|
[バックナンバーのトップへ] [Linux システム管理のトップへ] いますぐ実践! Linux システム管理 / Vol.104 / 読者数:1059名こんばんは、うすだです。
今まで、Bogofilter
というスパムフィルタを噛ませて、スパムメールをそこそこブロックしていたのですが、
サーバやノートの OS を入れ換えているうちに、設定が面倒になってきました。 しかし、みなさんご存じのとおり、 スパムメールの認識率が 100% になることはありえません。 ですから、一部の精鋭が、網の目をかいくぐり手元にやってくる場合もありますし、 大事なメールが、スパムと誤判定されて届かないことも、若干とはいえあります。
前者は消すだけだからいいのですが、後者は見逃せません。 ただ、定期的に確認する習慣を身につけていないため、 うっかり1週間位放置してしまうことが、ときどきあります。
この間の黄金週間では、一度もチェックしませんでした。
結局、スパムに振り回されてるだけのような気がする、今日この頃です。 今週のお題 - wheel グループを活用する前世紀末、Sun のワークステーションが、 飛ぶ鳥を落とす勢いでシェアを拡大していたころ、 当時の UNIX 的な OS は、wheel グループに所属するユーザだけが、 su コマンドで root になれました。(たしか) かたや Linux では、当初から、だれでも、 su コマンド で root になることができます。(おそらく)
しかし、root のパスワードを知ってしまった(あるいは解析してわかった)ひとは、
だれでも root になれてしまうことになります。 セキュリティに関しては、年々対策が進んでいますが、これに関しては、 昔のほうがよいと思うのですが、いかがでしょうか。 というわけで、今週は、wheel グループのひとだけ、 su コマンドで root になれるようにする方法を、ご紹介したいと思います。 前置きが長くなってしまいましたが、方法自体は、簡単です。 su コマンドは PAM を使って認証を行いますので、 /etc/pam.d/su を少々変更するだけで、実現できます。 たとえば、Fedora Core 5 や Vine Linux 4.1 では、/etc/pam.d/su が、 以下のようになっています。(コメントを一部割愛しています。) #%PAM-1.0 auth sufficient pam_rootok.so #auth sufficient pam_wheel.so trust use_uid #auth required pam_wheel.so use_uid auth include system-auth ...後略... これの、4行目のコメントを外すだけです。 #%PAM-1.0 auth sufficient pam_rootok.so #auth sufficient pam_wheel.so trust use_uid auth required pam_wheel.so use_uid auth include system-auth ...後略...
上記以外に、コマンドを実行したりする必要はありません。 su コマンドがこの設定を見て pam_wheel を呼び出し、 wheel グループに所属しているかどうかを確認します。 そして、もし所属していなければ、拒否してくれます。 Ubuntu 6.10 の場合ですと、 /etc/pam.d/su の中身が上記とは異なりますが、 同様のコメント行があります。それをコメントアウトしてください。 openSUSE 10.1 の場合、 /etc/pam.d/su は以下のようになっています。 #%PAM-1.0 auth sufficient pam_rootok.so auth include common-auth account include system-auth ...後略... 同様のコメント行がありませんので、挿入してしまいましょう。 #%PAM-1.0 auth sufficient pam_rootok.so auth required pam_wheel.so use_uid auth include common-auth account include system-auth ...後略...
設定できたら、あとは su コマンドを実行して確認するだけです。 % groups users wheel vboxusers それでもうまくいかない場合は、以下のように debug を指定しますと、 syslog になにかヒントを吐いてくれる…かもしれません。 auth required pam_wheel.so use_uid debug それ以前に、システム管理者が wheel グループに属していない場合は、 wheel グループに入れてあげないといけませんよね。 たとえば、clarice さんを wheel グループに参加させたい場合、 以下のように groupmod コマンドを実行してください。 # groupmod -A clarice wheel そもそも wheel グループが存在しないという場合は、groupadd コマンドを実行して、 wheel グループを作りましょう。 # groupadd -g 10 wheel
Linux では、wheel のグループID が 10 のようですので、10 を指定してみました。
(ちなみに、BSD 系では 0 のようです。)
あるいは、すでに wheel グループに相当するグループがあるなら、 そのグループを代わりに使う、という手もあります。
