Administration du système Secure NFS

Afin d'utiliser le système Secure NFS, tous les ordinateurs dont vous êtes responsable doivent posséder un nom de domaine. En règle générale, un domaine est une entité administrative de plusieurs ordinateurs qui fait partie d'un réseau de plus grande taille. Si vous exécutez un service de noms, vous devez également définir le service de noms pour le domaine. Reportez-vous au Guide d’administration système : Services d’annuaire et de nommage (DNS, NIS et LDAP).

L'authentification via Kerberos 5 est prise en charge par le service NFS. Le Chapitre 21, Introduction to the Kerberos Service du System Administration Guide: Security Services aborde le service Kerberos.

Vous pouvez également configurer l'environnement Secure NFS pour utiliser l'authentification Diffie-Hellman. Le Chapitre 16, Using Authentication Services (Tasks) du System Administration Guide: Security Services aborde ce service d'authentification.

Configuration d'un environnement Secure NFS avec l'authentification DH

Affectez un nom à votre domaine, et indiquez-le à tous les ordinateurs du domaine.
Reportez-vous au Guide d’administration système : Services d’annuaire et de nommage (DNS, NIS et LDAP) si vous utilisez le service de noms NIS+.
Définissez les clés publiques et les clés secrètes pour les utilisateurs de vos clients en utilisant les commandes newkey ou nisaddcred. Faites en sorte que chaque utilisateur définisse son propre mot de passe RPC sécurisé en utilisant la commande chkey.
Remarque - Pour plus d'informations sur ces commandes, reportez-vous aux pages de manuel newkey(1M), nisaddcred(1M) et chkey(1).

Une fois les clés publiques et les clés secrètes générées, les clés publiques et les clés secrètes chiffrées sont stockées dans la base de données publickey.

Vérifiez que le service de noms répond.

Si vous exécutez NIS+, entrez la commande suivante :

# nisping -u
Last updates for directory eng.acme.com. :
Master server is eng-master.acme.com.
        Last update occurred at Mon Jun  5 11:16:10 1995

Replica server is eng1-replica-replica-58.acme.com.
        Last Update seen was Mon Jun  5 11:16:10 1995

Si vous exécutez NIS, vérifiez que le démon ypbind est en cours d'exécution.

Vérifiez que le démon keyserv du serveur de clé est en cours d'exécution.
Saisissez la commande suivante :
```
# ps -ef | grep keyserv
root    100      1  16    Apr 11 ?        0:00 /usr/sbin/keyserv
root   2215   2211   5  09:57:28 pts/0    0:00 grep keyserv
```
Si le démon n'est pas en cours d'exécution, démarrez le serveur de clés en tapant la commande suivante :
```
# /usr/sbin/keyserv
```
Déchiffrez et stockez la clé secrète.
En général, le mot de passe de connexion est identique au mot de passe réseau. Dans cette situation, keylogin n'est pas nécessaire. Si les mots de passe sont différents, les utilisateurs doivent se connecter, puis exécuter keylogin. Vous avez toujours besoin d'utiliser la commande keylogin -r en tant que root pour stocker la clé secrète déchiffrée dans /etc/.rootkey.

Remarque - Vous devez exécuter keylogin -r si la clé secrète root est modifiée ou si /etc/.rootkey est perdu.
Mettez à jour les options de montage pour le système de fichiers.
Pour l'authentification Diffie-Hellman, modifiez le fichier /etc/dfs/dfstab et ajoutez l'option sec=dh aux entrées appropriées.
```
share -F nfs -o sec=dh /export/home
```
Reportez-vous à la page de manuel dfstab(4) pour obtenir une description de /etc/dfs/dfstab.
Mettez à jour les mappages de montage automatique pour le système de fichiers.
Modifiez les données auto_master pour inclure sec=dh en tant qu'option de montage dans les entrées appropriées pour l'authentification Diffie-Hellman :
```
/home    auto_home    -nosuid,sec=dh
```
Remarque - Les versions utilisant Solaris 2.5 présentent une limitation. Si un client ne monte pas de manière sécurisée un système de fichiers partagé qui est sécurisé, les utilisateurs ont accès en tant qu'utilisateurs nobody plutôt que comme eux-mêmes. Pour les versions ultérieures qui utilisent la version 2, le serveur NFS refuse l'accès si les modes de sécurité ne correspondent pas, sauf si -sec=none est inclus dans la ligne de commande share. Avec la version 3, le mode est hérité du serveur NFS, de sorte que les clients n'ont pas besoin de spécifier sec=dh. Les utilisateurs ont accès aux fichiers en tant qu'eux-mêmes.

Lorsque vous réinstallez, déplacez ou mettez à niveau un ordinateur, n'oubliez pas d'enregistrer /etc/.rootkey si vous ne définissez pas de nouvelles clés ou modifiez les clés pour root. Si vous supprimez /etc/.rootkey, vous pouvez toujours entrer les éléments suivants :
```
# keylogin -r
```

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : Services réseau