システム管理者やプログラマは、システムの特定の箇所や、アプリケーション内の特定の機能に対してアクセスを制限したいと考えることがあります。 PAM の無い状態では、それぞれのアプリケーションは LDAP や Samba, Kerberos など、様々な認証機構に対応しなければならなくなります。このような開発には時間を要するばかりか、開発によってエラーを引き起こす可能性すらあります。このような欠点を防ぐ唯一の方法は、認証の仕組みとアプリケーションを分離するという方法で、集中管理されたモジュール内で、認証の仕組みを代行させるやり方です。このような仕組みであれば、新しい認証方式が開発された場合でも、対応する PAM モジュール を作成すれば、アプリケーション側ですぐに利用できるようになります。

PAM は下記のような考え方から成り立っています:

PAM は下記の 2 種類の方式で設定することができます:

/etc/pam.d/ ディレクトリ内のファイルでは、認証に使用する PAM モジュールを設定します。ファイル内の各行には最大で 4 つの値を指定します:

種類  制御
 モジュールパス  モジュールパラメータ

それぞれの意味は下記のとおりです:

これらに加えて、 /etc/security ディレクトリ内には PAM モジュール向けのグローバルな設定ファイルが用意されています。このディレクトリ内には、モジュールに対する動作設定が書かれています (pam_env.conf や time.conf など) 。 PAM モジュールを使用する各アプリケーションは、 PAM の機能を実際に呼び出したあと、様々な設定ファイルに含まれる情報を処理して、結果を返します。

PAM モジュールの作成やメンテナンスを簡略化する目的で、 auth , account , password , session の各種類に対応する一般的な既定の設定ファイルが用意されています。これらは、各アプリケーション側の PAM 設定から読み込まれるようになっているため、これらの設定ファイルが更新されると、それぞれの PAM 設定ファイルを個別に書き換えることなく、各アプリケーションに適用できるようになっています。

このような PAM のグローバル設定ファイルは、 pam-config ツールを利用して管理します。このツールは設定ファイルに新しいモジュールを自動的に追加したり、既存の設定ファイルを変更したり、既存の設定ファイルからモジュール (もしくはオプション) を削除したりすることができます。このような仕組みにより、 PAM の設定ファイルを手作業で管理する手間が最小化できているばかりか、場合によっては全く不要にもなっています。

注記: 64 ビットアプリケーションと 32 ビットアプリケーションの混在する環境について

64 ビットのオペレーティングシステムをお使いの場合、 32 ビットアプリケーション向けのランタイム環境をそろえることもできます。この場合、 32 ビット版の PAM モジュールを追加でインストールする必要があります。

sshd の PAM 設定ファイルを例として取り上げてみます:

#%PAM-1.0 1
  

auth     requisite      pam_nologin.so                              2
auth     include        common-auth                                 3
account  requisite      pam_nologin.so                              2
account  include        common-account                              3
password include        common-password                             3
session  required       pam_loginuid.so                             4
session  include        common-session                              3
session  optional       pam_lastlog.so   silent noupdate showfailed 5

それぞれの PAM モジュールに対する設定ファイルに個別に追加していく代わりに、他の設定ファイルを取り込むように指定することで、管理者側が既定値を変更するだけで、その設定を取り込み元のモジュールに反映させることができるようになります。従来は PAM に対して変更があったり、新しいアプリケーションをインストールしたりするたびに、全ての設定ファイルを手作業で調整しなければなりませんでした。現在はこのような仕組みになっているため、設定の変更を一箇所で行うことができるようになっていて、各サービスの PAM 設定にもそのまま反映できるようになっています。

最初の include では common-auth という設定ファイルを取り込むように指定していますが、ここでは auth の種類に対して、 3 種類のモジュール (pam_env.so , pam_gnome_keyring.so , pam_unix.so を呼び出しています。詳しくは 例2.2「auth セクションに対する既定の設定 ( common-auth )」) をご覧ください。

auth  required  pam_env.so                   1
auth  optional  pam_gnome_keyring.so         2
auth  required  pam_unix.so  try_first_pass 3

auth 内の全てのモジュールは、 sshd 側でログインが成功したかどうかについて、結果を得る前に処理が行われます。また、制御フラグ required が設定された全てのモジュールは、 sshd が肯定応答を受け取るよりも前に成功していなければなりません。これらのうちのいずれかのモジュールが成功以外の状態になると、残りのモジュールはそのまま処理されるものの、最終的には sshd が否定応答を受け取ることになります。

auth の種類が設定された全てのモジュールが成功すると、その他のステートメントが処理されるようになります。この場合は 例2.3「account セクションに対する既定の設定 ( common-account )」 で示されている内容になります。この common-account には 1 つのモジュール (pam_unix) のみが書かれています。この pam_unix は対象のユーザが存在しているかどうかを返すもので、 sshd が成功を表すメッセージを受け取ると、さらに続くモジュールスタック (この場合は 例2.4「password セクションに対する既定の設定 ( common-password )」 に示されている password) を実行することになります。

account  required  pam_unix.so  try_first_pass

password  requisite  pam_cracklib.so
password  optional   pam_gnome_keyring.so  use_authtok
password  required   pam_unix.so  use_authtok nullok shadow try_first_pass

sshd の PAM 設定では、 common-password のファイル名で指定されている password モジュール向けの既定の設定のみが include で設定されています。ここには、アプリケーションが認証トークンの変更を要求した場合、必ず成功しておかなければならないもの (制御フラグ requisite および required) が書かれています。

