PAMを使用した認証

通常、システム管理者とプログラマは、システムの一定部分へのアクセスを制限することや、アプリケーションの一定の機能の使用を制限することを望みます。PAMを使用しなければ、新規の認証メカニズム(LDAPやSamba、Kerberosなど)が導入されるたびにアプリケーションを調整する必要があります。ただし、このプロセスは時間がかかり、エラーが発生しやすくなります。このような難点を回避する方法の1つは、アプリケーションを認証メカニズムから分離し、認証は集中管理されるモジュールに任せることです。新しい認証方式が必要になった場合は、問題のプログラムで使用できるように適切なPAMモジュールを調整または記述するだけで済みます。

PAMのコンセプトは以下で構成されます。

SLE MicroのPAMには、いわゆるディレクトリベースの設定が付属しています。設定ファイルのセットは/etc/pam.dに保存されます。PAMのメカニズムに依存するすべてのサービス(またはプログラム)には、専用の設定ファイルがこのディレクトリにあります。たとえば、sshd用のサービスは/etc/pam.d/sshdファイルにあります。

注記: SLE Microではファイルベースの設定(/etc/pam.conf)は使用されない

各サービスの設定を/etc/pam.confに保存することもできます。ただし、保守と使いやすさの理由から、この設定スキームはSLE Microでは使用されません。

/etc/pam.d/の下層にあるファイルでは、認証に使用するPAMモジュールが定義されます。各ファイルはサービスを定義する行で構成され、各行は最大で4つの要素で構成されます。

      TYPE
      CONTROL
      MODULE_PATH
      MODULE_ARGS

各要素には次のような意味があります。

さらに、/etc/securityの下にPAMモジュールのグローバル設定ファイルがあり、これらのモジュールの正確な動作を定義しています(たとえば、pam_env.confやtime.confです)。PAMモジュールを使用する各アプリケーションは、一連のPAM関数を呼び出し、各PAM関数は設定ファイルの情報を処理して、その結果を呼び出し元のアプリケーションに戻します。

PAMモジュールの作成と保守を簡素化するために、auth、account、password、およびsessionのタイプのモジュールに共通のデフォルト設定ファイルが導入されました。これらのファイルは、すべてのアプリケーションのPAM設定から取得されます。common-*でグローバルPAM設定モジュールを更新すると、すべてのPAM設定ファイルに更新が伝播されるため、管理者はすべてのPAM設定ファイルをひとつひとつ更新せずに済みます。

グローバルPAM設定ファイルは、pam-configツールを使用して管理されます。このツールは、新しいモジュールを設定に自動的に追加したり、既存のモジュールの設定を変更したり、設定からモジュール(またはオプション)を削除したりします。PAM設定を管理する際に手動で介入する必要は、最小限しかないか、まったくありません。

#%PAM-1.0 1
auth     requisite      pam_nologin.so                              2
auth     include        common-auth                                 3
account  requisite      pam_nologin.so                              2
account  include        common-account                              3
password include        common-password                             3
session  required       pam_loginuid.so                             4
session  include        common-session                              3
session  optional       pam_lastlog.so   silent noupdate showfailed 5

auth  required  pam_env.so                   1
auth  optional  pam_gnome_keyring.so         2
auth  required  pam_unix.so  try_first_pass 3

account  required  pam_unix.so  try_first_pass

設定可能なPAMモジュールもあります。設定ファイルは/etc/securityにあります。このセクションでは、sshdの例に関連する設定ファイルpam_env.confとlimits.confについて簡単に説明します。

VARIABLE  [DEFAULT=VALUE]  [OVERRIDE=VALUE]

