pam_unix_* サービスモジュール - Oracle® Solaris 11.2 ディレクトリサービスとネームサービスでの作業: LDAP

言語:

`pam_unix_*` サービスモジュール

/etc/pam.conf ファイルを構成していない場合は、デフォルトで UNIX 認証が有効になります。

注 - pam_unix モジュールは削除されたので、Oracle Solaris ではサポートされていません。このモジュールは、同等またはそれ以上の機能を備えた別のサービスモジュールセットで置き換えられました。このガイドでは、pam_unix は pam_unix モジュールではなく、同等の機能を備えたモジュールを指します。

次に示すモジュールは、元の pam_unix モジュールと同等の機能を備えています。対応するマニュアルページを使用すれば、モジュールが一覧表示されます。

	`pam_authtok_check`(5)
	`pam_authtok_get`(5)
	`pam_authtok_store`(5)
	`pam_dhkeys`(5)
	`pam_passwd_auth`(5)
	`pam_unix_account`(5)
	`pam_unix_auth`(5)
	`pam_unix_cred`(5)
	`pam_unix_session`(5)

pam_unix_* モジュールは、従来の UNIX 認証モデルに従います。

クライアントは、ネームサービスからユーザーの暗号化されたパスワードを取得します。
ユーザーは、ユーザーパスワードの入力を求められます。
ユーザーのパスワードが暗号化されます。
クライアントは、暗号化された 2 つのパスワードを比較して、ユーザーを認証するかどうかを決定します。

pam_unix_* モジュールには、次の制限があります。

パスワードは UNIX crypt 形式で格納する必要があります。
userPassword 属性は、ネームサービスから読み取り可能でなければなりません。

たとえば、資格レベルを anonymous に設定した場合は、すべてのユーザーが userPassword 属性を読み取れる必要があります。同様に、資格レベルを proxy に設定した場合は、プロキシユーザーが userPassword 属性を読み取れる必要があります。

注 - UNIX 認証には、sasl/digest-MD5 認証方法との互換性がありません。Oracle Directory Server Enterprise Edition で digest-MD5 を使用するには、パスワードを暗号化せずに格納する必要があります。UNIX 認証では、パスワードを crypt 形式で格納する必要があります。

pam_unix_account モジュールは、enableShadowUpdate スイッチが true に設定されている場合はアカウント管理をサポートします。リモート LDAP ユーザーアカウントに対する制御は、passwd および shadow ファイルで定義されたローカルユーザーアカウントに適用される制御と同じ方法で適用されます。enableShadowUpdate モードでの LDAP アカウントでは、LDAP アカウントについてはシステムが更新を行い、パスワードの有効期限管理とアカウントのロックのために LDAP サーバー上のシャドウデータを使用します。ローカルアカウントのシャドウデータはローカルクライアントシステムに適用されるのに対して、LDAP ユーザーアカウントのシャドウデータはすべてのクライアントシステムのユーザーに適用されます。

パスワードの履歴チェックは、ローカルクライアントに対してのみサポートされ、LDAP ユーザーアカウントに対してはサポートされません。