PAM (手順)

この節では、PAM のフレームワークが特定のセキュリティーポリシーを使用するために必要な作業について説明します。PAM 構成ファイルに関連するセキュリティーのいくつかの問題について注意する必要があります。セキュリティーの問題については、「PAM の実装計画」を参照してください。

PAM (作業マップ)

PAM の実装計画

配布時に、pam.conf 構成ファイルは標準的なセキュリティーポリシーを実装します。このポリシーは、多くの状況で機能します。別のセキュリティーポリシーを実装する必要がある場合に注意すべき問題は、次のとおりです。

• 何が必要か、特にどの PAM サービスモジュールを選択するかを決定します。

• 特別な構成オプションが必要なサービスを確認します。適宜、other を使用します。

• モジュールを実行する順番を決定します。

• 各モジュールに対する制御フラグを選択します。すべての制御フラグの詳細については、「PAM スタックのしくみ」を参照してください。

• 各モジュールに必要なオプションを選択します。各モジュールのマニュアルページには、特別なオプションが一覧表示されます。

ここで、PAM 構成ファイルを変更する前に次のことを考慮することをお勧めします。

• /etc/pam.conf ですべてのアプリケーションを指定しなくてもいいように、モジュールタイプごとに other エントリを使用します。

• binding、 sufficient、 および optional 制御フラグのセキュリティーへの影響を確認します。

• モジュールに関連するマニュアルページを参照します。これらのマニュアルページには、各モジュールの機能、使用可能なオプション、スタック内のモジュール間の相互作用などの説明があります。

  ---

  注意 - PAM 構成ファイルの構成を間違えたり壊したりすると、どのユーザーもログインできなくなる可能性があります。この場合、sulogin コマンドは PAM を使用しないので、root パスワードを使用してマシンをシングルユーザーモードでブートして問題を解決する必要があります。

  ---

  /etc/pam.conf ファイルを変更したあと、システムにアクセスできる間にできる限り調査して問題を解決します。変更によって影響を受ける可能性があるコマンドは、すべてテストしてください。たとえば、新しいモジュールを telnet サービスに追加した場合、telnet コマンドを使用して、行った変更が期待どおりに動作しているかどうかを検証します。

PAM モジュールを追加する方法

この手順では、新しい PAM モジュールを追加する方法を示します。新しいモジュールは、サイト固有のセキュリティーポリシーを網羅するためや、Sun 以外のアプリケーションをサポートするために作成します。

1. スーパーユーザーになるか、同等の役割を引き受けます。

   役割には、認証と特権コマンドが含まれます。役割の詳細は、「RBAC の構成 (作業マップ)」を参照してください。

2. 使用する制御フラグとオプションを決定します。

   制御フラグについては、「PAM スタックのしくみ」を参照してください。

3. モジュールファイルの所有者が root で、そのアクセス権が 555 になるように設定します。
4. PAM 構成ファイル /etc/pam.conf を編集して、このモジュールを適切なサービスに追加します。
5. モジュールが適切に追加されたことを検証します。

   構成ファイルが間違って構成されているおそれもあるので、システムをリブートする前にテストを行う必要があります。システムをリブートする前に、ssh などの直接サービスを使用してログインし、su コマンドを実行します。サービスは、システムをブートしたときに 1 度だけ生成されるデーモンである場合があります。その場合には、システムをリブートしてから、モジュールが追加されていることを確認する必要があります。

PAM を使用して、遠隔システムからの rhost 式アクセスを防ぐ方法

1. スーパーユーザーになるか、同等の役割を引き受けます。

   役割には、認証と特権コマンドが含まれます。役割の詳細は、「RBAC の構成 (作業マップ)」を参照してください。

2. rhosts_auth.so.1 を含む行をすべて PAM 構成ファイルから削除します。

   この手順によって、rlogin セッション中、~/.rhosts ファイルは読み取られなくなります。これにより、ローカルシステムに認証されていない遠隔システムからのアクセスを防止できます。~/.rhosts ファイルまたは /etc/hosts.equiv ファイルの存在またはその内容にかかわらず、すべての rlogin アクセスにはパスワードが必要になります。

3. rsh サービスを無効にします。

   ~/.rhosts ファイルへのその他の非承認アクセスを防ぐには、rsh サービスも無効にする必要があります。

   # svcadm disable network/shell

PAM のエラーレポートを記録する方法

1. スーパーユーザーになるか、同等の役割を引き受けます。

   役割には、認証と特権コマンドが含まれます。役割の詳細は、「RBAC の構成 (作業マップ)」を参照してください。

2. 必要な記録のレベルに /etc/syslog.conf ファイルを構成します。

   記録レベルの詳細については、syslog.conf(4) を参照してください。

3. syslog デーモンの構成情報を再表示します。

   # svcadm refresh system/system-log