| ナビゲーションリンクをスキップ | |
| 印刷ビューの終了 | |
|
Oracle Solaris 11.1 のユーザーアカウントとユーザー環境の管理 Oracle Solaris 11.1 Information Library (日本語) |
| ナビゲーションリンクをスキップ | |
| 印刷ビューの終了 | |
|
|
Oracle Solaris 11.1 のユーザーアカウントとユーザー環境の管理 Oracle Solaris 11.1 Information Library (日本語) |
ユーザーアカウントとユーザー環境の管理の新機能と変更された機能
2. コマンド行インタフェースを使用したユーザーアカウントの管理 (タスク)
このセクションでは次の情報について説明します。
基本的なシステム管理タスクの 1 つに、サイトの各ユーザーにユーザーアカウントを設定することがあります。通常のユーザーアカウントには、ユーザーがシステムの root パスワードを知らなくても、システムにログインして、システムを使用するのに必要な情報が含まれています。ユーザーアカウントのコンポーネントについては、「ユーザーアカウントのコンポーネント」で説明します。
ユーザーアカウントを設定するときに、ユーザーをあらかじめ定義されたユーザーグループに追加できます。グループは一般に、ファイルまたはディレクトリへのグループアクセス権を設定して、グループ内のユーザーだけがファイルとディレクトリにアクセスできるようにするために使用されます。
たとえば、ごく少数のユーザーだけにアクセスさせたい機密ファイルを入れるディレクトリを作成できます。topsecret プロジェクトに携わるユーザーを含む topsecret という名前のグループを設定します。また、topsecret ファイルの読み取り権を topsecret グループに対して設定します。こうすれば、topsecret グループ内のユーザーだけが、ファイルを読み取ることができます。
役割という特別な種類のユーザーアカウントは、指定したユーザーに特別な特権を与えます。詳細は、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「役割に基づくアクセス制御 (概要)」を参照してください。
次のセクションでは、ユーザーアカウントのさまざまなコンポーネントについて説明します。
ユーザーは、ユーザー名 (ログイン名とも呼ばれる) を使って、適切なアクセス権を持つ自分のシステムとリモートシステムにアクセスできます。作成するユーザーアカウントそれぞれに、ユーザー名を選択しなければなりません。
ユーザー名を探しやすいように、ユーザー名の標準的な割り当て方法を使用することを検討してください。また、ユーザー名はユーザーが覚えやすいものにしてください。単純なスキームの例としては、ユーザーのファーストネームの頭文字とラストネームの最初の 7 文字を使用します。たとえば、Ziggy Ignatz は zignatz になります。このスキームでほかのユーザー名と重複する場合は、ユーザーのファーストネームの頭文字、ミドルネームの頭文字、ラストネームの最初の 6 文字を使用します。たとえば、Ziggy Top Ignatz は ztignatz になります。
このスキームでさらに重複する場合、ユーザー名の作成には次の方法を検討してください。
ファーストネームの頭文字、ミドルネームの頭文字、ラストネームの最初の 5 文字を使用します
固有の名前になるまで 1、2、3 などの数字を使用します
注 - それぞれの新しいユーザー名は、システムまたは NIS ドメインに登録されているどのメール別名 (エイリアス) とも異なるものでなければなりません。そうしないと、メールは実際のユーザーにではなく別名に送られることがあります。
ユーザー (ログイン) 名の設定方法の詳しいガイドラインについては、「ユーザー名、ユーザー ID、グループ ID の割り当てのガイドライン」を参照してください。
ユーザー名に関連するものとして、ユーザー識別 (UID) 番号があります。ユーザーがログインしようとするシステムは、UID 番号によってユーザー名を識別したり、ファイルとディレクトリの所有者を識別したりします。多数の異なるシステム上で、ある個人用にユーザーアカウントを作成する場合は、常に同じユーザー名と ID 番号を使用してください。そうすれば、そのユーザーは、所有権の問題を起こすことなく、システム間で簡単にファイルを移動できます。
UID 番号は、2147483647 以下の整数でなければなりません。UID 番号は、通常のユーザーアカウントと特殊なシステムアカウントに必要です。次の表に、ユーザーアカウントとシステムアカウントに予約されている UID 番号を示します。
表 1-1 予約済みの UID 番号
|
0 - 99 の UID 番号を割り当てないでください。これらの UID は、Oracle Solaris による割り当て用に予約されています。システム上の定義により、root には常に UID 0、daemon には UID 1、擬似ユーザー bin には UID 2 が設定されます。また、UID が passwd ファイルの先頭にくるように、uucp ログインや、who、tty、ttytype などの擬似ユーザーログインには低い UID を指定するようにしてください。