REMOTEHOST  DEFAULT=localhost          OVERRIDE=@{PAM_RHOST}
DISPLAY     DEFAULT=${REMOTEHOST}:0.0  OVERRIDE=${DISPLAY}

pam-configツールは、グローバルなPAM設定ファイル(/etc/pam.d/common-*)と、選択されたいくつかのアプリケーション設定を構成するのに役立ちます。サポートされているモジュールのリストについては、pam-config --list-modulesコマンドを使用してください。pam-configコマンドを使用して、PAM設定ファイルを管理します。新しいモジュールをPAM設定に追加したり、他のモジュールを削除したり、これらのモジュールのオプションを変更したりします。グローバルなPAM設定ファイルを変更する場合、個々のアプリケーションのPAMセットアップを手動で調整する必要はありません。

pam-configのシンプルなユースケースには次のようなものがあります。

pam-configコマンドと利用可能なオプションの詳細については、pam-config(8)のマニュアルページを参照してください。

PAM設定ファイルを手動で作成または管理したい場合は、これらのファイルのpam-configを無効にしてください。

pam-config --createコマンドを使用して最初からPAM設定ファイルを作成すると、common-*からcommon-*-pcファイルへのシンボリックリンクが作成されます。pam-configは、common-*-pcの設定ファイルのみを変更します。これらのシンボリックリンクを削除すると、pam-configは事実上無効になります。これは、pam-configはcommon-*-pcファイルのみを処理し、これらのファイルはシンボリックリンクなしでは有効にならないためです。

警告: pam_systemd.soを設定に含める

独自のPAM設定を作成する場合は、session optionalとして設定したpam_systemd.soを含めるようにしてください。pam_systemd.soを含めないと、systemdのタスク制限に問題が発生する可能性があります。詳細については、pam_systemd.soのマニュアルページを参照してください。

SLE Microへのローカルログイン時のセキュリティを強化するために、pam-u2fフレームワーク、およびYubiKeyとセキュリティキーのU2F機能を使用して2要素認証を設定できます。

SLE MicroシステムでU2Fを設定するには、キーをSLE Microのアカウントに関連付ける必要があります。その後、このキーを使用するようにシステムを設定します。この手順については、次のセクションで説明します。

6.1 アカウントへのU2Fキーの関連付け #

 

U2Fキーをアカウントに関連付けるには、次の手順に従います。

1. マシンにログインします。

2. U2Fキーを挿入します。

3. U2Fキーの設定用のディレクトリを作成します。

   > sudo mkdir -p ~/.config/Yubico

4. 設定行を出力するpamu2fcfgコマンドを実行します。

   > sudo pamu2fcfg > ~/.config/Yubico/u2f_keys

5. デバイスが点滅し始めたら、金属製の接点に触れて関連付けを確認します。

バックアップ用のU2Fデバイスを使用することをお勧めします。これは、次のコマンドを実行して設定できます。

1. 次のスクリプトを実行します。

   > sudo pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

2. デバイスが点滅し始めたら、金属製の接点に触れて関連付けを確認します。

セキュリティを強化するために、出力ファイルをデフォルトの場所から、ファイルを変更するためにsudo許可が必要なディレクトリに移動できます。たとえば、/etcディレクトリに移動します。これを行うには、次の手順に従います。

1. /etcにディレクトリを作成します。

   > sudo mkdir /etc/Yubico

2. 作成したファイルを移動します。

   > sudo mv ~/.config/Yubico/u2f_keys /etc/Yubico/u2f_keys

注記: u2f_keysをデフォルト以外の場所に配置する

出力ファイルをデフォルト($HOME/.config/Yubico/u2f_keys)とは異なるディレクトリに移動する場合は、6.2項 「PAM設定の更新」の説明に従って、/etc/pam.d/loginファイルにパスを追加する必要があります。

Copyright © 2006–2024 SUSE LLC and contributors. All rights reserved.

この文書は、GNUフリー文書ライセンスのバージョン1.2または(オプションとして)バージョン1.3の条項に従って、複製、頒布、および/または改変が許可されています。ただし、この著作権表示およびライセンスは変更せずに記載すること。ライセンスバージョン1.2のコピーは、「GNUフリー文書ライセンス」セクションに含まれています。

SUSEの商標については、https://www.suse.com/company/legal/を参照してください。その他の第三者のすべての商標は、各社の所有に帰属します。商標記号(®、™など)は、SUSEおよび関連会社の商標を示します。アスタリスク(*)は、第三者の商標を示します。

本書のすべての情報は、細心の注意を払って編集されています。しかし、このことは正確性を完全に保証するものではありません。SUSE LLC、その関係者、著者、翻訳者のいずれも誤りまたはその結果に対して一切責任を負いかねます。