7.3.2. NFS クライアントのセキュリティーを保護するマウントオプション
mount コマンドに次のオプションを渡すと、NFS ベースのクライアントのセキュリティーを強化できます。
nosuid-
nosuidオプションを使用してset-user-identifierまたはset-group-identifierビットを無効にします。これにより、リモートユーザーがsetuidプログラムを実行してより高い特権を取得するのを防ぎ、setuidオプションの反対となるこのオプションを使用できます。 noexec-
noexecオプションを使用して、クライアント上の実行可能なファイルをすべて無効にします。これを使用して、ユーザーが共有ファイルシステムに配置されたファイルを誤って実行するのを防ぎます。 nodev-
nodevオプションを使用して、クライアントがデバイスファイルをハードウェアデバイスとして処理するのを防ぎます。 resvport-
resvportオプションを使用して、通信を予約済みポートに制限し、特権送信元ポートを使用してサーバーと通信できます。予約済みポートは、rootユーザーなどの特権ユーザーおよびプロセス用に予約されています。 秒-
NFS サーバーの
secオプションを使用して、マウントポイント上のファイルにアクセスするための RPCGSS セキュリティーフレーバーを選択します。有効なセキュリティーフレーバーは、none、sys、krb5、krb5i、およびkrb5pです。
重要
krb5-libs パッケージが提供する MIT Kerberos ライブラリーは、新しいデプロイメントで Data Encryption Standard (DES) アルゴリズムに対応しなくなりました。DES は、セキュリティーと互換性の理由から、Kerberos ライブラリーでは非推奨であり、デフォルトで無効になっています。互換性の理由でご使用の環境で DES が必要な場合を除き、DES の代わりに新しくより安全なアルゴリズムを使用してください。