8.3.2. NFS クライアントのセキュリティーを保護するマウントオプション
NFS クライアントを設定するときにマウントオプションを適用すると、より強力なセキュリティーを適用できます。この設定により、クライアント/サーバー通信で Kerberos などの必要なセキュリティープロトコルが使用されるようになります。
mount コマンドの次のオプションを指定すると、NFS ベースのクライアントのセキュリティーを強化できます。
nosuid-
nosuidオプションを使用してset-user-identifierまたはset-group-identifierビットを無効にします。これにより、リモートユーザーがsetuidプログラムを実行してより高い特権を取得できなくなります。このオプションはsetuidオプションの代わりに使用できます。 noexec-
noexecオプションを使用して、クライアント上の実行可能なファイルをすべて無効にします。これを使用して、ユーザーが共有ファイルシステムに配置されたファイルを誤って実行するのを防ぎます。 nodev-
nodevオプションを使用して、クライアントがデバイスファイルをハードウェアデバイスとして処理するのを防ぎます。 resvport-
resvportオプションは、通信を予約ポートに制限するために使用します。これにより、特権送信元ポートを使用してサーバーと通信できます。予約済みポートは、rootユーザーなどの特権ユーザーおよびプロセス用に予約されています。 sec-
secオプションは、マウントポイント上のファイルにアクセスする際の RPCGSS セキュリティー方式を選択するために、NFS サーバー側で使用します。有効なセキュリティー方式は、none、sys、krb5、krb5i、およびkrb5pです。
重要
krb5-libs パッケージが提供する MIT Kerberos ライブラリーは、新しいデプロイメントで Data Encryption Standard (DES) アルゴリズムに対応しなくなりました。DES は、セキュリティーと互換性の理由から、Kerberos ライブラリーでは非推奨であり、デフォルトで無効になっています。互換性のために環境で DES が必要な場合を除き、より新しくセキュアなアルゴリズムを DES の代わりに使用してください。