UID の設定方法の詳しいガイドラインについては、「ユーザー名、ユーザー ID、グループ ID の割り当てのガイドライン」を参照してください。
ユーザー (ログイン) 名と同様に、固有の UID 番号を割り当てるスキームを決めてください。企業によっては、従業員に固有の番号を割り当て、管理者がその従業員番号にある番号を加えて固有の UID 番号を作成している場合もあります。
セキュリティー上のリスクを最小限に抑えるため、削除したアカウントの UID を再利用することは避けてください。 どうしても UID を再利用する必要がある場合、はじめから作りなおして、新しいユーザーが前のユーザーの属性に影響されないようにしてください。たとえば、前のユーザーがプリンタの拒否リストに含まれていたためプリンタにアクセスできなかった場合、ただし、その属性を新しいユーザーに適用することが正しいとは限りません。
UID とグループ ID (GID) には、符号付き整数の最大値 (つまり 2147483647) までの数値を割り当てることができます。
次の表に、UID と GID の制限事項を示します。
表 1-2 大きな UID および GID の制限のサマリー
|
「グループ」とは、ファイルやその他のシステムリソースを共有できるユーザーの集合のことです。たとえば、同じプロジェクトで作業するユーザーはグループを構成することになります。グループは、従来の UNIX グループのことです。
各グループには、名前、グループ識別 (GID) 番号、およびそのグループに属しているユーザー名のリストが必要です。システムは GID 番号によって内部的にグループを識別します。
ユーザーは次の 2 つの種類のグループに所属できます。
プライマリグループ – オペレーティングシステムが、ユーザーによって作成されたファイルに割り当てるグループです。各ユーザーは、1 つのプライマリグループに所属していなければなりません。
補足グループ – ユーザーがさらに所属する 1 つまたは複数のグループを指定します。ユーザーは、最大 1024 個の補足グループに所属できます。
グループ名の設定方法の詳しいガイドラインについては、「ユーザー名、ユーザー ID、グループ ID の割り当てのガイドライン」を参照してください。
ユーザーのセカンダリグループは、場合によっては重要でないことがあります。たとえば、ファイルの所有権は、プライマリグループだけが反映し、セカンダリグループは反映しません。ただし、アプリケーションによってはユーザーのセカンダリグループが関係することがあります。たとえば、ユーザーは以前の Solaris リリースで Admintool ソフトウェアを使用するとき sysadmin グループ (グループ 14) のメンバーでなければなりませんが、ただし、グループ 14 がユーザーの現在のプライマリグループであるかどうかは関係ありません。
groups コマンドを使用すると、ユーザーが所属しているグループのリストを表示できます。ユーザーは一度に 1 つのプライマリグループにしか所属できません。ただし、newgrp コマンドを使用して、ユーザーがメンバーとなっているほかのグループに一時的にプライマリグループを変更することはできます。
ユーザーアカウントを追加するときは、ユーザーにプライマリグループを割り当てるか、デフォルトの staff グループ (グループ 10) を使用する必要があります。プライマリグループは、すでに存在しているものでなければなりません。プライマリグループが存在しない場合は、GID 番号でグループを指定します。ユーザー名は、プライマリグループに追加されません。ユーザー名がプライマリグループに追加されると、リストが長くなりすぎるからです。ユーザーを新しいセカンダリグループに割り当てる前に、そのグループを作成し、それに GID 番号を割り当てなければなりません。
グループは、システムにとってローカルにすることも、ネームサービスを介して管理することもできます。グループ管理を簡単に行うには、NIS などのネームサービスや LDAP などのディレクトリサービスを使用する必要があります。これらのサービスを使用すると、グループのメンバーを一元管理できます。
ユーザーを追加するときにそのユーザーのパスワードを指定できます。または、ユーザーが最初にシステムにログインするときにパスワードを指定するよう強制できます。ユーザー名は公開されますが、パスワードは秘密にして、ユーザーのみが知っている必要があります。各ユーザーアカウントには、パスワードを割り当てる必要があります。
ユーザーのパスワードは、次の構文に準拠している必要があります。
パスワード長は少なくとも /etc/passwd ファイル内の PASSLENGTH 変数に指定された値に一致している必要があります。デフォルトで、この値は 6 に設定されます。
