table of contents
login.defs(5) | Форматы файлов | login.defs(5) |
НАЗВАНИЕ¶
login.defs - содержит конфигурацию подсистемы теневых паролейОПИСАНИЕ¶
Файл /etc/login.defs содержит настройки подсистемы теневых паролей (shadow password suite). Этот файл является обязательным. Отсутствие данного файла не повлияет на работу системы, но, вероятно, приведёт к выполнению нежелаемых операций.Файл представляет собой обычный текстовый файл; каждая строка описывает один параметр настройки. Строки состоят из названия параметра и его значения, которые разделяются пробельным символом. Пустые строки и комментарии игнорируются. Комментарии начинаются со знака фунта «#», который должен быть первым непробельным символом в строке.
Значения параметров могут быть четырёх типов: строки, логические значения, числа и длинные числа. Строки состоят из любых печатных символов. Под логическими значениями подразумеваются yes или no. Неопределённый логический параметр или имеющий значение, отличное от указанных выше, считается как имеющий значение no. Числа (обычные и длинные) можно задавать в десятичной, восьмеричной (перед значением ставится «0») или шестнадцатеричной (перед значением ставится «0x») системах счисления. Максимальные значения параметра обычного и длинного числа зависят от архитектуры компьютера.
Возможны следующие параметры настройки:
CHFN_RESTRICT (строка)
CONSOLE_GROUPS (строка)
Используйте осторожно — может дать пользователям постоянный доступ к этим группам, даже если они не входили с консоли.
CREATE_HOME (логический)
Эта переменная не влияет на системных пользователей и может быть переопределена из командной строки.
DEFAULT_HOME (логический)
Если равно yes, то пользователь будет попадать в корневой каталог (/), если невозможно выполнить cd в его домашний каталог.
ENCRYPT_METHOD (строка)
Возможны следующие значения: DES (по умолчанию), MD5, SHA256, SHA512.
Замечание: этот параметр переопределяет переменную MD5_CRYPT_ENAB.
Замечание: действует только при генерации паролей к группам. Генерация пользовательских паролей выполняется PAM и там же настраивается. Рекомендуется устанавливать значение этой переменной согласно настройкам PAM.
ENV_HZ (строка)
Переменная окружения HZ устанавливается только когда пользователь (суперпользователь) входит в систему с помощью sulogin.
ENV_PATH (строка)
ENV_SUPATH (строка)
ERASECHAR (число)
Значение может начинаться с «0» при указании значения в восьмеричной системе счисления или «0x» при указании значения в шестнадцатеричной системе счисления.
FAIL_DELAY (число)
FAKE_SHELL (строка)
GID_MAX (число), GID_MIN (число)
Значение по умолчанию для GID_MIN (соотв. GID_MAX) равно 1000 (соотв. 60000).
HUSHLOGIN_FILE (строка)
KILLCHAR (число)
Значение может начинаться с «0» при указании значения в восьмеричной системе счисления или «0x» при указании значения в шестнадцатеричной системе счисления.
LOG_OK_LOGINS (логический)
LOG_UNKFAIL_ENAB (логический)
Замечание: протоколирование неизвестных имён пользователя может привести к проблемам с безопасностью, если пользователь введёт свой пароль вместо своего имени.
LOGIN_RETRIES (число)
Наиболее вероятно это значение будет переопределено PAM, так как по умолчанию в модуле pam_unix определено 3 попытки. Однако, это значение является резервом, если вы используете модуль аутентификации, который не учитывает PAM_MAXTRIES.
LOGIN_TIMEOUT (число)
MAIL_DIR (строка)
MAIL_FILE (строка)
Переменные MAIL_DIR и MAIL_FILE используются командами useradd, usermod и userdel для создания, перемещения или удаления почты пользователя.
MAX_MEMBERS_PER_GROUP (число)
Значение по умолчанию равно 0, означающее, что ограничения на количество членов в группе нет.
Данная возможность (разделение группы) позволяет ограничить длину строк в файле групп. Это полезно для ограничения длины строк групп NIS в 1024 символа.
Если вам нужно такое ограничение, укажите значение 25.
Замечание: разделение групп поддерживается не всеми инструментами (даже в наборе инструментов Shadow). Вы не должны использовать эту переменную, если вам действительно это ненужно.
MD5_CRYPT_ENAB (логический)
Эта переменная переопределяется переменной ENCRYPT_METHOD или любым параметром командной строки, который задаёт алгоритм шифрования.
Эта переменная устарела; используйте ENCRYPT_METHOD.
Замечание: действует только при генерации паролей к группам. Генерация пользовательских паролей выполняется PAM и там же настраивается. Рекомендуется устанавливать значение этой переменной согласно настройкам PAM.
