Линукс с нуля - Версия 11.2

Глава 8. Установка базового системного программного обеспечения

8.25. Shadow-4.12.2

Пакет Shadow содержит программы для безопасной обработки паролей.

Приблизительное время сборки: 0.2 SBU
Требуемое дисковое пространство: 46 MB

8.25.1. Установка пакета Shadow

[Примечание]

Примечание

Если вы хотите принудительно использовать надежные пароли, обратитесь к инструкции https://mirror.linuxfromscratch.ru/blfs/view/11.2/postlfs/cracklib.html для установки CrackLib перед сборкой. Затем добавьте параметр --with-libcrack в приведенную ниже команду configure.

Отключите установку groups и ее справочных страниц, так как Coreutils предоставляет версию лучше. Кроме того, запретите установку страниц руководств, так как они были установлены в Раздел 8.3, «Man-pages-5.13»: 

sed -i 's/groups$(EXEEXT) //' src/Makefile.in
find man -name Makefile.in -exec sed -i 's/groups\.1 / /'   {} \;
find man -name Makefile.in -exec sed -i 's/getspnam\.3 / /' {} \;
find man -name Makefile.in -exec sed -i 's/passwd\.5 / /'   {} \;

Вместо используемого по умолчанию метода crypt, используйте более безопасный метод шифрования паролей SHA-512, который позволяет использовать пароли длиннее 8 символов. Также необходимо изменить устаревшее местоположение /var/spool/mail для почтовых ящиков пользователей, которое Shadow использует по умолчанию, на используемое в настоящее время /var/mail. Избавьтесь от /bin и /bin в PATH, поскольку они являются просто символическими ссылками на их аналог в /usr.

[Примечание]

Примечание

Если /bin и/или /sbin по какой-то причине предпочтительнее оставить в PATH, измените PATH в .bashrc после сборки LFS. 

sed -e 's:#ENCRYPT_METHOD DES:ENCRYPT_METHOD SHA512:' \
    -e 's:/var/spool/mail:/var/mail:'                 \
    -e '/PATH=/{s@/sbin:@@;s@/bin:@@}'                \
    -i etc/login.defs
[Примечание]

Примечание

Если вы выбрали сборку Shadow с поддержкой Cracklib, выполните следующее: 

sed -i 's:DICTPATH.*:DICTPATH\t/lib/cracklib/pw_dict:' etc/login.defs

Подготовьте Shadow к компиляции: 

touch /usr/bin/passwd
./configure --sysconfdir=/etc \
            --disable-static  \
            --with-group-name-max-length=32

Значение параметров configure:

touch /usr/bin/passwd

Файл /usr/bin/passwd должен существовать, потому что его местоположение жестко задано в некоторых программах, и если он не существует, то по умолчанию используется неправильное местоположение.

--with-group-name-max-length=32

Максимальная длина имени пользователя 32 символа. Такую же длину сделайте и для групп.

Скомпилируйте пакет: 

make

С этим пакетом не поставляется набор тестов.

Установите пакет: 

make exec_prefix=/usr install
make -C man install-man

8.25.2. Настройка Shadow

Этот пакет содержит утилиты для добавления, изменения и удаления пользователей и групп; установки и изменения их паролей; и выполнения других задач администрирования. Полное объяснение того, что означает password shadowing, см. в файле doc/HOWTO в дереве распакованных исходных текстов. При использовании Shadow имейте в виду, что программы, которым необходимо проверять пароли (дисплейные менеджеры, FTP-программы, демоны pop3 и т.д.), Должны быть совместимы с Shadow. То есть они должны уметь работать с теневыми паролями.

Чтобы включить поддержку теневых паролей, выполните следующую команду:: 

pwconv

Чтобы включить использование теневых паролей для групп, запустите: 

grpconv

Конфигурация Shadow по умолчанию для утилиты useradd имеет несколько особенностей, требующих пояснений. Во-первых, по умолчанию утилита useradd создает пользователя и группу с тем же именем, что и у пользователя. Номера идентификатора пользователя (UID) и идентификатора группы (GID) начинаются с 1000. Это означает, что если вы не передадите параметры в useradd, каждый пользователь будет членом уникальной группы в системе. Если такое поведение нежелательно, вам нужно передать один из параметров -g или -N в useradd или изменить настройку USERGROUPS_ENAB в /etc/login.defs. См. useradd(8) для получения дополнительной информации.

