UNIX認証方式いろいろ

[1 名無しさん＠お腹いっぱい。 NG NG]

もうNISの時代はおわったのか。
LDAP、PAM、Kerberosいろいろあるけど。
お前はどれを使う！？

[2 名無しさん＠お腹いっぱい。 NG NG]

Webアプリケーションが流行れば流行るほど、LDAPかなんらかのDBが主流になるのかな

[3 名無しさん＠お腹いっぱい。 NG NG]

PAM と LDAP,Kerberos はレイヤが違うと思われ。
以前 Linux 板に PAM スレが立ったがあっという間に沈んだという。

[4 名無しさん＠Ｅｍａｃｓ NG NG]

LDAPに移行したいだけど，FreeBSDって対応してます？

[5 名無しさん＠お腹いっぱい。 NG NG]

>>4
/usr/ports/security/pam_ldap なんてのがあるみたい。
使った事無いからちゃんと動くかどうか知らんが。

[6 名無しさん＠お腹いっぱい。 NG NG]

うごくよん．
LDAPよりも，SQLでいきたいなーとか思っておるです．

[7 名無しさん＠お腹いっぱい。 NG NG]

>>6
SQLは単にデータベースとしての仕掛けだから、認証方式という論点からは
ズレちゃうような。LDAPサーバのバックエンドとしてSQL(mysql? postges?)
が居るというのならわかるけど。

[8 名無しさん＠お腹いっぱい。 NG NG]

>>7
>LDAPサーバのバックエンド
あぁ．．．そのつもりなんだ．

やっぱ，中にはAccessで一元的に管理してぇとか言う人が居るんだよね．

[9 名無しさん＠お腹いっぱい。 NG NG]

iPlanet Directory Server とopenLDAPは同じ形式なんだろうか。
vpopmailやその他のopenLDAP対応した認証がiPlanet Directory Serverでも使えるのか？

iPlanetつかっているSolarisユーザーを声を聞かせてくれっ！

[10 名無しさん＠お腹いっぱい。 NG NG]

APOP, HMAC はアルゴリズム知ってます。
でも PLAIN と LOGIN がわかりません。
RFC に書いてありますかね?

[11 名無しさん＠お腹いっぱい。 NG NG]

NIS+は確実に死ぬな。（もう死んでるか

[12 棄教者 ◆witdLTi2 NG NG]

指紋認証でログインするシステムを誰かハックしてください。
おっと、網膜や声紋でもOKです。

[13 名無しさん＠Ｅｍａｃｓ NG NG]

>>12
指紋認証っつっても各社それぞれ判断基準が違うから何とも言えない。

[14 ななし NG NG]

>>8
SQL喋るRDBがバックエンドのLDAPサーバって俺も欲しいな。
Accessつーか、SQLでtableいじりてーよ。

>>11
NIS+ clientでも認証付きでtable entryいじれて、
あれはあれで良くできているよ。
LDAP(の現状の実装)だと、一般ユーザに変更させるときには、
サーバにloginさせたり、Web interface作ったりうざい。

[15 sage NG NG]

>>13　本人を無理やり連れてくるってのはどうよ？
つまり本人をクラックするってことなんだけど。

[16 名無しさん＠Ｅｍａｃｓ NG NG]

FreeBSD4.6Rからはpam_sshとかいうのが使えるらしい。
これはなんか便利な認証方式なのではなかったけ？
具体的にどう使うのかｷﾎﾞｰﾝ

[17 名無しさん＠お腹いっぱい。 NG NG]

>>14
RDBMSがバックエンドのLDAP serverって既にあるんではないのか？
作るのも簡単そうだし。

[18 ななし NG NG]

>>17
あるんなら教えてくれ。探してもない。作ったらくれ。

[19 ふわふわ名無しさん NG NG]