このリリースでは、デフォルトのパスワードハッシュアルゴリズムが、SHA256 に変更されています。その結果、以前の Oracle Solaris リリースにあった、ユーザーパスワードの 8 文字制限は存在しなくなりました。8 文字の制限は、古い crypt_unix(5) アルゴリズムを使用するパスワードのみに適用され、既存の passwd ファイルのエントリと NIS マップとの下位互換性のために残されています。
パスワードの最大文字数は、古いパスワード用の crypt_unix アルゴリズムと他のすべてのパスワード用の SHA256 のいずれかのアルゴリズムによって異なります。パスワードの変更が既存のパスワードからで、crypt_unix パスワードである場合、policy.conf ファイルでパスワードアルゴリズムの変更を必要としない限り、最大長は 8 に設定されます。
新しいパスワードは、パスワードアルゴリズムに許可される最大文字数内で複雑さのルールに一致している必要があります。そのため、crypt_unix アルゴリズムを使用し、20 文字のパスワードを入力した場合、パスワードは先頭 8 文字内で複雑さのルールに一致している必要があります。パスワードアルゴリズムが他のアルゴリズムである場合、入力された完全なパスワード (この例では 20 文字) 内で、複雑さのルールに一致している必要があります。
各パスワードは /etc/default/passwd ファイルに指定されている構成済みの複雑さの制約を満たしている必要があります。
各パスワードは /etc/default/passwd ファイルに指定されている、構成済みの辞書のメンバーでない必要があります。
パスワード履歴チェックをサポートするネームサービスのユーザーアカウントでは、前のパスワード履歴が定義されている場合、新しいパスワードが前のパスワード履歴に含まれていない必要があります。
パスワードルールについては、passwd(1) のマニュアルページで詳しく説明しています。
コンピュータシステムのセキュリティーを強化するには、ユーザーのパスワードを定期的に変更する必要があります。高いレベルのセキュリティーを確保するには、ユーザーに 6 週間ごとにパスワードを変更するよう要求してください。低いレベルのセキュリティーなら、3 か月に 1 度で十分です。システム管理用のログイン (root や sys など) は、毎月変更するか、root のパスワードを知っている人が退職したり交替したりするたびに変更してください。
コンピュータセキュリティーが破られる原因の多くは、正当なユーザーのパスワードが解読される場合です。ユーザーについて何か知っているだけで推測できるような固有名詞、名前、ログイン名、パスワードを使わないよう各ユーザーに対して指示してください。
良いパスワードの例としては次のようなものがあります。
フレーズ (beammeup)。
フレーズ内の各単語の頭文字だけを集めた、意味のない文字列 。たとえば、SomeWhere Over The RainBow から取った swotrb。
文字を数字や記号に代えた単語。たとえば、snoopy の場合 sn00py にします。
次のようなものは、パスワードに使用しないでください。
自分の名前そのもの、逆読み、飛ばし読みのもの
家族やペットの名前
免許証番号
電話番号
社会保険番号
従業員番号
趣味や興味に関連した単語
季節に関係のある名前 (たとえば 12 月に Santa を使うなど)
辞書にある単語
ホームディレクトリは、ユーザーが独自のファイルを格納するのに割り当てられるファイルシステムの一部分です。ホームディレクトリに割り当てる大きさは、ユーザーが作成するファイルの種類、サイズ、および数によって異なります。
ホームディレクトリは、ユーザーのローカルシステムまたはリモートファイルサーバーのどちらにでも配置できます。どちらの場合も、慣例により、ホームディレクトリは /export/home/username として作成します。大規模なサイトでは、ホームディレクトリをサーバーに格納してください。ユーザーごとに独立したファイルシステムを使用します。たとえば、/export/home/alice や /export/home/bob などです。ユーザーごとに独立したファイルシステムを作成することにより、各ユーザーのニーズに基づいてプロパティーまたは属性を設定できます。
ホームディレクトリが配置される場所に関係なく、ユーザーは通常 /home/username という名前のマウントポイントを介してホームディレクトリにアクセスします。Autofs を使用してホームディレクトリがマウントされていると、どのシステムでも /home マウントポイントの下にディレクトリを作成することは許可されません。Autofs が使用されていると、システムはマウントされている /home を特別なステータスと認識します。ホームディレクトリのオートマウントの詳細については、『Oracle Solaris 11.1 でのネットワークファイルシステムの管理』の「autofs 管理タスクの概要」を参照してください。
ネットワーク上の任意の場所からホームディレクトリを使用するには、 /export/home/username ではなく、常に $HOME という環境変数の値によって参照するようにしてください。前者はマシンに固有の指定です。さらに、ユーザーのホームディレクトリで作成されるシンボリックリンクはすべて相対パス (たとえば ../../../x/y/x) を使用する必要があります。こうすることによって、そのリンクはどのシステムにホームディレクトリがマウントされても有効になります。
