Verwalten des Secure NFS-Systems

Damit das Secure NFS-System verwendet werden kann, müssen alle von Ihnen verwalteten Rechner einen Domainnamen haben. Eine Domain ist eine Entität zur Systemverwaltung, die aus mehreren Rechnern besteht und zu einem größeren Netzwerk gehört. Wenn Sie einen Name Service ausführen, sollten Sie auch einen Name Service für die Domain einrichten. Lesen Sie dazu Systemverwaltungshandbuch: Naming Services und Directory Services (DNS, NIS und LDAP).

Die Kerberos-V5-Authentifizierung wird vom NFS-Service unterstützt. Eine Erläuterung des Kerberos-Service finden Sie in Kapitel 21, Einführung zum Kerberos-Service in Systemverwaltungshandbuch: Sicherheitsservices.

Sie können auch die Secure NFS-Umgebung konfigurieren, um die Diffie-Hellman-Authentifizierung zu verwenden. Eine Erläuterung dieses Authentifizierungsservice finden Sie in Kapitel 16, Verwenden von Authentifizierungsservices (Aufgaben) in Systemverwaltungshandbuch: Sicherheitsservices.

So Richten Sie eine Secure NFS-Umgebung mit DH-Authentifizierung ein

Weisen Sie Ihrer Domain einem Domainnamen zu, und sorgen Sie dafür, dass der Domainname jedem Rechner in der Domain bekannt ist.
Wenn Sie NIS+ als Name Service verwenden, informieren Sie sich im Systemverwaltungshandbuch: Naming Services und Directory Services (DNS, NIS und LDAP).
Erstellen Sie öffentliche und geheime Schlüssel für die Benutzer Ihrer Clients, indem Sie den Befehl newkey oder den Befehl nisaddcred verwenden. Lassen Sie von jedem Benutzer ein eigenes RPC-Passwort mithilfe des Befehls chkey erstellen.
Hinweis - Informationen zu diesen Befehlen finden Sie auf den Manpages newkey(1M), nisaddcred(1M) und chkey(1).

Nachdem öffentliche und geheime Schlüssel erstellt wurden, werden die öffentlichen und verschlüsselten geheimen Schlüssel in der publickey-Datenbank gespeichert.

Stellen Sie sicher, dass der Name Service reagiert.

Wenn Sie NIS+ verwenden, geben Sie Folgendes ein:

# nisping -u
Last updates for directory eng.acme.com. :
Master server is eng-master.acme.com.
        Last update occurred at Mon Jun  5 11:16:10 1995

Replica server is eng1-replica-replica-58.acme.com.
        Last Update seen was Mon Jun  5 11:16:10 1995

Wenn Sie NIS verwenden, stellen Sie sicher, dass der ypbind-Dämon ausgeführt wird.

Stellen Sie sicher, dass der keyserv-Dämon des Schlüsselservers ausgeführt wird.
Geben Sie folgenden Befehl ein:
```
# ps -ef | grep keyserv
root    100      1  16    Apr 11 ?        0:00 /usr/sbin/keyserv
root   2215   2211   5  09:57:28 pts/0    0:00 grep keyserv
```
Wenn der Dämon nicht ausgeführt wird, starten Sie den Schlüsselserver, indem Sie Folgendes eingeben:
```
# /usr/sbin/keyserv
```
Entschlüsseln und speichern Sie die Geheimnisdatei.
Normalerweise ist das Anmeldepasswort identisch mit dem Netzwerkpasswort. In diesem Fall ist keylogin nicht erforderlich. Wenn sich die Passwörter unterscheiden, müssen sich die Benutzer anmelden und dann keylogin ausführen. Sie müssen den Befehl keylogin -r als root-Benutzer ausführen , um den entschlüsselten Geheimnisschlüssel in /etc/.rootkey zu speichern.

Hinweis - Sie müssen keylogin -r ausführen, wenn der Root-Geheimnisschlüssel sich geändert hat oder wenn /etc/.rootkey verloren gegangen ist.
Aktualisieren Sie die Einhängeoptionen für das Dateisystem.
Für die Diffie-Hellman-Authentifizierung bearbeiten Sie die /etc/dfs/dfstab-Datei und fügen die Option sec=dh zu den entsprechenden Einträgen hinzu.
```
share -F nfs -o sec=dh /export/home
```
Auf der Manpage dfstab(4) finden Sie eine Beschreibung von /etc/dfs/dfstab.
Aktivieren Sie die Automounter-Maps für das Dateisystem.
Bearbeiten Sie auto_master-Daten, um sec=dh als Einhängeoption in die entsprechenden Einträge für die Diffie-Hellman-Authentifizierung einzufügen:
```
/home    auto_home    -nosuid,sec=dh
```
Hinweis - Die Versionen bis Solaris 2.5 weisen eine Beschränkung auf. Wenn ein Client ein sicheres gemeinsam genutztes Dateisystem nicht sicher einhängt, haben Benutzer als nobody anstelle ihres eigenen Benutzernames Zugriff. Bei nachfolgenden Versionen, die Version 2 verwenden, verweigert der NFS-Server den Zugriff, wenn die Sicherheitsmodi nicht übereinstimmen, es sei denn, -sec=none ist auf der share-Befehlszeile angegeben. Bei Version 3 wird der Modus vom NFS-Server übernommen, sodass sec=dh nicht von den Clients angegeben werden muss. Die Benutzer können mit ihrem eigenen Benutzernamen auf die Dateien zugreifen.

Um einen Rechner neu zu installieren, zu verschieben oder zu aktualisieren, müssen Sie /etc/.rootkey speichern, wenn Sie weder neue Schlüssel erstellen noch Schlüssel für root ändern. Wenn Sie /etc/.rootkey löschen, können Sie Folgendes eingeben:
```
# keylogin -r
```

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Netzwerkdienste