パスワードなどの認証トークンを変更する際には、セキュリティチェックを必要とします。セキュリティチェックは pam_cracklib モジュールで行います。 pam_unix モジュールはその後に動作するモジュールで、 pam_cracklib から古いパスワードと新しいパスワードを受け取ります。これにより、パスワードの変更に際しても、ユーザ側で再度認証を行う必要が無いようにしています。また、このような仕組みにより、 pam_cracklib 側のチェックは回避できないようにもなっています。 account や auth の種類でパスワードの有効期限を確認するよう設定する場合は、 password モジュールも使用する必要があります。

session  required  pam_limits.so
session  required  pam_unix.so  try_first_pass
session  optional  pam_umask.so
session  optional  pam_systemd.so
session  optional  pam_gnome_keyring.so auto_start only_if=gdm,gdm-password,lxdm,lightdm
session  optional  pam_env.so

最後のステップとして、 session の種類が指定されたモジュール (common-session ファイル内に書かれています) を呼び出して、対象のユーザの設定に従ってセッションを設定します。 pam_limits モジュールは /etc/security/limits.conf ファイルを読み込むモジュールで、特定のシステム資源の使用に対して制限を設定することができるものです。ここでは再度 pam_unix モジュールを使用しています。 pam_umask モジュールは、ファイル作成時のマスクを設定するためのモジュールです。このモジュールには optional フラグが設定されているため、このモジュールの処理が失敗しても、セッションモジュールスタックの処理には影響を与えないようになっています。なお、 session の種類が設定されたモジュールは、ユーザがログアウトする際にも再度呼び出されます。

PAM モジュールによっては、設定ファイルが別途用意されているものがあります。設定ファイルは /etc/security 内に配置します。本章では、 sshd の例に示されているモジュール (pam_env.conf および limits.conf) について、概要を説明しています。

変数名  [DEFAULT=値]  [OVERRIDE=値]

REMOTEHOST  DEFAULT=localhost          OVERRIDE=@{PAM_RHOST}
DISPLAY     DEFAULT=${REMOTEHOST}:0.0  OVERRIDE=${DISPLAY}

pam-config ツールは、グローバルな PAM 設定ファイル ( /etc/pam.d/common-* ) やいくつかのアプリケーション設定を行う際の支援ツールとなるものです。対応するモジュールの一覧は、 pam-config --list-modules を実行して得ることができます。また、 pam-config コマンドは、お使いの PAM 設定ファイルを管理するためにも使用することができます。 PAM 設定への新しいモジュールの追加や、既存のモジュールの削除、モジュールに対する設定の変更などを行うことができます。グローバルな PAM 設定ファイルを変更する場合は、個別のアプリケーションに対して PAM の設定を手作業で調整する必要はありません。

pam-config の使用例としては、下記のようなものがあります:

pam-config コマンドに対する詳しい使用方法と利用可能なオプションについて、詳しくは pam-config(8) のマニュアルページをお読みください。

PAM の設定ファイルを手作業で作成もしくは管理したい場合は、これらのファイルに対する pam-config を無効化する必要があります。

pam-config --create コマンドを利用して独自の PAM 設定ファイルを手作業で作成する場合、 common-* から common-*-pc ファイルに対するシンボリックリンクが作成されます。 pam-config では common-*-pc の設定ファイルのみを修正しますので、これらのシンボリックリンクを削除することで、 pam-config を効率的に無効化することができます。

警告: 設定内に pam_systemd.so を含める必要性について

独自の PAM 設定を作成する場合は、 pam_systemd.so モジュールをsession optional で指定するようにしてください。 pam_systemd.so を含めるように指定しないと、 systemd のタスク制限で問題が発生するようになります。詳しくは pam_systemd.so のマニュアルページをお読みください。

ローカルログイン時にさらにセキュリティを高める方法として、 pam-u2f フレームワークと YubiKey 等の U2F 機能を持つセキュリティキーを利用した 2 要素認証を設定することができます。

お使いの システムに対して U2F を設定するには、まず システムで鍵とアカウントの紐付けを行う必要があります。紐付け後は鍵を使用するように設定するだけです。手順はそれぞれ後続の章で説明しています。

2.7.1 アカウントと U2F キーの紐付け #Edit source

U2F キーとアカウントの紐付けを行うには、下記の手順を行います:

1. まずは通常通りシステムにログインします。

2. U2F キーを接続します。

3. U2F キーの設定のためのディレクトリを作成します:

   > sudo mkdir -p ~/.config/Yubico

4. pamu2fcfg コマンドを実行して、出力結果を設定として出力します:

   > sudo pamu2fcfg > ~/.config/Yubico/u2f_keys

5. 接続したデバイスに搭載された LED が点灯したら、接続確認のためにデバイスの金属接点に触ってください。

なお、予備の U2F デバイスを用意して設定しておくことをお勧めします。下記のようなコマンドを実行します:

1. 下記を実行します:

   > sudo pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

2. 接続したデバイスに搭載された LED が点灯したら、接続確認のためにデバイスの金属接点に触ってください。

出力されたファイルは、既定の場所から sudo での許可が必要なディレクトリに移動させておくことで、さらにセキュリティを高めることができます。たとえば /etc ディレクトリ以下に移動したい場合は、下記のような手順を実施します:

1. まずは /etc 以下にディレクトリを作成します:

   > sudo mkdir /etc/Yubico

2. あとは作成したファイルを移動するだけです:

   > sudo mv ~/.config/Yubico/u2f_keys /etc/Yubico/u2f_keys

注記: u2f_keys ファイルを非標準の場所に配置する場合について

出力されたファイルを既定のディレクトリ ( $HOME/.config/Yubico/u2f_keys ) 以外に移動させる場合、 2.7.2項 「PAM 設定の更新」 に示された手順に従って、 /etc/pam.d/login ファイル内にそのディレクトリを設定しておく必要があります。

pam-doc パッケージをインストールすると、 /usr/share/doc/packages/pam ディレクトリ内に下記のような追加のドキュメンテーションが提供されるようになります: