Product SiteDocumentation Site

8.4. ユーザとグループのデータベース

ユーザのリストは通常 /etc/passwd ファイルに保存されており、/etc/shadow ファイルには暗号化されたパスワードが保存されています。どちらのファイルもテキストファイルで、比較的単純なフォーマットで書かれており、テキストエディタを使って読んだり変更する事が可能です。各ユーザはこれらのファイルにリストされ、各行はコロン (「:」) で区切られた幾つかのフィールドを含んでいます。

NOTE システムファイルの編集

この章で述べるシステムファイルは全てプレーンテキストファイルで、テキストエディタを使って編集することが可能です。システムファイルは中核システムの機能性に対して重要な働きを担っているため、システムファイルを編集する際に特別な注意を払うことはどんな場合でも良い考えです。最初に、システムファイルを開くか変更する前には必ず、そのコピーかバックアップを作ってください。2 番目に、潜在的に 1 人以上が同じファイルに同時にアクセスする可能性のあるサーバおよびマシンでは、ファイルの破壊を防ぐために特別な手順を踏んでください。
この目的を達成するには、/etc/passwd ファイルを編集する際に vipw コマンドや /etc/group ファイルを編集する際に vigr コマンドを使うだけで十分です。これらのコマンドは、テキストエディタ (デフォルトで vi。エディタを設定するには EDITOR 環境変数を使います) を実行する前に対象のファイルをロックします。これらのコマンドに -s オプションを付けることで、対応する shadow ファイルを編集することも可能です。

BACK TO BASICS 暗号化、一方向性関数

crypt は一方向性関数で、ある文字列 (A) を別の文字列 (B) に変換します。変換の際には B から A を得ることが不可能な方法を使います。A を割り出すには全ての可能性をテストするしかありません。テストは各可能性を crypt で変換して得られた結果が B か否かで判断されます。crypt は入力 (文字列 A) として 8 文字目迄を受け付け、13 文字の表示可能な ASCII 文字 (文字列 B) を生成します。

8.4.1. ユーザリスト: /etc/passwd

以下は /etc/passwd ファイルに含まれるフィールドのリストです:
  • ログイン名、例えば rhertzog;
  • パスワード: これは一方向性関数 (crypt) によって暗号化されたパスワードです。DES、MD5、SHA-256、SHA-512 などが使われます。特別な値「x」は暗号化されたパスワードが /etc/shadow に保存されていることを意味しています;
  • uid: 各ユーザを識別する一意的な番号;
  • gid: ユーザの主なグループを示す一意的な番号 (Debian はデフォルトで各ユーザに固有のグループを作成します);
  • GECOS: 通常はユーザの氏名を含むデータフィールド;
  • ログインディレクトリ、ユーザが個人ファイルを保存するために割り当てられたディレクトリ (環境変数 $HOME は通常このディレクトリを指します);
  • ログイン時に実行されるプログラム。通常これはユーザに行動の自由を与えるコマンドインタプリタ (シェル) です。/bin/false (何もせずすぐにコントロールを返すプログラム) が指定された場合、ユーザはログインできません。

BACK TO BASICS Unix グループ

Unix グループには複数のユーザが所属します。ユーザは統合されたパーミッションシステム (同じ権限を持つもの同士が受けられる権利) を使って簡単にファイルを共有できます。また、あるプログラムの使用を特定のグループに制限することも可能です。

8.4.2. 隠された暗号化パスワードファイル: /etc/shadow

/etc/shadow ファイルには以下のフィールドが含まれます:
  • ログイン名;
  • 暗号化されたパスワード;
  • パスワードの有効期限を管理する幾つかのフィールド。

DOCUMENTATION /etc/passwd、/etc/shadow、/etc/group ファイルのフォーマット

これらのファイルのフォーマットは以下の man ページで文書化されています: passwd(5)、shadow(5)、group(5)。

SECURITY /etc/shadow ファイルセキュリティ

一般ユーザが /etc/shadow を読むことは不可能です。この点はその分身である /etc/passwd と異なっています。/etc/passwd に保存されている暗号化パスワードは誰でも読むことが出来ます; クラッカーは、幾つかの「総当り」法の一つを使って、簡単に言えばよく使われる文字の組み合わせを推測することで、パスワードを「破壊」(または明らかに) しようと試みることができます。/etc/shadow を使っているシステムでは、「辞書攻撃」と呼ばれるこの種の攻撃方法はもはや不可能です。