wheel 以外のグループで実現したい場合は、/etc/pam.d/su の pam_wheel の行に、
「group=グループ名」を追加します。 auth required pam_wheel.so use_uid group=admin さて、せっかくいろいろ設定したのですから、 wheel グループをもう少し活用してもよさそうですよね。 以前にもご紹介しましたが、sudo コマンドを、 wheel グループのひとたちが使えるようにする、というのはいかがでしょうか。 そうするには、visudo コマンドを実行して、以下の1行を追加します。 %wheel ALL=(ALL) ALL … sudo ってなに? という貴兄は、よろしければ以下をご覧ください。
Vol.052 - 管理者の権限を少しだけ与える 以上、wheel グループを有効に活用する方法を、ご紹介しました。 ユーザのみなさんの利便性も考慮しつつ、セキュアな設定をしていただけますと、 幸いです。 ちなみに、一番最初に出てきた、/etc/pam.d/su の3行目の、 #auth sufficient pam_wheel.so trust use_uid
これのコメントを外しますと、wheel グループのひとは、
パスワードなしで root になれます。 宿題の答え先週の宿題は、 テンプレート・ファイルが更新されたら、自動的に設定ファイルを更新 するようにしてみましょう。 でした。 テンプレート・ファイルと設定ファイルのタイムスタンプを比較し、 更新されていたら、変換すればよいと思います。 タイムスタンプを比較し、更新されたときだけ処理を行うといえば、 make でしたよね。
またまた、前回の postfix の main.cf を例にしてしまいますと、
以下のような Makefile を用意すればいいと思います。
main.cf: main.cf.tmpl
sed "s/@MYHOSTNAME@/`hostname -s`/" $< > $@.TMP && \
mv -f $@.TMP $@
そして、make main.cf を実行すれば、自動更新されます。
# make -C /etc/postfix main.cf
sed "s/@MYHOSTNAME@/マシン名/" main.cf.tmpl > main.cf.TMP && \
mv -f main.cf.TMP main.cf
ちなみに、$@ は main.cf に、$< は main.cf.tmpl に置き換わります。
一旦、main.cf.TMP というファイルに記録してから、
mv コマンドで本物に上書きしています。わざわざ、
こんな回りくどいことをしているのは、ディスク容量の不足などで、
main.cf が失われないようにするためです。
あとは、cron で定期的に make コマンドを実行すればいいですね。 */5 * * * * root make -C /etc/postfix > /dev/null 分のところが */5 となっていますが、これは5分おきに実行する、という意味です。 10分おきがいいなら、*/10 とかにしてください。 … make ってなんじゃい? という貴兄は、以下をご覧くださいませ。
Vol.099 - make を使って処理を簡略化する 今週の宿題今週の宿題は、 wheel グループに所属するすべてのユーザを、列挙してください。 です。
今回は簡単だと思いますので、とくにヒントはありません。 あとがき本業で、いくつかの企業が集まって、とある製品の開発をしているのですが、 いろいろと問題があって、スケジュールどおりに進んでいません。 今回、実体験して思ったことは、 こういったプロジェクトがうまく進んでいくかどうかは、 全体をまとめて引っ張っていくリーダーがいるかどうかではないか、ということです。
というのも、このお仕事の関係で、なにか問題が発生したときに、
メールなどで状況を投げているのですが、
プロジェクトリーダーさんからは何も応答がないからです。
いや、こちらは末端に位置する、しがないプログラマーですので、
ただ声が届かないだけなのかもしれません。 …とはいえ、今までのわたしは、それとは逆のこと、 なるべく問題の遠くにいようとする行動をとっていたように思います。(反省…)
これからは、そういったことに気をつけながら、
今のお仕事がデスマーチに変貌しないことを祈りつつ、
開発にはげみたいと思います。
今週も、ここまで読んでいただき、ありがとうございました。
「いますぐ実践! Linux システム管理」の解除は、以下からできます。
バックナンバーは、こちらにほぼ全部そろっています。
「栗日記」−無料レポートでも作ろうかなぁ。(なんのだ!?) |
▼ トップ ▼ プロフィール ▼ リンク
▼ 作ってみました
▼ せんでん 
▼ 最近読んだ本
[X]