PASS_MAX_DAYS (число)
PASS_MIN_DAYS (число)
PASS_WARN_AGE (число)
Параметры PASS_MAX_DAYS, PASS_MIN_DAYS и PASS_WARN_AGE используются только при создании учётной записи. Любые изменения этих параметров не влияют на уже существующие учётные записи.
SHA_CRYPT_MIN_ROUNDS (число), SHA_CRYPT_MAX_ROUNDS (число)
Увеличение количества раундов повышает сложность подбора пароля простым перебором. Но заметим, что при этом для аутентификации пользователей требуется большее количество процессорных ресурсов.
Если не задана, то libc выбирает значение количества раундов по умолчанию (5000).
Значения должны лежать в диапазоне 1000-999999999.
Если задано какое-то одно значение — SHA_CRYPT_MIN_ROUNDS или SHA_CRYPT_MAX_ROUNDS — то будет использовано это значение.
Если SHA_CRYPT_MIN_ROUNDS > SHA_CRYPT_MAX_ROUNDS, то используется большее значение.
Замечание: действует только при генерации паролей к группам. Генерация пользовательских паролей выполняется PAM и там же настраивается. Рекомендуется устанавливать значение этой переменной согласно настройкам PAM.
SULOG_FILE (строка)
SU_NAME (строка)
SUB_GID_MIN (number), SUB_GID_MAX (number), SUB_GID_COUNT (number)
The default values for SUB_GID_MIN, SUB_GID_MAX, SUB_GID_COUNT are respectively 100000, 600100000 and 10000.
SUB_UID_MIN (number), SUB_UID_MAX (number), SUB_UID_COUNT (number)
The default values for SUB_UID_MIN, SUB_UID_MAX, SUB_UID_COUNT are respectively 100000, 600100000 and 10000.
SYS_GID_MAX (число), SYS_GID_MIN (число)
Значение по умолчанию для SYS_GID_MIN (соотв.SYS_GID_MAX) равно 101 (соотв. GID_MIN-1).
SYS_UID_MAX (число), SYS_UID_MIN (число)
Значение по умолчанию для SYS_UID_MIN (соотв. SYS_UID_MAX) равно 101 (соотв. UID_MIN-1).
SYSLOG_SG_ENAB (логический)
SYSLOG_SU_ENAB (логический)
TTYGROUP (строка), TTYPERM (строка)
По умолчанию, терминалом владеет первичная группа пользователя, а права устанавливаются в 0600.
В TTYGROUP может задаваться или имя группы, или числовой идентификатор группы.
Если ваша программа write имеет «setgid» со специальной группой, которой принадлежат терминалы, то присвойте TTYGROUP номер этой группы, а TTYPERM значение 0620. В противном случае оставьте TTYGROUP закомментированной и назначьте TTYPERM значение 622 или 600.
TTYTYPE_FILE (строка)
UID_MAX (число), UID_MIN (число)
Значение по умолчанию для UID_MIN (соотв. UID_MAX) равно 1000 (соотв. 60000).
UMASK (число)
Команды useradd и newusers используют эту маску для установки прав доступа к домашнему каталогу, который они создают.
Она также используется командой pam_umask как значение umask по умолчанию.
USERDEL_CMD (строка)
Возвращаемый сценарием код завершения не учитывается.
Вот простой сценарий, который удаляет задания печати, cron и at:
#! /bin/sh # проверить все необходимые параметры if [ $# != 1 ]; then echo "Использование: $0 имя_пользователя" exit 1 fi # удалить задания cron crontab -r -u $1 # удалить задания at # Заметим, что это удалит все задания с указанным UID, # даже если он используется для другой учётной записи. AT_SPOOL_DIR=/var/spool/cron/atjobs find $AT_SPOOL_DIR -name "[^.]*" -type f -user $1 -delete \; # удалить задания печати lprm $1 # всё exit 0
USERGROUPS_ENAB (логический)
ПЕРЕКРЁСТНЫЕ ССЫЛКИ¶
Следующие перекрёстные ссылки отражают связь между программами и их параметрам из набора для работы с теневыми паролями.chfn
chgpasswd
chpasswd
gpasswd
groupadd
groupdel
groupmems
groupmod
grpck
grpconv
grpunconv
login
newgrp / sg
newusers
pwck
pwconv
su
sulogin
useradd
userdel
usermod
ОШИБКИ РЕАЛИЗАЦИИ¶
Большинство функций теневых паролей теперь реализовано через PAM. Поэтому, файл /etc/login.defs больше не используется программами login(1), passwd(1) и su(1). Настройку данных программ следует выполнять в соответствующих файлах настройки PAM.СМОТРИТЕ ТАКЖЕ¶
login(1), passwd(1), su(1), passwd(5), shadow(5), pam(8).07/27/2018 | shadow-utils 4.5 |