Во-вторых, чтобы изменить параметры по умолчанию, необходимо создать файл /etc/default/useradd и настроить его в соответствии с вашими потребностями. Создайте его с помощью: 

mkdir -p /etc/default
useradd -D --gid 999

Пояснения к параметрам /etc/default/useradd

GROUP=999

Этот параметр задает начальный номер группы, используемых в файле /etc/group. Значение 999 берется из приведенного выше параметра --gid. Значение можно установить любое. Обратите внимание, что useradd никогда не будет повторно использовать UID или GID. Если номер, указанный в этом параметре, уже используется будет выбран следующий доступный номер. Также обратите внимание, что если в вашей системе нет группы с идентификатором, равным этому номеру, при первом использовании useradd без параметра -g вы получите на терминале следующее сообщение: useradd: unknown GID 999, хотя учетная запись создана правильно. Поэтому мы создали группу users с этим идентификатором в Раздел 7.6, «Создание основных файлов и символических ссылок».

CREATE_MAIL_SPOOL=yes

Этот параметр заставит утилиту useradd создавать файл почтового ящика для вновь создаваемого пользователя. useradd сделает этот файл принадлежащем группе mail с правами доступа 0660. Если вы предпочитаете, чтобы файлы почтовых ящиков не создавались утилитой useradd, выполните следующую команду: 

sed -i '/MAIL/s/yes/no/' /etc/default/useradd

8.25.3. Задание пароля root

Придумайте пароль для root и установите командой: 

passwd root

8.25.4. Содержимое пакета Shadow

Установленные программы: chage, chfn, chgpasswd, chpasswd, chsh, expiry, faillog, getsubids, gpasswd, groupadd, groupdel, groupmems, groupmod, grpck, grpconv, grpunconv, lastlog, login, logoutd, newgidmap, newgrp, newuidmap, newusers, nologin, passwd, pwck, pwconv, pwunconv, sg (ссылка на newgrp), su, useradd, userdel, usermod, vigr (ссылка на vipw), и vipw
Установленные библиотеки: libsubid.so
Созданные каталоги: /etc/default

Краткое описание

chage

Используется для изменения максимального количества дней между обязательными сменами пароля

chfn

Используется для изменения полного имени пользователя и другой информации

chgpasswd

Используется для обновления паролей групп в пакетном режиме.

chpasswd

Используется для обновления паролей пользователей в пакетном режиме.

chsh

Используется для изменения оболочки входа для пользователя.

expiry

Проверяет и применяет текущую политику истечения срока действия пароля

faillog

Используется для проверки журнала неудачных попыток входа в систему, для установки максимального количества неудачных попыток до блокировки учетной записи или для сброса счетчика неудачных попыток.

getsubids

Используется для перечисления подчиненных диапазонов идентификаторов для пользователя

gpasswd

Используется для добавления и удаления пользователей и администраторов в группы.

groupadd

Создает группу с указанным именем

groupdel

Удаляет группу с указанным именем

groupmems

Позволяет пользователю управлять своим собственным списком членов группы без привилегий суперпользователя

groupmod

Используется для изменения имени группы или GID

grpck

Проверяет целостность файлов групп /etc/group и /etc/gshadow

grpconv

Создает или изменяет файл теневых групп, используя для этого обычный файл групп

grpunconv

Обновляет /etc/group из /etc/gshadow, а затем удаляет последний

lastlog

Сообщает о самом последнем входе в систему всех пользователей или данного пользователя

login

Используется системой для того, чтобы пользователь мог войти в систему

logoutd

Это демон, используемый для обеспечения соблюдения ограничений на время входа в систему и порты

newgidmap

Используется для сопоставления gid пространства имен пользователя

newgrp

Используется для изменения GID во время сеанса входа в систему

newuidmap

Используется для сопоставления uid пространства имен пользователя

newusers

Используется для создания или изменения последовательности учетных записей

nologin

Отображает сообщение о том, что учетная запись недоступна; она предназначена для использования в качестве оболочки по умолчанию для учетных записей, которые были отключены

passwd

Используется для изменения пароля для учетной записи пользователя или группы.

pwck

Проверяет целостность файлов паролей /etc/passwd и /etc/shadow

pwconv

Создает или изменяет файл теневых паролей, используя для этого обычный файл паролей

pwunconv

Обновляет /etc/passwd из /etc/shadow а затем удаляет последний

sg

Выполняет указанную команду в случае, если у пользователя идентификатор группы GID совпадает с идентификатором указанной группы

su

Запускает оболочку с заменой идентификаторов пользователя и группы

useradd

Создает нового пользователя с указанным именем, либо изменяет информацию, задаваемую по умолчанию для нового пользователя

userdel

Удаляет учетную запись указанного пользователя

usermod

Используется для изменения имени пользователя, идентификатора пользователя (UID), оболочки, группы, домашнего каталога и т.д.

vigr

Редактирует файлы /etc/group или /etc/gshadow

vipw

Редактирует файлы /etc/passwd или /etc/shadow

libsubid

Библиотека подчиненных процессов для диапазонов идентификаторов пользователей