「賢者の書」 喜多川 泰「セキュリティウォリア」 Cyrus Peikari, Anton Chuvakin 「CORE MEMORY」 John Alderman, Mark Richards 「新訳 星の王子さま」 サン=テグジュベリ / 倉橋 由美子 「センネン画報」 今日 マチ子 「粟津潔 デザインする言葉」 粟津潔 「Binary Hacks」 高林 哲,鵜飼 文敏,佐藤 祐介,浜地 慎一郎,首藤 一幸 「Make: Volume01」 オライリー・ジャパン 「セーラが町にやってきた」 清野 由実 「手紙屋」 喜多川 泰 「Linuxカーネル2.6解読室」 高橋 浩和,小田 逸郎,山幡 為佐久 「人蕩し術」 無能 唱元 「子育てハッピーアドバイス2」 明橋 大二, 太田 知子 「ラッセル幸福論」 B. Russell 「それでも人生にイエスと言う」 Viktor Emil Frankl 「子育てハッピーアドバイス」 明橋 大二, 太田 知子 「考具」 加藤 昌治 「北欧デザイン<3>」 渡部 千春 「北斎の謎を解く」 諏訪 春雄 「体感美術館」 平野 暁臣 「チベット永遠の書」 Theodore Illion 「リナックスの革命」 Pekka Himanen 「人月の神話」 Frederick Phillips,Jr. Brooks 「ヤバい経済学」 Steven D. Levitt, Stephen J. Dubner 「小布施ッション<2001-2002>」 セーラ・マリ カミングス 「アンパンマン伝説」 やなせ たかし 「夢をかなえるゾウ」 水野 敬也 「ゲーム開発者のためのAI入門」 David M. Bourg, Glenn Seemann 「北欧デザイン<2>」 渡部 千春 「北欧デザイン<1>」 渡部 千春 「ヒューマン2.0」 渡辺 千賀 「中国・ロシア同盟がアメリカを滅ぼす日」 北野 幸伯 「超ロング・セラー 絶滅寸前商品」 湯浅 豊彦 「The BUG(ザ・バグ)」 すずき ひろのぶ,かとう みつあき 「デザインのデザイン」 原 研哉 「マキアヴェッリ語録」 塩野 七生 「ハンバーガーを待つ3分間の値段」 斎藤 由多加 「星の旅人-スペイン「奥の細道」-」 黛 まどか 「食品の裏側」 安部 司 「On Lisp」 Paul Graham 「ぼくが医者をやめた理由 つづき」 永井 明 「あなたならどうする?」 Jack Nikolaschka 「セキュアプログラミング−失敗から学ぶ設計・実装・運用・管理」 Mark G. Graff, Kenneth R. van Wyk 「「左利き」は天才？−利き手をめぐる脳と進化の謎」 David Wolman 「自分の中に毒を持て」 岡本 太郎 「アトピーの薬を減らす本」 田中 貴子 「岡本太郎「明日の神話」修復960日間の記録」 吉村 絵美留 「X51.ORG THE ODYSSEY」 佐藤 健寿 「アレルギーっ子の暮らし応援BOOK」 佐藤 のり子 「沖縄文化論」 岡本 太郎 「「伝説の社員」になれ!」 土井 英司 「コンピュータの構成と設計(上)」 Patterson & Hennessy 「カラスのジョンソン」 明川 哲也 「ドリルを売るには穴を売れ」 佐藤 義典 「頭がよくなる照明術」 結城 未来 「クロフォードのインタラクティブデザイン論」 Chris Crawford 「いじめの根を絶ち子どもを守るガイド」 Barbara Coloroso 「非常識のすすめ―逆発想の仏教論」 ひろさちや 「Linuxアドバンストネットワーク構築ガイド - HAサーバ構築編」 デージーネット 「イノベーションの達人!」 Tom Kelly, Jonathan Littman 「クリエーター50人が語る創造の原点」 小原 啓渡 「欺術 - 史上最強のハッカーが明かす禁断の技法」 Kevin Mitnick 「楽しい気象観察図鑑」 武田 康男 「入門 Ajax」 高橋 登史朗 「リリカルな自画像」 岡本 太郎 「やぎの目ゴールデンベスト」 林 雄司 「初めてのPython 第2版」 Mark Lutz,David Ascher 「鼻兎」 小林 賢太郎 「なぜ、これがアートなの?」 Amelia Arenas 「芸術起業論」 村上 隆 「まほう色の瞳」 Enrique Barrios 「ラーメンズつくるひとデコ」 ラーメンズ 「R25 つきぬけた男たち」 R25編集部 「美の呪力」 岡本 太郎 「しろのあお」 上大岡 トメ 「ザ・ゴール」 Eliyahu M. Goldratt 「ハッカーと画家」 Paul Graham 「岡本太郎に乾杯」 岡本 敏子 「Fedore Core Expert」 Software Design 「誰も知らない男」 ブルース・バートン 「子どもが育つ魔法の言葉」 ドロシー・ロー・ノルト 「国家の罠」 佐藤 優 「夜回り先生」 水谷 修 「やぎの目絵日記」 林 雄司 「7つの習慣」 スティーブン・R. コヴィー 「まろ、ん?−大掴源氏物語」 小泉 吉宏 「ザ・サーチ グーグルが世界を変えた」 ジョン・バッテル 「ポストモダン・マーケティング」 スティーブン ブラウン 「機動戦士ガンダムさん」 大和田 秀樹 「小エロのひみつ - Webやぎの目研究発表」 林 雄司 「これ、誰がデザインしたの?」 渡部千春 「60分間・企業ダントツ化プロジェクト」 神田 昌典 「ガルシアへの手紙」 エルバート ハバード 「人生は素晴らしいものだ」 オグ・マンディーノ 「ザ・マインドマップ」 トニー・ブザン,バリー・ブザン 「ワインバーグのシステム思考法」 G.M.ワインバーグ 「渋谷ではたらく社長の告白」 藤田 晋 「渋井真帆の日経新聞読みこなし隊」 渋井 真帆 「コラム息切れ」 小野 法師丸 「早朝起業」 松山 真之介 「変な人が書いた驚くほどツイてる話」 斎藤 一人 「35歳から仕事で大切にしたいこと」 村井 勉 「金融広告を読め」 吉本 佳生 「発想する会社!」 トム・ケリー,ジョナサン・リットマン 「エハイク」 吉田 戦車 「人生の旋律」 神田 昌典 「仕事の思想」 田坂 広志 「CPUの創りかた」 渡波 郁 「非常識な成功法則」 神田 昌典 …これ以前は記録してません…
▼ 気に入ってる本
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
