Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 14 Sicherheit der Servicekonsole
Verwenden des Authentifizierungs-Plug-Ins „pam_cracklib.so“
Das Standardauthentifizierungs-Plug-In für ESX ist pam_passwdqc.so. Es sorgt in den meisten Umgebungen
für eine strenge Einhaltung der Kennwortqualität. Wenn das Plug-In für Ihre Umgebung nicht geeignet ist,
können Sie stattdessen das Plug-In pam_cracklib.so verwenden.
Das Plug-In pam_cracklib.so überprüft alle Kennwortänderungsversuche, um sicherzustellen, dass das Kennwort
die Qualitätskriterien erfüllt.
• Das neue Kennwort darf kein Palindrom sein. Ein Palindrom ist ein Begriff, der von hinten nach vorn und
von vorn nach hinten gelesen gleich bleibt, wie z. B. Radar oder Anna.
• Das neue Kennwort darf keine Umkehrung des alten Kennwortes sein.
• Das neue Kennwort darf keine Buchstabenverdrehung sein, d. h. eine Version des alten Kennwortes, in
dem ein oder mehrere Buchstaben an den Anfang oder das Ende der Zeichenkette verschoben wurden.
• Das neue Kennwort muss sich vom alten Kennwort durch mehr als nur durch Groß- und Kleinschreibung
unterscheiden.
• Das neue Kennwort muss sich vom alten Kennwort durch mehr als nur durch einige Zeichen unterscheiden.
• Das neue Kennwort darf nicht in der Vergangenheit verwendet worden sein. pam_cracklib.so wendet
dieses Kriterium nur an, wenn Sie eine Regel zur Wiederverwendung von Kennwörtern definiert haben.
In der Standardeinstellung wendet ESX keine Regeln zur Wiederverwendung von Kennwörtern an, sodass
das Plug-In pam_cracklib.so eine Kennwortänderung nicht aus diesem Grund ablehnt. Sie können
jedoch eine solche Regel konfigurieren, damit Benutzer nicht nur einige wenige Kennwörter abwechselnd
verwenden.
Wenn Sie eine Regel zur Wiederverwendung von Kennwörtern konfigurieren, werden die alten Kennwörter
in einer Datei gespeichert, die pam_cracklib.so bei jedem Kennwortänderungsversuch abfragt.
Die Wiederverwendungsregeln bestimmen die Anzahl alter Kennwörter, die ESX speichert. Wenn ein
Benutzer genügend Kennwörter erstellt hat und somit der in der Regel festgelegte Wert erreicht wird,
werden die alten Kennwörter anhand ihres Alters aus der Datei gelöscht.
• Das neue Kennwort muss ausreichend lang und komplex sein, um die Anforderungen des Plug-Ins zu
erfüllen. Konfigurieren Sie diese Anforderungen durch Ändern der Komplexitätsparameter von
pam_cracklib.so mit dem Befehl esxcfg-auth, mit dem Sie die Wiederholungsversuche, die Mindestlänge
des Kennworts und verschiedene Zeichenboni festlegen können.
Um die Kennwortkomplexität mit dem Plug-In pam_cracklib.so festzulegen, können Sie den Bonusparametern
für die folgenden Zeichenklassen Werte zuweisen:
• lc_credit für Kleinbuchstaben
• uc_credit für Großbuchstaben
• d_credit für Zahlen
• oc_credit für Sonderzeichen, z. B. Unterstrich und Bindestrich
Boni erhöhen den Wert für die Komplexität des Kennworts. Ein Benutzerkennwort muss den Mindestwert
erreichen oder überschreiten, der von Ihnen anhand des Parameters minimum_length festgelegt wurde.
HINWEIS Das Plug-In pam_cracklib.so akzeptiert nur Kennwörter mit mindestens sechs Zeichen, unabhängig
davon, ob Bonuspunkte verwendet werden und welcher Wert für den Parameter minimum_length festgelegt
wurde. Dies bedeutet, dass der Benutzer auch dann mindestens sechs Zeichen eingeben muss, wenn 5 als
minimum_length angegeben ist.
VMware, Inc. 223