UCS-Handbuch - Univention

screen screen-Terminal-Tool
chfn chfn-Tool aus Shadow zum Än-
dern von Benutzerdaten
chsh chsh-Tool aus Shadow zum Än-
dern der Login-Shell
kde KDE-Applikationen generell
kscreensaver KDE-Bildschirmschoner
kcheckpass KDE-Passwort-Prüfungen
rsh Remote Shell (rsh) (veraltet)
ssh Secure Shell
su Tool zum Wechseln der
Benutzer-Identität
sudo Tool zum Ausführen von Benut-
zern mit erhöhten Privilegien
passwd passwd-Tool aus Shadow
cron Cron-Daemon
10.4 Authentifizierung / PAM
Für verschiedene Dienste können die berechtigten Benutzer ausserdem über ein PAM-Modul be-
schränkt werden. Wenn die Univention Configuration Registry-Variablen auth/ftpd/accessfile,
auth/gdm/accessfile, auth/sshd/accessfile oder auth/nagios/accessfile auf den Namen
einer Datei gesetzt werden, so wird der Zugriff auf die entsprechenden Dienste auf die Benutzer be-
schränkt, die komma-separiert in den Dateien aufgeführt sind.
10.4.1 Automatisches Sperren von Benutzer nach fehlgeschlagenen Anmeldungen
Standardmässig kann ein Benutzer sein Passwort beliebig oft falsch eingeben. Um Brute Force-Angriffe
auf Passwörter zu erschweren, kann eine automatische Sperre von Benutzerkonten nach einer konfigu-
rierbaren Anzahl von fehlerhaften Anmeldungen aktiviert werden. Die Sperre ist standardmässig lokal pro
Rechnersystem aktiviert. Wenn ein Benutzer also auf einem System zu oft sein Passwort falsch eingege-
ben hat, kann er sich auf einem anderen System weiterhin anmelden. Durch Setzen der Univention Con-
figuration Registry-Variable auth/faillog/lock_global kann die Sperre auch global erfolgen und
wird im LDAP registriert. Die globale Sperrung kann nur auf Domänencontroller Master/Backup-Systemen
eingesetzt werden, da andere Systemrollen nicht über die nötigen Berechtigungen im LDAP-Verzeichnis
verfügen. Auf diesen Systemrollen wird der Benutzer aber lokal gesperrt, bzw. über das Listener-Modul
auch wieder entsperrt.
Achtung:
Diese Einstellung kann auch missbraucht werden, etwa wenn ein Benutzer seinen Bildschirm gesperrt
hat und ein anderer Benutzer in Abwesenheit mehrfach das Passwort falsch eingibt. In diesem Fall müsste
der Benutzer den Administrator aufsuchen und seinen Account entsperren lassen.
Das automatische Sperren von Benutzern nach fehlgeschlagenen Anmeldungen kann durch Setzen der
247