Linux Shadow Password HOWTO: Shadow Suite を使ってみる

7. Shadow Suite を使ってみる

この章ではシステムにShadow Suiteをインストールした後に知っておくべきだと思われることを説明します。より詳しい説明は各コマンドのオンラインマニュアルを参照してください。

7.1 ユーザの追加、変更、削除

Shadow Suite にはユーザを追加、変更、削除するためのプログラムが含まれています。既にadduserプログラムも持っているかもしれません。

useradd

useraddコマンドはシステムにユーザを追加するために用います。標準の設定を変えるときにもこのコマンドを実行します。

最初に行なうべきことは標準設定を確認してあなたのシステムに合わせて変更を加えることです:


useradd -D

GROUP=1
HOME=/home
INACTIVE=0
EXPIRE=0
SHELL=
SKEL=/etc/skel

標準設定はおそらく気に入らないでしょうから、ユーザを加えるときに各ユーザに対して全ての項目をいちいち指定するよりも、標準の設定を変えてしまいましょう。

筆者のシステムでは以下のような設定に変えています:

標準のグループ ID を 100 に
パスワードの期限を 60 日に
パスワードの期限切れによるアカウントのロックは行なわない
標準のシェルを/bin/bash に

このような変更を行なうには次のコマンドを実行します:


useradd -D -g100 -e60 -f0 -s/bin/bash

この状態で useradd -D を実行すると以下の結果を得ます:

GROUP=100
HOME=/home
INACTIVE=0
EXPIRE=60
SHELL=/bin/bash
SKEL=/etc/skel

もし知りたければ、これらの標準設定は/etc/default/useradd ファイルで確認できます。

これでユーザの追加に useradd を使えるようになりました。例えば、標準の設定を使ってユーザ fred を追加するためには以下のような操作を行ないます:


useradd -m -c "Fred Flintstone" fred

このコマンドは/etc/passwd ファイル内に以下のようなエントリーを作ります:


fred:*:505:100:Fred Flintstone:/home/fred:/bin/bash

また、/etc/shadowファイル内に以下のエントリーを作ります:


fred:!:0:0:60:0:0:0:0

-mオプションがついているので、ユーザfred のホームディレクトリも生成され、/etc/skelディレクトリの内容がコピーされます。

UID は指定していなくても適当に決めてくれます。

これでfredのアカウントができましたが、アカウントのロックを解除しない限りfredはログインすることはできません。ロックの解除はパスワードを変えることによって行ないます。


passwd fred

Changing password for fred
Enter the new password (minimum of 5 characters)
Please use a combination of upper and lower case letters and numbers.
New Password: *******
Re-enter new password: *******

これで /etc/shadowは以下のような内容になります:


fred:J0C.WDR1amIt6:9559:0:60:0:0:0:0

そして、fredはシステムにログインできるようになります。他のプログラムでなく useradd を使う利点は/etc/passwd と/etc/shadowの変更が不可分に行なわれることです。つまり、あなたがユーザを登録するのと同時に他のユーザがパスワードを変更したとしても、両方とも正しく実行されます。

直接 /etc/passwd や /etc/shadow を編集するのはやめて、用意されたコマンドを利用するべきです。あなたが /etc/passwd を編集している間に、あるユーザがパスワードを変更したとすると、そのユーザのパスワード変更はあなたがファイルをセーブした時に失われてしまいます。

