標準ユーザーに対してアカウントロックを設定する方法

言語:

この手順を使用して、特定の数のログイン試行に失敗したあとに通常ユーザーアカウントをロックします。

注 - 役割は共有されるアカウントです。ロックされた 1 人のユーザーが役割をロック解除できるため、役割を引き受けることができるユーザーにはアカウントロックを設定しないでください。

始める前に

管理アクティビティーで使用されるシステムでは、この保護をシステム全体に設定しないでください。むしろ、管理システムに異常な使用状況がないかどうかをモニターし、管理者が常に管理システムを使用できるようにしてください。

root 役割になる必要があります。詳細は、Oracle Solaris 11.2 でのユーザーとプロセスのセキュリティー保護 の割り当てられている管理権利の使用を参照してください。

LOCK_AFTER_RETRIES セキュリティー属性を YES に設定します。
属性値のスコープを選択します。
- システム全体に設定します。
  この保護は、システムを使用しようとするユーザーに適用されます。
```
# pfedit /etc/security/policy.conf
...
#LOCK_AFTER_RETRIES=NO
LOCK_AFTER_RETRIES=YES
...
```
- ユーザーごとに設定します。
  この保護は、このコマンドの実行対象のユーザーに対してのみ適用されます。ユーザー数が多い場合、これはスケーラブルな解決方法ではありません。
```
# usermod -K lock_after_retries=yes username
```
- 権利プロファイルを作成して割り当てます。
  この保護は、この権利プロファイルが割り当てられたユーザーまたはシステムに適用されます。
  1. 権利プロファイルを作成します。
```
# profiles -p shared-profile -S ldap
shared-profile: set lock_after_retries=yes
...
```
    権利プロファイルの作成の詳細は、Oracle Solaris 11.2 でのユーザーとプロセスのセキュリティー保護 の権利プロファイルと承認の作成を参照してください。
  2. 権利プロファイルをユーザーまたはシステム全体に割り当てます。
    権利プロファイルを共有するユーザーの数が多い場合は、権利プロファイルにこの値を設定することがスケーラブルな解決方法になります。
```
# usermod -P shared-profile username
```
    また、policy.conf ファイルでシステムごとにプロファイルを割り当てることもできます。
```
# pfedit /etc/security/policy.conf
...
#PROFS_GRANTED=Basic Solaris User
PROFS_GRANTED=shared-profile,Basic Solaris User
```
RETRIES セキュリティー属性を 3 に設定します。
属性値のスコープを選択します。
- システム全体に設定します。
```
# pfedit /etc/default/login
...
#RETRIES=5
RETRIES=3
...
```
- ユーザーごとに設定します。
```
# usermod -K lock_after_retries=3 username
```
- 権利プロファイルを作成して割り当てます。
  Step 4 の手順に従って、lock_after_retries=3 を含む権利プロファイルを作成します。

関連項目

ユーザーおよび役割のセキュリティー属性については、Oracle Solaris 11.2 でのユーザーとプロセスのセキュリティー保護 の第 8 章Oracle Solaris 権利リファレンスを参照してください。
選択したマニュアルページには、policy.conf(4)、profiles(1)、user_attr(4)、および usermod(1M) が含まれています。