>>16
パスワードの代わりに ssh の秘密鍵を暗号化してあるパスフレーズを入力する。
それで秘密鍵が読めれば login できて、
ログインシェルの前に自動で ssh-agent が動いて鍵を覚えてくれる。
なので、そこから別のホストにログインするのも(public key
authentication できるようになっていれば)何も入力しなくてよい。

[20 名無しさん＠お腹いっぱい。 NG NG]

>>15
そういえばこんなのがあったな。
http://www.mackport.co.jp/WEEKLY-BIO/bio033/bio033.htm

[21 名無しさん＠お腹いっぱい。 NG NG]

あげー

[22 名無しさん＠お腹いっぱい。 NG NG]

qmail環境でqmail-popまたは、vpopmailでNISをかって認証をしたいんだけど、
chackepasswordなんかが/var/yp/etc/passwdを参照をする洋にするにはどうすればいいんですか？

[23 名無しさん＠お腹いっぱい。 NG NG]

もうNISはマジでやめておこう。今からそれを採用するのはヤバイだろ。

[24 名無しさん＠お腹いっぱい。 NG NG]

NISの何がやばいのか解説キボンヌ。

[25 名無しさん＠お腹いっぱい。 NG NG]

>>24
23はauto_homeとか使ってないんでしょう。
ユーザー認証だけならLDAPでいこうとする気はわかるけど。

[26 名無しさん＠お腹いっぱい。 NG NG]

>>23 は NIS と NIS+ を混同してると思われ。
NIS+ は End Of Life
しかし、NIS はバリバリ現役。

[27 ななし NG NG]

>>22
OSなんなの?
Solarisとかなら、/etc/nsswitch.conf書き換えるだけじゃないの?
qmail-getpw.cとか読んでもそうとしかおもえんが…

>>26
何百台でdatabase共用しようと思うと、NISじゃ無理だよ。
nispopulateで同期する時は、map全体を転送ちゃうからscaleしない。
数台ならNISで充分、わざわざNIS+勉強する意義なし。

[28 22 NG NG]

>>27
はいsolarisでございます。
nsswitch.confで/etc/passwdよりもnisのpassswdを優先させたらいいのか？
chechpasswordの認証は直接/etc/passwdを参照しているとおもっていたから…。
聞くより実行。さっそく試してみます。

あー、でもやっぱり明日にしよーっと！

[29 22 NG NG]

>>26
そうだね。だからSunは10年ブリに新たな認証方式として、NIS+の変わりになるLDAPを採用した。
iPlanetなどでも力はいってるね。

[30 22 NG NG]

>>27
やっぱり/etc/nsswitch.confを書き換えたところで、qmailのpop認証とかsmtp-auth認証は
chechpasswdを使っているから無理だった。

いま思えばやはり当たり前の事。
27はqmailのユーザー認証はなに使っているの？

[31 ななし NG NG]

>>30
何で当たり前なの? checkpasswordのsource読んでみた?
getentで、/etc/nsswitch.confが有効になっているか調べてみたら?
/etc/init.d/nscd stop; /etc/init.d/nscd startもした?

NIS+→LDAP移行中

[32 sage NG NG]

NIS はまだまだ必要。多分これからも必要。
NIS+ がターゲットにしていた部分は多分 LDAP とかになっていくんだろうね。

[33 名無しさん＠お腹いっぱい。 NG NG]

LDAP、updateがもうちっと分散指向になればな〜。

[34 名無しさん＠お腹いっぱい。 NG NG]

LDAPって騒がれてるのは、知ってるんですが、
イマイチなんなのかわかりませぬ。
どこかLDAPがなにものなのか解説したサイトなどありませぬか？

[35 仕様書無しさん NG NG]

【LDAP Linux HOWTO】
http://www.linux.or.jp/JF/JFdocs/LDAP-HOWTO.html

【LDAP Implementation HOWTO】
http://www.linux.or.jp/JF/JFdocs/LDAP-Implementation-HOWTO/

【LDAPによるパスワードの一元管理】
http://www.atmarkit.co.jp/flinux/rensai/root02/root02a.html

[36 仕様書無しさん NG NG]