以下に示すのはuseraddとpasswdを使った簡単な対話的ユーザ追加スクリプトです。

#!/bin/bash
#
# /sbin/newuser - A script to add users to the system using the Shadow
#                 Suite's useradd and passwd commands.
#
# Written my Mike Jackson <mhjack@tscnet.com> as an example for the Linux
# Shadow Password Howto.  Permission to use and modify is expressly granted.
#
# This could be modified to show the defaults and allow modification similar
# to the Slackware Adduser program.  It could also be modified to disallow
# stupid entries.  (i.e. better error checking).
#
##
#  Defaults for the useradd command
##
GROUP=100        # Default Group
HOME=/home       # Home directory location (/home/username)
SKEL=/etc/skel   # Skeleton Directory
INACTIVE=0       # Days after password expires to disable account (0=never)
EXPIRE=60        # Days that a passwords lasts
SHELL=/bin/bash  # Default Shell (full path)
##
#  Defaults for the passwd command
##
PASSMIN=0        # Days between password changes
PASSWARN=14      # Days before password expires that a warning is given
##
#  Ensure that root is running the script.
##
WHOAMI=`/usr/bin/whoami`
if [ $WHOAMI != "root" ]; then
        echo "You must be root to add news users!"
        exit 1
fi
##
#  Ask for username and fullname.
##
echo ""
echo -n "Username: "
read USERNAME
echo -n "Full name: "
read FULLNAME
#
echo "Adding user: $USERNAME."
#
# Note that the "" around $FULLNAME is required because this field is
# almost always going to contain at least on space, and without the "'s
# the useradd command would think that you we moving on to the next
# parameter when it reached the SPACE character.
#
/usr/sbin/useradd -c"$FULLNAME" -d$HOME/$USERNAME -e$EXPIRE \
        -f$INACTIVE -g$GROUP -m -k$SKEL -s$SHELL $USERNAME
##
#  Set password defaults
##
/bin/passwd -n $PASSMIN -w $PASSWARN $USERNAME >/dev/null 2>&1
##
#  Let the passwd command actually ask for password (twice)
##
/bin/passwd $USERNAME
##
#  Show what was done.
##
echo ""
echo "Entry from /etc/passwd:"
echo -n "   "
grep "$USERNAME:" /etc/passwd
echo "Entry from /etc/shadow:"
echo -n "   "
grep "$USERNAME:" /etc/shadow
echo "Summary output of the passwd command:"
echo -n "   "
passwd -S $USERNAME
echo ""

ユーザの追加にスクリプトを利用することは直接/etc/passwdや /etc/shadowを編集したり、Slackware の adduserプログラムを利用するよりも望ましいです。このスクリプトをあなたのシステムに合わせて変更して使ってください。

useraddについてのより詳しい説明はオンラインマニュアルを参照してください。

usermod

usermodプログラムはユーザについての情報を変更するためのものです。オプションはuseraddとほとんど同じです。

fredのシェルを変えようと思ったら、以下のような操作をします:


usermod -s /bin/tcsh fred

これによって、/etc/passwdのfredのエントリーは次のように変更されます:


fred:*:505:100:Fred Flintstone:/home/fred:/bin/tcsh

次に、fredのアカウントの期限を 1997年9月15日に設定してみましょう:


usermod -e 09/15/97 fred

これで/etc/shadowのfredのエントリーは次のように変更されます:


fred:J0C.WDR1amIt6:9559:0:60:0:0:10119:0

usermodについてのより詳しい説明はオンラインマニュアルを参照してください。

userdel

userdelは名前の通り、ユーザのアカウントを抹消します。使い方は単に


userdel -r username

と入力するだけです。 -rオプションをつけるとユーザのホームディレクトリを(ホームディレクトリそのものも含めて)消去します。異なるファイルシステム上にあるファイルは手作業で消去しなければなりません。

アカウントを消すのではなく、単にロックするだけの場合には passwdコマンドを使います。

7.3 login.defs ファイル

/etc/loginファイルはloginプログラムとShadow Suite全体の設定ファイルです。

/etc/login ファイルはプロンプト表示から、ユーザがパスワード変更をした時に標準のパスワード期限はどうなるかまでの幅広い設定を持っています。

/etc/login.defs 内に詳しいコメントがありますが、いくつか注意すべき点があります。

発生したロギングの量を決定するフラグ(on あるいは off にできる)を含む
他の設定ファイルへのポインタを含む
パスワードの aging などについての標準の設定を含む

これらのことから重要なファイルであることがわかると思います。ですから、ファイルがそのものが存在することと正しい設定になっているかどうかを必ず確認してください。

7.4 グループのパスワード

/etc/groupsファイルは特定のグループのメンバになるためのパスワードを含むことがあります。この機能はコンパイル時に /usr/src/shadow-YYMMDD/config.h ファイル内で定数SHADOWGRP を定義していれば有効になっています。

この定数を定義してコンパイルを行なったならば、/etc/gshadowファイルを作り、グループのパスワード及びグループ管理者についての情報を保持させなければなりません。

/etc/shadow ファイルを作った時には pwconvと呼ばれるプログラムを使いましたが、/etc/gshadowに対してはこれに相当するものはありません。しかし、このファイルは特に編集する必要はないので問題にはなりません。

最初に /etc/gshadow ファイルを作るためには以下の操作を行ないます。


touch /etc/gshadow
chown root.root /etc/gshadow
chmod 700 /etc/gshadow

新しいグループを作ると自動的に/etc/group及び /etc/gshadowファイルに追加されます。ユーザの追加や削除、グループのパスワードの変更などの修正が行なわれた場合には /etc/gshadowファイルも変更されます。

Shadow Suite に含まれるグループを変更するためのプログラムとしてgroups, groupadd, groupmod, groupdelがあります。

/etc/group ファイルのフォーマットは次のようになっています。


groupname:!:GID:member,member,...

