PAM (tâches)

Cette section examine certaines tâches qui peuvent être nécessaires pour que la structure PAM utilise une stratégie de sécurité spécifique. Sachez que certains problèmes de sécurité sont associés au fichier de configuration PAM. Pour plus d'informations sur les problèmes de sécurité, reportez-vous à la section Planification de la mise en oelig uvre PAM .

PAM (liste des tâches)

Tâche	Description	Voir
Planification de l'installation PAM	Avant de procéder à la configuration du logiciel, vous devez examiner les problèmes qu'elle risque de poser et prendre les décisions qui s'imposent.	Planification de la mise en uvre PAM
Ajout de nouveaux modules PAM	Parfois, des modules spécifiques au site doivent être écrits et installés en fonction d'exigences qui ne relèvent pas du logiciel générique. Cette procédure explique comment installer ces nouveaux modules PAM.	Ajout d'un module PAM
Blocage de l'accès via `~/.rhosts`	Renforcez la sécurité en interdisant l'accès via `~/.rhosts` .	Comment empêcher l'accès rhost à partir de systèmes distants avec PAM
Initialisation de la journalisation des erreurs	Démarrez la journalisation des messages d'erreur PAM via `syslog`.	Journalisation de rapports d'erreur PAM

Planification de la mise en œuvre PAM

Tel qu'il est livré, le fichier de configuration pam.conf met en œuvre la stratégie de sécurité standard. Cette stratégie doit fonctionner dans de nombreuses situations. Si vous avez besoin d'appliquer une stratégie de sécurité différente, prenez en compte les points suivants :

Identifiez vos besoins, en particulier les modules de service PAM que vous devez sélectionner.
Identifiez les services qui nécessitent une configuration spéciale. Utilisez other, si nécessaire.
Décidez de l'ordre d'exécution des modules.
Sélectionnez l'indicateur de contrôle pour chaque module. Pour plus d'informations sur tous les indicateurs de contrôle, reportez-vous à la section Fonctionnement de la superposition PAM.
Choisissez les options nécessaires pour chaque module. La page de manuel pour chaque module doit répertorier toutes les options spéciales.

Voici quelques suggestions à prendre en compte avant de modifier le fichier de configuration PAM :

Utilisez les entrées other pour chaque type de module afin de ne pas devoir inclure chaque application dans le fichier /etc/pam.conf.
Veillez à prendre en compte les implications en matière de sécurité des indicateurs de contrôle bind, sufficient et optional.

Prenez connaissance des pages de manuel associées aux modules. Elles peuvent vous aider à mieux comprendre le fonctionnement de chaque module, la disponibilité des options et les interactions entre modules empilés.

Attention - Si le fichier de configuration PAM est mal configuré ou corrompu, aucun utilisateur n'est en mesure de se connecter. Étant donné que la commande sulogin n'utilise pas PAM, le mot de passe root est alors nécessaire pour initialiser la machine en mode monoutilisateur et résoudre le problème.

Une fois le fichier /etc/pam.conf modifié, révisez-le autant que possible tant que votre accès au système vous permet de résoudre les problèmes. Testez toutes les commandes sur lesquelles vos modifications ont peut-être eu une incidence. Si vous ajoutez par exemple un module au service telnet, vous devez utiliser la commande telnet et vérifier que le service se comporte comme attendu, suite à vos modifications.

Ajout d'un module PAM

Cette procédure indique comment ajouter un nouveau module PAM. Vous pouvez créer des modules pour prendre en charge des applications tierces ou des stratégies de sécurité spécifiques à votre site.

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuration de RBAC (liste des tâches).
Déterminez les indicateurs de contrôle et les autres options à utiliser.
Pour plus d'informations sur les indicateurs de contrôle, reportez-vous à la section Fonctionnement de la superposition PAM.
Assurez-vous que la propriété et les autorisations sont définies de telle sorte que le fichier de module appartienne à root et les droits soient 555.
Modifiez le fichier de configuration PAM, /etc/pam.conf , et ajoutez ce module aux services appropriés.
Vérifiez que le module a été ajouté correctement.
Vous devez réaliser le test avant la réinitialisation du système au cas où le fichier de configuration serait mal configuré. Connectez-vous à l'aide d'un service direct, tel que ssh, et exécutez la commande su avant de redémarrer le système. Le service peut être un démon généré dynamiquement une seule fois lors de l'initialisation du système. Vous devez ensuite redémarrer le système avant de vérifier l'ajout du module.

Comment empêcher l'accès rhost à partir de systèmes distants avec PAM

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuration de RBAC (liste des tâches).
Supprimez toutes les lignes comportant rhosts_auth.so.1 dans le fichier de configuration PAM.
Cette étape permet d'éviter la lecture des fichiers ~/.rhosts au cours d'une session rlogin. Par conséquent, elle permet d'empêcher l'accès non authentifié au système local à partir de systèmes distants. Tous les accès rlogin requièrent un mot de passe, indépendamment de la présence ou du contenu des fichiers ~/.rhosts ou /etc/hosts.equiv .
Désactivez le service rsh.
Pour empêcher d'autres accès non authentifiés aux fichiers ~/.rhosts, n'oubliez pas de désactiver le service rsh.
```
# svcadm disable network/shell
```

Journalisation de rapports d'erreur PAM

Connectez-vous en tant que superutilisateur ou endossez un rôle équivalent.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuration de RBAC (liste des tâches).
Configurez le fichier /etc/syslog.conf en fonction du niveau de journalisation dont vous avez besoin.
Pour plus d'informations sur les niveaux de journalisation, reportez-vous à syslog.conf(4).
Actualisez les informations de configuration pour le démon syslog.
```
# svcadm refresh system/system-log
```

Ignorer les liens de navigation
Quitter l'aperu
	Guide d'administration système : Services de sécurité