Administración de autenticación con RPC segura (tareas)

Al requerir autenticación para el uso de sistemas de archivos NFS montados, aumenta la seguridad de la red.

Administración de RPC segura (mapa de tareas)

El siguiente mapa de tareas indica los procedimientos que configuran RPC segura para NIS y NFS.

Cómo reiniciar el servidor de claves RPC segura

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Verifique que el daemon keyserv esté en ejecución.

   # svcs \*keyserv\*
   STATE    STIME   FMRI
   disabled Dec_14  svc:/network/rpc/keyserv

2. Active el servicio de servidor de claves si el servidor no está en línea.

   # svcadm enable network/rpc/keyserv

Cómo configurar una clave Diffie-Hellman para un host NIS

Este procedimiento debe realizarse en cada host en el dominio NIS.

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. Si el servicio de nombres predeterminado no es NIS, agregue el mapa publickey al servicio de nombres.
   1. Verifique que el valor de config/default para el servicio de nombres no sea nis.

      # svccfg -s name-service/switch listprop config
      config                       application
      config/value_authorization   astring       solaris.smf.value.name-service.switch
      config/default               astring       files
      config/host                  astring       "files nis dns"
      config/printer               astring       "user files nis"

      Si el valor de config/default es nis, puede detenerse aquí.

   2. Establezca el servicio de nombres para publickey en nis.

      # svccfg
      # svccfg -s name-service/switch setprop config/publickey = astring: "nis"
      # svccfg -s name-service/switch:default refresh

   3. Confirme el valor publickey.

      # svccfg
      # svccfg -s name-service/switch listprop
      config                       application
      config/value_authorization   astring       solaris.smf.value.name-service.switch
      config/default               astring       files
      config/host                  astring       "files nis dns"
      config/printer               astring       "user files nis"
      config/publickey             astring       nis

      En este sistema, el valor de publickey se muestra porque es diferente del predeterminado, files.

2. Cree un nuevo par de claves mediante el comando newkey.

   # newkey -h hostname

   Donde hostname es el nombre del cliente.

Ejemplo 18-1 Configuración de una nueva clave para root en un cliente NIS

En el siguiente ejemplo, earth se configura como un cliente NIS seguro. Se asigna al administrador el perfil de derechos de seguridad del servicio de nombres.

# newkey -h earth
Adding new key for unix.earth@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

Cómo configurar una clave Diffie-Hellman para un usuario NIS

Este procedimiento debe realizarse para cada usuario en el dominio NIS.

Antes de empezar

Sólo los administradores del sistema, cuando inician sesión en el servidor maestro NIS, pueden generar una nueva clave para un usuario. Los administradores deben tener asignado el perfil de derechos de seguridad del servicio de nombres.

1. Conviértase en administrador con los atributos de seguridad necesarios.

   Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

2. Cree una nueva clave para un usuario.

   # newkey -u username

   Done username es el nombre del usuario. El sistema solicita una contraseña. Puede escribir una contraseña genérica. La clave privada se almacena en formato cifrado mediante la contraseña genérica.

3. Indique al usuario que inicie sesión y escriba el comando chkey -p.

   Este comando permite a los usuarios volver a cifrar sus claves privadas con una contraseña que sólo ellos conozcan.

   ---

   Nota - El comando chkey se puede utilizar para crear un nuevo par de claves para un usuario.

   ---

Ejemplo 18-2 Configuración y cifrado de una nueva clave de usuario en NIS

En este ejemplo, el superusuario configura la clave.

# newkey -u jdoe
Adding new key for unix.12345@example.com
New Password:   <Type password>
Retype password:<Retype password>
Please wait for the database to get updated...
Your new key has been successfully stored away.
#

Luego el usuario jdoe vuelve a cifrar la clave con una contraseña privada.

% chkey -p
Updating nis publickey database.
Reencrypting key for unix.12345@example.com
Please enter the Secure-RPC password for jdoe:<Type password>
Please enter the login password for jdoe:     <Type password>
Sending key change request to centralexample...

Cómo compartir archivos NFS con autenticación Diffie-Hellman

Este procedimiento protege los sistemas de archivos compartidos en un servidor NFS mediante la solicitud de autenticación para acceso.

Antes de empezar

La autenticación de clave pública Diffie-Hellman debe estar activada en la red. Para activar la autenticación en la red, complete Cómo configurar una clave Diffie-Hellman para un host NIS.

Para realizar esta tarea, debe convertirse en un administrador con el perfil de derechos de administración del sistema asignado. Para obtener más información, consulte Cómo usar los derechos administrativos que tiene asignados.

1. En el servidor NFS, comparta un sistema de archivos con autenticación Diffie-Hellman.

   # share -F nfs -o sec=dh /filesystem

   Donde filesystem es el sistema de archivos que se va a compartir.

   La opción -o sec=dh significa que la autenticación AUTH_DH ahora es necesaria para acceder al sistema de archivos.

2. En un cliente NFS, monte un sistema de archivos con autenticación Diffie-Hellman.

   # mount -F nfs -o sec=dh server:filesystem mount-point

   server

   Es el nombre del sistema que comparte filesystem

   filesystem

   Es el nombre del sistema de archivos que se comparte, como opt

   mount-point

   Es el nombre del punto de montaje, como /opt

   La opción -o sec=dh monta el sistema de archivos con autenticación AUTH_DH.