【日本語LDAP RFC】
http://www.cysol.co.jp/contrib/ldap/index_j.html

[37 sage NG NG]

>>33　まぁ LDAP が想定してるのはあくまで「ディレクトリサービス」ですからねぇ。

[38 30 NG NG]

>>31
もちろんNISは動いてますよ。ただcheckpasswordのソースは私は見ましたが 理解できる程cを理解していません。
もうちょとcheckpasswordをしらべますが、NISは関係ないとおもうんですけど。(/etc/passwdを参照する単なるプログラムだと理解しているのですが

[39 名無しさん＠お腹いっぱい。 NG NG]

>>38
違うって言ってるだろ、アフォ!
NISが動いてるかじゃなくて、
libnslがNISを参照してるかgetentで調べんだよ、この低能!

[40 名無しさん＠お腹いっぱい。 NG NG]

ああ、とうとう怒らせてしまったな。。

[41 38 NG NG]

>>39
そのへん教えてくれませんか？(libnsl

[42 名無しさん＠お腹いっぱい。 NG NG]

>>41
とーにーかーくー、getentでNISにしかないpasswd entry引いてみろ。

その次にDES認証モードで運用しているかどうかも調べろ。
DES認証モードならば、(以下続く

[43 38 NG NG]

>>42
レスありがとうございます。
getent passwd
全部でます。

getent passwd [ユーザー名]
でます。


solarisなのでDES認証です。

[44 名無しさん＠お腹いっぱい。 NG NG]

>>43
> solarisなのでDES認証です。

じゃあ、-DHASGETSPNAMつけて、checkpasswordをcompileしないと。
ちなみにSolarisはDES認証なしでも運用可能な。

# DES認証時/shadow password利用時には、
# getpwent(3)では、password fieldをget出来ない。(変な仕様だ…)

[45 名無しさん＠お腹いっぱい。 NG NG]

kerberos はアメリカの輸出規制どーなったんですか。
もう大丈夫なの？

[46 sage NG NG]

>>45 名前しか知らないよ〜　勉強しよう…

[47 名無しさん＠お腹いっぱい。 NG NG]

age

[48 名無しさん＠お腹いっぱい。 NG NG]

もしかしたら>>43は、
passwd fieldの暗号化にDESを使っていることと、
NIS+のDES認証モードの区別ついてないのかな…

[49 AKAK NG NG]

NIS+の話？

[50 名無しさん＠お腹いっぱい。 NG NG]

>>49
>>38の場合は、+は余計だった。
NISにもNIS+にもDES認証モードがある。
NFSにもDES認証モードがある。SunOSの場合、同じ鍵対を使う。

[51 名無しさん＠Ｅｍａｃｓ NG NG]

>>45
56bit DES (Kerberos 4) については98年から規制緩和された。
http://www.watch.impress.co.jp/internet/www/article/980917/encrypt.htm
http://www.rccm.co.jp/~juk/krb/
http://www.openbsd.org/ja/crypto.html

[52 名無しさん＠お腹いっぱい。 NG NG]

認証に指を差し込む穴に指を入れさせる。
認証に失敗すると、内部の刃物で切断し、終了。

[53 名無しさん＠お腹いっぱい。 NG NG]

pc3鯖、落ちてる？

[54 名無しさん＠お腹いっぱい。 NG NG]

>52
「いやーごめんごめん、君の認証データを
人事異動の際に移しておくのを忘れちゃってたよ」

[55 名無しさん＠お腹いっぱい。 NG NG]

この前PDC環境をSolarisとSambaで構築しました。
便利で便利でない様な…。

[56 名無しさん＠お腹いっぱい。 NG NG]

>>55
NTクライアントでちょっと凝ったことするとsmbdがコア吐いてたり。

[57 名無しさん＠お腹いっぱい。 NG NG]

ついでに管理者が弱音を吐いたり。


そこ、石投げないでください(-＿-)

