30.3.2. PAM サービスの設定
警告
PAM 設定ファイルの間違いにより、ユーザーがシステムから完全にロックされる可能性があります。変更を実行する前に設定ファイルを常にバックアップし、セッションを開いたままにして、変更を元に戻すことができるようにします。
SSSD は、SSSD を使用してユーザー情報を取得するようにシステムに指示する PAM モジュール
sssd_pam を提供します。PAM 設定には SSSD モジュールへの参照が含まれ、SSSD 設定 は SSSD が PAM と対話する方法を設定します。
PAM サービスを設定するには、以下を実行します。
- 認証設定ツールは、
/etc/pam.d/system-auth-acファイルに自動的に書き込みます。このファイルは/etc/pam.d/system-authへのシンボリックリンクです。/etc/pam.d/system-authに加えた変更は、次に authconfig が実行される際に上書きされます。したがって、/etc/pam.d/system-authシンボリックリンクを削除します。[root@server ~]# rm /etc/pam.d/system-auth rm: remove symbolic link `/etc/pam.d/system-auth'? y
- 新しい
/etc/pam.d/system-auth-localファイルを作成します。これを行う簡単な方法の 1 つは、単に/etc/pam.d/system-auth-acファイルをコピーすることです。[root@server ~]# cp /etc/pam.d/system-auth-ac /etc/pam.d/system-auth-local
/etc/pam.d/system-auth-localファイルと/etc/pam.d/system-authの間に新しいシンボリックリンクを作成します。[root@server ~]# ln -s /etc/pam.d/system-auth-local /etc/pam.d/system-auth
/etc/pam.d/system-auth-localファイルを編集し、すべての SSSD モジュールを PAM 設定に追加します。#%PAM-1.0 ... auth sufficient pam_sss.so use_first_pass auth required pam_deny.so ... account [default=bad success=ok user_unknown=ignore] pam_sss.so account required pam_permit.so ... password sufficient pam_sss.so use_authtok password required pam_deny.so ... session sufficient pam_sss.so session required pam_unix.so
これらのモジュールは、必要に応じてステートメントを含むように設定できます。sssd.confファイルを開きます。# vim /etc/sssd/sssd.conf
- PAM が SSSD と連携するサービスの 1 つとして一覧表示されていることを確認してください。
[sssd] config_file_version = 2 reconnection_retries = 3 sbus_timeout = 30 services = nss,
pam - [pam] セクションで、PAM パラメーターのいずれかを変更します。これらは、表30.2「SSSD [pam] 設定パラメーター」 に記載されています。
[pam] reconnection_retries = 3 offline_credentials_expiration = 2 offline_failed_login_attempts = 3 offline_failed_login_delay = 5
- SSSD を再起動します。
[root@server ~]# service sssd restart
| パラメーター | 値の形式 | 説明 |
|---|---|---|
| offline_credentials_expiration | integer | 認証プロバイダーがオフラインの場合にキャッシュしたログインを許可する期間を日数単位で設定します。この値は、最後に成功したオンラインログインから測定されます。指定しない場合、デフォルトは0(0)で、これは無制限です。 |
| offline_failed_login_attempts | integer | 認証プロバイダーがオフラインの場合に許可されるログイン試行の失敗回数を設定します。指定しない場合、デフォルトは0(0)で、これは無制限です。 |
| offline_failed_login_delay | integer | ユーザーがログイン試行の失敗制限に達した場合にログイン試行を防ぐ時間を設定します。ゼロ(0)に設定すると、失敗した試行制限に達すると、プロバイダーはオフラインである間は認証できません。オンライン認証の成功のみが、オフライン認証を再度有効にできます。指定しない場合、デフォルトで 5 (5)に設定されます。 |