各フィールドの内容は次のようになっています:

groupname: グループ名
!: 通常はパスワードを保持するフィールドであるが、 Shadow Suite ではパスワードは/etc/gshadow ファイルに格納される
GID: グループID(数値)
member: グループのメンバのリスト

/etc/gshadow ファイルのフォーマットは次のようになります。


groupname:password:admin,admin,...:member,member,...

各フィールドの内容は以下のようになっています:

groupname: グループの名前
password: エンコードされたパスワード
admin: グループの管理者のリスト
member: グループのメンバのリスト

gpasswdコマンドはグループに対して管理者やユーザの追加及び削除を行なう時にだけ使います。rootやグループの管理者リストに入っているユーザはグループのメンバの追加や削除を行なうことができます。

グループのパスワードは root かグループの管理者リストに入っているユーザがpasswdコマンドを使用することで変更できます。

現在のところ、gpasswdコマンドのオンラインマニュアルはありませんが、パラメータなしてgpasswdを実行することでオプション一覧を確認することができます。ファイルのフォーマットと意味を理解していればコマンドがどのように動作するのかを把握することは簡単です。

7.5 一貫性をチェックするプログラム

pwck

プログラムpwckは/etc/passwdと/etc/shadow の内容に一貫性があるかどうかを調べるためのものです。このプログラムはそれぞれのユーザ名について以下の項目を調べます:

フィールドの数が正しいか
同じ名前のユーザ名がいないか
ユーザID、グループIDが正しいか
primary グループが正しいか
ホームディレクトリが正しいか
ログインシェルが正しいか

また、パスワード無しのアカウントがあれば警告します。

Shadow Suiteをインストールしたら、pwckを実行するというのは良い考えです。定期的(たとえば毎月、毎週)に実行するのもいいでしょう。-rオプションを使えば、cronを使って定期的に実行させ、結果をメールで報告させることができます。

grpck

grpck は/etc/group と /etc/gshadow の一貫性を確認するプログラムです。このプログラムは以下のチェックを行ないます:

フィールドの数が正しいか
グループ名の重複がないか
メンバーと管理者のリストが正しいか

pwckコマンド同様に、-r オプションを使って自動的に結果報告をさせることができます。

ダイアルアップ・パスワードはダイアルインのアクセスを許可しているシステムの、通常のパスワード認証とは別の防衛線です。ローカルあるいはネットワーク経由で接続できるユーザは多くいるけれどダイアルインで接続できるユーザは制限したい場合には、ダイアルアップ・パスワードが役に立ちます。ダイアルアップ・パスワードを有効にするには、/etc/login.defsを編集し、 DIALUPS_CHECK_ENAB を yes にします。

ダイアルアップについての設定は2つのファイルで行います。一つは /etc/dialupsで、tty の設定を記述します。(回線一つに対して一行書き、デバイス名の最初の"/dev/"を取り除いたものを記述します。) tty が書かれていれば、ダイアルアップの接続に対するチェックが行われます。

もう一つのファイルは /etc/d_passwd です。このファイルには適切なシェルのパス名と追加のパスワードを記述します。

もし、/etc/dialupsに書かれている回線からユーザがログインし、 /etc/d_passwd にこのユーザのログインシェルが書かれているならば、正しいパスワードを入力することでアクセス許可を得ることができます。

ダイアルアップ・パスワードは回線に特定のタイプ(PPPやUUCPなど)の接続だけを許す場合にも有効に利用できます。ユーザが他のタイプの接続(例えばリストに載っているシェルを使う)を行う場合にはこの回線のパスワードを知っている必要があります。

ダイアルアップ・パスワードを使う前には、前述の設定ファイルを作成する必要があります。

コマンド dpasswd を使って /etc/d_passwdファイルのシェルに対するパスワードを設定することができます。詳しくはオンラインマニュアルを参照してください。

次のページ前のページ目次へ