[58 名無しさん＠お腹いっぱい。 NG NG]

くそぉ・・・NIS+ サポート打ち切りかよ・・・

せっかくおぼえたのに・・・

[59 名無しさん＠お腹いっぱい。 NG NG]

>>58
ふぉんとですか？？？

[60 not 58 NG NG]

Solaris 9でnisclientを実行すると、

******** ******** WARNING ******** ********
NIS+ might not be supported in a future release. Tools to aid
the migration from NIS+ to LDAP are available in the Solaris 9
operating environment. For more information, visit
http://www.sun.com/directory/nisplus/transition.html
******** ******** ******* ******** ********

って出てきます。5年はサポートが続くそうです。

まあ付属のLDAPでいいけどさ。credも使えるし。
NIS+とほとんどかわんね─よ。>>58
Multi-paltformになった利点の方が大きい。

[61 名無しさん＠お腹いっぱい。 NG NG]

ここは質問スレッドではないのかもしれませんが
どうか一つ質問させて下さい.

Solaris8 x 10台程、Linux x 2台程の規模をNISを使って
管理しています.Solaris8の1台をNIS primary serverにして
あとは全てNIS clientです.パスワード有効期限を設定していますが
NIS serverにログインしたときには警告が出て変えろと言われますが
NIS clientにログインしても何も警告が出ません.パスワード有効
期限が切れたアカウントでも問題なく使えます.これだとNIS client
を使っているユーザーには何時までたってもpasswordを変えてもらえなくて困ってしまいます.
NISはpasswdの中のpassword部分をshadowのpassword部分と置き換えた
ものをmapとして配っているだけのようなので(ypcat passwdとしてみると)shadowの中にあるのパスワード有効期限やアカウント有効期限、
などの情報は配っていないようです.
clientでもパスワード期限切れを警告させたり期限切れアカウント
をloginさせなくするのにはどうしたら一番よいでしょうか。
(1)NISの仕様上不可能.NIS+ならできるので移行せよ
(2)NISの仕様上不可能.LDAPならできるので移行せよ
(3)NISの仕様上不可能.XXXに移行せよ
(4)NISでもXXとすれば可能
NIS+, LDAPを使ったことがないのですがもしこれが出来るなら
移行しようと考えているのです.

[62 名無しさん＠お腹いっぱい。 NG NG]

なるほど。質問者に教えられました。ありがとう。たしかに61の言うとうりの参照方法なら不可能なのかな。（今日は遅いので明日調べてみます）

ところで、LDAP導入について61に便乗して質問します。
Solarisに入れたOpenLDAPの環境で/etc/nsswitch.ldapは使えるの？
iplanet Directory Server用なのかな？
何の為にあるのか謎。

[63 not 58 NG NG]

>>61
shadowマップはどうなってるの? (man -s 5 shadow)
nsswitch.confは大丈夫? (ypmatchと違い、getentは常にnsswitch.confを反映する)

>>62
> 何の為にあるのか謎。

nsswitch.{files,nis,nisplus,ldap}は、nsswitch.conf用のsample。
# cp -p /etc/nsswitch.{ldap,conf}
すれば、name serviceはLDAPを参照するようになる。(稼働していればね)

いじょ

[64 62 NG NG]

>63
>>nsswitch.conf用のsample。
それは承知です。iPlanet用なのかどうか謎。ってことです。

>>(稼働していればね)
iPlanet Directory ServerのLDAPのデーモンns-slapdが稼働していればね？ってことですか？
OpenLDAPのslapdが稼働していればね？ってことですか？
それともどちらでもOK？

[65 名無しさん＠お腹いっぱい。 NG NG]

>>64
LDAP はプロトコルってことを理解している?

[66 61 NG NG]

62,63さん、ありがとうございます.
63>> shadowマップはどうなってるの? (man -s 5 shadow)
(Solaris 8/sparcでman -s 4 shadowで)調べると、(一部抜粋します)
username:password:lastchg: min:max:warn: inactive:expire:flag
でした.