CLI を使用して、ユーザーアカウントを作成する場合に、ホームディレクトリを追加する方法の詳細については、「ユーザーアカウントの設定のガイドライン」を参照してください。
大規模サイトのユーザーアカウントを管理する場合は、LDAP や NIS などのネームサービスまたはディレクトリサービスの利用を検討することをお勧めします。ネームサービスまたはディレクトリサービスを使うと、ユーザーアカウント情報を各システムの /etc 内のファイルに格納するのではなく、一元管理できます。ユーザーアカウントにネームサービスまたはディレクトリサービスを使用すると、ユーザーの情報をシステムごとにコピーしなくても、同じユーザーアカウントのままシステム間を移動できます。ネームサービスまたはディレクトリサービスを利用することにより、ユーザーアカウント情報の一貫性も保証されます。
ファイルを作成して格納するホームディレクトリのほかに、ユーザーには仕事をするために必要なツールとリソースにアクセスできる環境が必要です。ユーザーがシステムにログインすると、初期設定ファイルによってユーザーの作業環境が決定されます。これらのファイルは、ユーザーの起動シェルによって定義されます。起動シェルはリリースによって異なる可能性があります。
ユーザーの作業環境を管理するのに便利な方法として、カスタマイズしたユーザー初期設定ファイル (.bash_profile、.bash_login、.kshrc、.profile など) をユーザーのホームディレクトリに置くという方法があります。
注 - システム初期設定ファイル (/etc/profile または /etc/.login) を使用してユーザーの作業環境を管理しないでください。これらのファイルはローカルシステムに存在するため、一元管理されません。たとえば、Autofs を使用してネットワーク上の任意のシステムからユーザーのホームディレクトリをマウントした場合、ユーザーがシステム間を移動しても環境が変わらないよう保証するには、各システムでシステム初期設定ファイルを修正しなければならなくなります。
ユーザー初期設定ファイルをユーザー用にカスタマイズする方法については、「ユーザーの作業環境のカスタマイズ」を参照してください。
RBAC を利用してユーザーアカウントをカスタマイズする方法については、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「役割に基づくアクセス制御 (概要)」を参照してください。
ユーザー名、UID、および GID は、複数のドメインにまたがることもあるユーザーの組織内で一意でなければなりません。
ユーザー名または役割名、UID、および GID を作成するときは、次のガイドラインに従ってください。
ユーザー名 – 2 - 8 文字の英数字を使用する必要があります。最初の文字は英字にする必要があります。少なくとも 1 文字は小文字にする必要があります。
注 - ユーザー名にはピリオド (.)、下線 (_)、ハイフン (-) を使用できますが、これらの文字により障害が発生するソフトウェアもあるため、使用はお勧めできません。
システムアカウント – デフォルトの /etc/passwd および /etc/group ファイルに含まれているユーザー名、UID、または GID を使用しないでください。0 - 99 の UID と GID は使用しないでください。これらの番号は、Oracle Solaris による割り当て用に予約されており、どのユーザーも使用してはいけません。この制限は、現在使用されていない番号にも適用されます。
たとえば、gdm は GNOME ディスプレイマネージャーデーモン用に予約されたユーザー名とグループ名であるため、ほかのユーザーは使用できません。デフォルトの /etc/passwd と /etc/group のエントリの全リストについては、表 1-3 と表 1-4 を参照してください。
nobody と nobody4 のアカウントは、プロセスの実行には使用しないでください。これらの 2 つのアカウントは NFS 用に予約されています。これらのアカウントをプロセスの実行に使用すると、予期しないセキュリティー上のリスクにさらされる可能性があります。root 以外として実行する必要があるプロセスでは、daemon または noaccess のアカウントを使用してください。
システムアカウントの構成 – デフォルトのシステムアカウントの構成は絶対に変更しないでください。この設定には、現在ロックされているシステムアカウントのログインシェルの変更が含まれています。ただし、root アカウントのパスワードとパスワード有効期限のパラメータ設定だけはこの規則に当てはまりません。
注 - ロックされたユーザーアカウントのパスワードを変更すると、パスワードは変更されますが、同時にアカウントのロックが解除されなくなりました。passwd -u コマンドを使用してアカウントをロック解除する 2 番目の手順が必要になりました。
|
