許可されるラベル範囲を検査します。許可されるラベル範囲のデフォルトは、label_encodings(4) ファイル内に設定されています。これらのデフォルトは、user_attr(4) データベース内のエントリで上書きできます。
デフォルトでは、このモジュールは、大域ゾーンに接続するリモートホストが CIPSO ホストタイプであることが必要です。このポリシーを無効にするには、次に示すように、pam.conf(4) のエントリのオプションとして allow_unlabeled キーワードを追加します。
other account required pam_tsol_account allow_unlabeled
/etc/pam.d/ 内の同等の PAM 構成では、/etc/pam.d/other 内に次のエントリが含まれます:
account required pam_tsol_account allow_unlabeled
このモジュールに渡すことができるオプションを、次に示します。
ラベル付けされていないテンプレートタイプのホストからのリモート接続を許可します。
デバッグ情報を LOG_DEBUG レベルで提供します。syslog(3C) を参照してください。
次の値が返されます。
アカウントは、今回およびこのラベルでの使用で有効です。
現在のプロセスラベルがユーザーのラベル範囲外にある、プロセスのラベル情報を使用できない、リモートホストタイプが無効である、のいずれかです。
通常の PAM 操作と一致するエラーコードを返します。エラー関連の戻り値の詳細は、pam(3PAM) のマニュアルページを参照してください。
次の属性については、 attributes(5) を参照してください。
|
libpam(3LIB) のインタフェースは、マルチスレッドアプリケーション内部の各スレッドが独自の PAM ハンドルを使用する場合にのみ、「MT- 安全」です。
keylogin(1), libpam(3LIB), pam(3PAM), pam_sm_acct_mgmt(3PAM), pam_start(3PAM), syslog(3C), label_encodings(4), pam.conf(4), user_attr(4), attributes(5)
Oracle Solaris 11.3 での Kerberos およびその他の認証サービスの管理 の 第 1 章, プラグイン可能認証モジュールの使用
このマニュアルページに記載されている機能を利用できるのは、システムが Trusted Extensions を使用して構成されている場合のみです。