63>>nsswitch.confは大丈夫? (ypmatchと違い、getentは常にnsswitch.confを反映する)
grep passwd /etc/nsswitch.confとした所、
passwd: files nis
でした.まず最初に/etc/passwdを見て、その次にNISでpasswdのマップを参照して
いるようです./etc/passwdのパスワード部分はxにしてあり、
ypcat passwdで(例えばアカウントhogeの部分を)調べると,
hoge:Yp52g0OOGbEAU:150:100:Hogeo Hogeta:/home/hoge:/usr/local/bin/tcsh
getent passwd hogeの結果は(getentというcmdを知りませんでした...)
hoge:x:150:100:Hogeo Hogeta:/home/hoge:/usr/local/bin/tcsh
ypmatch -d "nis-domain-name" hoge passwdの結果は
ypcat passwd | grep hogeと同じでした.

/etc/passwdには(NIS server, NIS clientともに)+の記述はしていません.
昔、SunOS4.1.4の時にはnsswitch.confが無かったので+を記述していましたが.

[67 61 & 66 NG NG]

61です.66が長くなったので分けて続けます.

shadowというマップはNISでは(/var/yp/Makefileを見ると)配って
いないので
% ypcat shadow
no such map in server's domain
% ypmatch -d "nis-domain-name" hoge shadow
Can't match key ono in map shadow.
Reason: no such map in server's domain.
%getent shadow ono
Unknown database: shadow
usage: getent database [ key ... ]
となります.

getspnam(3C)を読みますと、「もしあなたがNIS DBを使っている
場合は、shadowの情報はpasswd.bynameを参照することにより
得られる.ただしこれ(passwd.bynameは)sp_namp and sp_pwdp
しか(つまりlogin nameとencrypted-passwordしか)含んでいない」
とあります.
やはり、NIS clientが得る情報は、NIS serverのpasswdの2番目
の部分に、shadowのencrypted passwordを挿入したもののようです.

[68 67の続き NG NG]

結局私に考えつく方法として次の3つだけです.

(a)(61-(4)の方法として)
/var/yp/Makefileでpasswdだけ他の(auto.homeやservicesと違って)
ファイルと違う扱い(shadowの一部だけpasswdのmapに載せて配るということ)
をしているのが原因なのだから、いっそのこと
/var/yp/MakefileのNISで配るmapにshadowも付け加える.
/etc/nsswitch.confにもshadowの行を付け加えて、NIS clientでも
ypcat shadowが実行できるようになるか試してみる.
(b)(61-(1),(2)として)NIS+かLDAPにして試してみる.
(c)他の角度からの運用で次善的解決法を模索する.

[69 68の続き NG NG]

(a)はちょっと怖くてやりたくない.
(Sunが書いている/var/yp/Makefileのを編集するのはよくやると
思いますが、shadowを編集して入れてしまうというのが未体験
ゾーンなのです)
(b)はNIS+かLDAPで(clientでのパスワード期限の警告、
期限切れのlockが)出来るという機能面の保証がまだ無いので
(ちょっと見つかりませんので)まだ試すには時間がかかる.

ので、(c)の解決法としてNISサーバーでcronで1日一回、
passwordの期限切れが迫っている人には警告のメールを出すように
perl scriptを書いて走らせるようにしました.script自体は
今のところうまく行っているようです.しかしこれでは
* E-mailを読まなかったり使わない人、無視する人には効果がなく、
引き続きNIS clientではpasswordがexpireされたuserでも
　loginできてしまう.という弱点自体はそのままです.

(a)(b)の方法を引き続き検討してみます.
(b)のNIS+やLDAPならclientでもpasswordのexpirationに関する
チェックが出来るよ、という運用実績などある方いましたら
お願いします.
もし(a)の方法を試す勇気が出たら試してここでまた報告します.
それでは.