8.4.3. 既存のアカウントやパスワードの変更

以下のコマンドはユーザデータベースの特定のフィールドに保存されている情報を変更します: passwd を使うと、一般ユーザは自分のパスワードを変更できます。つまり /etc/shadow ファイルが更新されます; chfn (CHange Full Name) を使うと GECOS フィールドが変更されます。このコマンドはスーパーユーザ (root) 専用です。chsh (CHange SHell) を使うと、ユーザはログインシェルを変更できます。しかしながら、ここで設定できるのは /etc/shells に書かれたシェルだけです; 一方、管理者はこの制限に縛られません、シェルにどんなプログラムを設定することも可能です。
最後に、chage (CHange AGE) コマンドを使うと、管理者はパスワードの有効期限設定を変更できます (-l user オプションで現在の設定を表示します)。passwd -e user コマンドを使うと、パスワードを強制的に失効させる事が可能です。ユーザは次回のログイン時にパスワード変更を要求されます。

8.4.4. アカウントの失効

ときに「アカウントを失効」する (ユーザを締め出す) 必要が出てくるかもしれません。ユーザの懲戒処分、調査目的、単純に長期に渡って明らかにログインしていない場合などです。失効されたアカウントとは、ユーザがログイン出来ないかマシンへのアクセスを獲得できないことを意味しています。マシン上のアカウントは元のままです。いかなるファイルおよびデータも削除されません; 単にアクセス出来ない状態というだけです。アカウントを失効するには passwd -l user (lock) を使ってください。再度アカウントを有効化するには同様の方法で -u オプション (unlock) を付けてください。

GOING FURTHER NSS とシステムデータベース

ユーザやグループのリストを管理する際に、適切な NSS (Name Service Switch) モジュールを使えば、通常のファイルを使う代わりに、LDAP や db などの他の種類のデータベースを使うことも出来ます。/etc/nsswitch.conf ファイルには、passwd、shadow、group エントリに対して、使われるモジュールがリストされています。LDAP で NSS モジュールを使う方法の具体例は「NSS の設定」 を御覧ください。

8.4.5. グループリスト: /etc/group

グループは /etc/group ファイルにリストされています。このファイルは単純なテキストデータベースで、フォーマットは /etc/passwd ファイルとよく似ており、以下のフィールドを持っています:
  • グループ名;
  • パスワード (任意): これは通常メンバーでないユーザが (newgrp、sg コマンド、傍注参照、を使って) グループに参加する際に使われます;
  • gid: グループを識別する一意的な番号;
  • メンバーのリスト: グループに所属するユーザ名のコンマ区切りリスト。

BACK TO BASICS 複数のグループに所属する

各ユーザは複数のグループに所属する事が可能です; その内の 1 つが「メイングループ」です。ユーザのメイングループはデフォルトで最初のユーザ設定中に作成されます。デフォルトで、ユーザが作成したファイルは本人とそのメイングループのものになります。これは常に望ましいというわけではありません; 例えば、ユーザが自分のメイングループではないグループで共有されたディレクトリ内で仕事をする必要が有る場合です。この場合、ユーザは以下のコマンドのどちらかを使って、メイングループを変更する必要があります: 新しいシェルを開始する newgrp、または与えられた別グループでコマンドを実行する sg です。これらのコマンドを使うと、ユーザは自分が所属していないグループに参加することが可能です。グループがパスワードで保護されていた場合、ユーザはコマンド実行の前に適切なパスワードを与える必要があります。
別の方法として。ディレクトリに setgid ビットを設定することが出来ます。こうすることで、そのディレクトリの下に作成されたファイルのグループを自動的に適切なものにすることが可能です。詳細は傍注SECURITY setgid ディレクトリとスティッキービットを御覧ください。
id コマンドはユーザの個人識別情報 (uid 変数)、現在のメイングループ (gid 変数)、所属するグループのリスト (groups 変数) を表示します。
addgroup と delgroup コマンドはそれぞれ、グループを追加または削除します。groupmod コマンドはグループの情報 (gid または識別情報) を変更します。passwd -g group はグループのパスワードを変更し、一方で passwd -r -g group コマンドはグループを削除します。

TIP getent

getent (get entries) コマンドは、適当なライブラリ関数を使い /etc/nsswitch.conf ファイルで設定された NSS モジュールを呼び出すという標準的な方法で、システムデータベースを確認します。このコマンドは 1 つか 2 つの引数を取ります: データベースの名前と検索キーです。そんなわけで、getent passwd rhertzog コマンドはユーザデータベースから rhertzog ユーザに関する情報を表示します。