パスワードポリシーを設定する2011/07/11

企業のコンプライアンスが求められる中で、パスワードの設定は重要です。簡易なパスワードを設定しないようにルールで定めてはいても、システムでの強制力がなければなかなか守られません。パスワードのルールはシステム側の設定で対応しましょう。

※ PAM の設定ファイルの意味
【第一フィールド】
   auth             : 認証の確認
   account          : アカウントの有効性チェック
   password         : 認証方法を変更を提供（パスワード設定/変更等）
   session          : 認証前/認証後の処理を管理
【第二フィールド】
   required         : 成功を要求する。失敗しても他モジュールを最後まで呼び出す
   requisite        : 成功を要求する。失敗した場合は認証を即時終了する
   sufficient       : 成功時は即時アクセスを許可する
   optional         : オプショナル。結果は関係しない
【第三フィールド】
   pam_unix.so      : UNIX認証する
   pam_env.so       : 環境変数を初期設定する
   pam_securetty.so : rootログインを制限する
   pam_stack.so     : 他のPAMを呼び出す
   pam_nologin.so   : /etc/nologinがあればroot以外のログインを拒否する
   pam_deny.so      : 全てを拒否する
   pam_permit.so    : 全てを許可する
   pam_tally2.so    : 失敗ログイン履歴を記録する
   pam_cracklib.so  : パスワードポリシーの指定・チェック
   pam_limits.so    : CPU時間やプロセス数、ファイル数などを制限する

[1]

パスワードの有効期限を設定する。ユーザーは設定した日数以内にパスワードを変更しなければならない。
ただし、この設定はアカウント新規作成時のみ有効。既存のアカウントには影響しない。
当設定がされていない既存ユーザーに設定する場合は「chage -M 日数ユーザー」で設定。

[root@dlp ~]#

vi /etc/login.defs

# 17行目：パスワードの有効期限を60日に設定

PASS_MAX_DAYS

[2]	パスワードの最短利用日数を設定する。ユーザーはパスワードを変更してからこの期間内はパスワードを変更できない。ただし、この設定はアカウント新規作成時のみ有効。既存のアカウントには影響しない。当設定がされていない既存ユーザーに設定する場合は「chage -m 日数ユーザー」で設定。

[root@dlp ~]#

vi /etc/login.defs

# 18行目：パスワードの最短利用日数を2日に設定

PASS_MIN_DAYS

[3]	パスワードの有効期限が来る前に警告を発する期間の日数を設定する。ただし、この設定はアカウント新規作成時のみ有効。既存のアカウントには影響しない。当設定がされていない既存ユーザーに設定する場合は「chage -W 日数ユーザー」で設定。

[root@dlp ~]#

vi /etc/login.defs

# 20行目：パスワードの有効期限が来る前に警告を発する期間の日数を7日に設定

PASS_WARN_AGE

[4]	過去に使用したパスワードの使用を制限する。ユーザーは設定された世代以内に同じパスワードを再び設定することができない。

[root@dlp ~]#

vi /etc/pam.d/system-auth

# 16行目あたり：過去5世代のパスワードの再利用を禁止する

password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok \

remember=5

[5]	パスワードの最低文字数を設定する。ユーザーは設定された文字数未満のパスワードは設定できない。なお、以下では minlen=* が設定に相当しますが、その他の値(後述)も minlen と連動しているため、設定しなくとも値を0にして指定しておく必要があります。

[root@dlp ~]#

vi /etc/pam.d/system-auth

# 15行目あたり：パスワードの最低文字数を8文字に設定する