Administration de l'authentification avec le RPC sécurisé (tâches)

En requérant l'authentification pour l'utilisation des systèmes de fichiers NFS montés, vous augmentez la sécurité de votre réseau.

Redémarrage du serveur de clé RPC sécurisé

Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.

Vérifiez que le démon keyserv est en cours d'exécution.

# svcs \*keyserv\*
STATE    STIME   FMRI
disabled Dec_14  svc:/network/rpc/keyserv

Activez le service du serveur de clés si le service n'est pas en ligne.
```
# svcadm enable network/rpc/keyserv
```

Configuration d'une clé Diffie-Hellman pour un hôte NIS+

Cette procédure doit être effectuée sur chaque hôte du domaine NIS+. Une fois que root a exécuté la commande keylogin, le serveur dispose d'informations d'identification de l'accepteur GSS-API pour mech_dh et le client dispose d'informations d'identification de l'initiateur GSS-API.

Pour une description détaillée de la sécurité NIS+, reportez-vous au System Administration Guide: Naming and Directory Services (NIS+).

Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.
Activez la table publickey dans le service de nommage.
Ajoutez la ligne suivante au fichier /etc/nsswitch.conf :
```
publickey: nisplus
```
Initialisez le client NIS+.
```
# nisinit -cH hostname
```
où hostname est le nom d'un serveur NIS+ de confiance qui contient une entrée dans ses tables pour le système client.
Ajoutez le client à la table cred.
Saisissez les commandes suivantes :
```
# nisaddcred local
# nisaddcred des
```
Vérifiez la configuration à l'aide de la commande keylogin.
Si vous êtes invité à saisir un mot de passe, la procédure s'est correctement exécutée.
```
# keylogin
Password:
```

Exemple 16-1 Configuration d'une nouvelle clé pour root sur un client NIS+

L'exemple suivant utilise l'hôte pluto pour configurer earth en tant que client NIS+. Vous pouvez ignorer les avertissements. La commande keylogin est acceptée, la vérification que earth est correctement configuré en tant que client NIS+ sécurisé est en cours.

# nisinit -cH pluto
NIS Server/Client setup utility.
This system is in the example.com. directory.
Setting up NIS+ client ...
All done.
# nisaddcred local
# nisaddcred des 
DES principal name : unix.earth@example.com
Adding new key for unix.earth@example.com (earth.example.com.)
Network password:<Type password>
Warning, password differs from login password.
Retype password: <Retype password>
# keylogin
Password:        <Type password>
#

Configuration d'une clé Diffie-Hellman Key pour un utilisateur NIS+

Cette procédure doit être effectuée sur chaque utilisateur du domaine NIS+.

Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.
Ajoutez des utilisateurs à la table cred sur un serveur maître root.
Saisissez la commande suivante :
```
# nisaddcred -p unix.UID@domain-name -P username.domain-name. des
```
Notez que, dans ce cas, username.domain-name doit se terminer par un point (.).
Vérifiez la configuration en vous connectant en tant que client et en saisissant la commande keylogin.

Exemple 16-2 Configuration d'une nouvelle clé pour un utilisateur NIS+

Dans l'exemple suivant, une clé pour l'authentification Diffie-Hellman est attribuée à l'utilisateur jdoe.

# nisaddcred -p unix.1234@example.com -P jdoe.example.com. des
DES principal name : unix.1234@example.com
Adding new key for unix.1234@example.com (jdoe.example.com.)
Password:       <Type password>
Retype password:<Retype password>
# rlogin rootmaster -l jdoe
% keylogin
Password:       <Type password>
%

Configuration d'une clé Diffie-Hellman pour un hôte NIS

Cette procédure doit être effectuée sur chaque hôte du domaine NIS.

Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.
Activez la carte publickey dans le service de nommage.
Ajoutez la ligne suivante au fichier /etc/nsswitch.conf :
```
publickey: nis
```
Créez une nouvelle paire de clés à l'aide de la commande newkey.
```
# newkey -h hostname
```
où hostname est le nom du client.

Exemple 16-3 Configuration d'une nouvelle clé pour root sur un client NIS

Dans l'exemple ci-dessous, earth est configuré en tant que client NIS sécurisé.

# newkey -h earth
Adding new key for unix.earth@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

Configuration d'une clé Diffie-Hellman Key pour un utilisateur NIS

Cette procédure doit être effectuée sur chaque utilisateur du domaine NIS.

Avant de commencer

Seuls les administrateurs système, lorsqu'ils sont connectés au serveur maître NIS, peuvent générer une nouvelle clé pour un utilisateur.

Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.
Créez une nouvelle clé pour un utilisateur.
```
# newkey -u username
```
où username correspond au nom de l' utilisateur. Le système vous invite à saisir un mot de passe. Vous pouvez saisir un mot de passe générique. La clé privée est stockée sous forme chiffrée à l'aide du mot de passe générique.
Indiquez à l'utilisateur de se connecter et de saisir la commande chkey -p.
Cette commande permet aux utilisateurs de re-chiffrer leurs clés privées avec un mot de passe uniquement connu de l'utilisateur.

Remarque - La commande chkey peut être utilisée pour créer une nouvelle paire de clés pour un utilisateur.

Exemple 16-4 Configuration et chiffrement d'une nouvelle clé utilisateur dans NIS

Dans cet exemple, le superutilisateur définit la clé.

# newkey -u jdoe
Adding new key for unix.12345@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

L'utilisateur jdoe re-chiffre la clé à l'aide d'un mot de passe privé.

% chkey -p
Updating nis publickey database.
Reencrypting key for unix.12345@example.com
Please enter the Secure-RPC password for jdoe:<Type password>
Please enter the login password for jdoe:     <Type password>
Sending key change request to centralexample...

Partage de fichiers NFS avec l'authentification Diffie-Hellman

Cette procédure protège les systèmes de fichiers partagés sur un serveur NFS en requérant l'authentification pour l'accès.

Avant de commencer

L'authentification par clé publique Diffie-Hellman doit être activée sur le réseau. Pour activer l'authentification sur le réseau, effectuez l'une des opérations suivantes :

Configuration d'une clé Diffie-Hellman pour un hôte NIS+
Configuration d'une clé Diffie-Hellman pour un hôte NIS

Connectez-vous en tant que superutilisateur ou prenez un rôle incluant le profil de gestion du système de fichiers.
Le rôle d'administrateur système inclut le profil de gestion du système de fichiers. Pour créer le rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration de RBAC (liste des tâches).
Sur le serveur NFS, partagez un système de fichiers avec l'authentification Diffie-Hellman..
```
# share -F nfs -o sec=dh /filesystem
```
où filesystem est le système de fichiers partagé.
L'option -o sec=dh signifie que l'authentification AUTH_DH est désormais requise pour accéder au système de fichiers.
Sur un client NFS, montez un système de fichiers avec l'authentification Diffie-Hellman.
```
# mount -F nfs -o sec=dh server:filesystem mount-point
```
server

Nom du système qui partage filesystem

filesystem

Nom du système de fichiers partagé, tel que opt

mount-point

Nom du point de montage, tel que /opt

L'option -o sec=dh permet de monter le système de fichiers avec l'authentification AUTH_DH.

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : Services de sécurité