このセクションは、新機能 – account-policy サービスの有効化を完了したことが前提となります。
account-policy サービスの config/etc_default_login ステンシルのプロパティーであるセキュリティー属性には次のものが含まれています。
$ svcprop -p login_policy account-policy:default login_policy/annotation astring login_policy/auto_unlock_time astring login_policy/clearance astring login_policy/disabletime count login_policy/lock_after_retries astring login_policy/pam_policy astring login_policy/password_required boolean login_policy/retries count login_policy/root_login_device astring login_policy/sleeptime count login_policy/timeout count
詳細は、account-policy(8S) のマニュアルページを参照してください。
この手順を使用して、特定の数のログイン試行に失敗したあとにユーザーのアカウントをロックすることによって悪質なログイン試行を防ぎます。
![]() | 注意 - 管理アクティビティーで使用されるシステムでは、この保護をシステム全体に設定しないでください。むしろ、管理システムに異常な使用状況がないかどうかをモニターし、管理者が常に管理システムを使用できるようにしてください。 |
始める前に
新機能 – account-policy サービスの有効化を完了したことが前提となります。User Security 権利プロファイルが割り当てられている管理者になる必要があります。root 役割にはこのプロファイルが割り当てられます。詳細は、割り当てられている管理権利の使用を参照してください。
$ svcprop account-policy | grep retries login_policy/lock_after_retries astring login_policy/retries count
$ pfbash svccfg -s account-policy svc:/.../account-policy> setprop config/etc_default_login/disabled = boolean: false svc:/.../account-policy> setprop login_policy/lock_after_retries = yes svc:/.../account-policy> exit
$ svccfg -s account-policy \ setprop login_policy/retries = 3 $ svcadm refresh account-policy
$ svcprop account-policy | grep unlock login_policy/auto_unlock_time astring
次のコマンドにより、ユーザーはアカウントがロックされてから 3 時間 5 分後に、管理者が操作しなくてもログインできます。
$ svccfg -s account-policy \ setprop login_policy/auto_unlock_time = 185m $ svcadm refresh account-policy
# passwd -u username
管理者として、files と ldap の両方のネームサービスでユーザーアカウントをロック解除できます。
関連項目
ユーザーおよび役割のセキュリティー属性については、 権利リファレンスを参照してください。
選択したマニュアルページには、passwd(1) および account-policy(8S) が含まれています。