login.defs − configuration de la suite des mots de passe cachés « shadow password »

Le fichier /etc/login.defs défini la configuration de la suite shadow password (mots de passe cachés) pour le système. Ce fichier est indispensable. Son absence n’empêchera pas le système de fonctionner, mais aura probablement des conséquences indésirables.

Ce fichier est un fichier texte, dont chaque ligne décrit un paramètre de configuration. Les lignes consistent en un nom et une valeur, séparés par un espace. Les lignes blanches et les lignes de commentaires sont ignorées. Les commentaires commencent par un caractère « # », qui ne doit être précédé que par des espaces.

Les valeurs des paramètres sont de quatre types : chaînes de caractères, booléens, nombres et nombres longs. Une chaîne de caractères est constituée de n’importe quel caractère imprimable. Un booléen est soit « yes » (oui) soit « no » (non). Un paramètre booléen non défini, ou défini avec une valeur autre prendra la valeur « no ». Un nombre (normal ou long) peut être soit décimal, soit octal (en précédant la valeur d’un « 0 »), ou encore hexadécimal (en précédant la valeur de « 0x »). La valeur maximale des paramètres numériques normaux ou longs dépend de la machine.

Les paramètres de configuration suivants sont fournis :

CHFN_AUTH (booléen)

La valeur yes indique que les programmes chfn et chsh nécessiteront une authentification avant de procéder à tout changement, à moins qu’ils ne soient exécutés par le superutilisateur.

CHFN_RESTRICT (chaîne)

Ce paramètre spécifie quelles valeurs du champ gecos du fichier passwd peuvent être modifiées par les utilisateurs ordinaires avec le programme chfn. Il est constitué d’une combinaison de lettre parmi f, r, w et h, correspondant respectivement au nom complet, au numéro de bureau, au numéro de téléphone professionnel et au numéro de téléphone personnel. Pour des raisons de compatibilité avec des versions antérieures, « yes » est équivalent à « rwh » et « no », à « frwh ». S’il n’est pas spécifié, seul le superutilisateur peut réaliser une modification. Pour une configuration encore plus restrictive, il sera préférable de ne pas installer chfn avec le drapeau SUID.

GID_MAX (nombre), GID_MIN (nombre)

Domaine des identifiants de groupe que les commandes useradd et groupadd peuvent utiliser.

MAIL_DIR (chaîne)

Le répertoire d’attente des courriels (« mail spool directory »). Ce paramètre est nécessaire pour manipuler les boîtes aux lettres lorsque le compte d’un utilisateur est modifié ou supprimé. S’il n’est pas spécifié, une valeur par défaut définie à la compilation est utilisée.

PASS_MAX_DAYS (nombre)

Le nombre de jours maximal de validité d’un mot de passe. Après cette durée, une modification du mot de passe est obligatoire. S’il n’est pas précisé, la valeur de −1 est utilisée (ce qui enlève toute restriction).

PASS_MIN_DAYS (nombre)

Le nombre de jours minimal autorisé avant la modification d’un mot de passe. Toute tentative de modification du mot de passe avant cette durée est rejetée. S’il n’est pas précisé, la valeur de −1 est utilisée (ce qui enlève toute restriction).

PASS_WARN_AGE (nombre)

Le nombre de jours durant lesquels l’utilisateur recevra un avertissement avant que son mot de passe arrive en fin de validité. Une valeur négative signifie qu’aucun avertissement n’est donné. S’il n’est pas précisé, aucun avertissement n’est donné.

Les paramètres PASS_MAX_DAYS, PASS_MIN_DAYS et PASS_WARN_AGE ne sont utilisés qu’au moment de la création d’un compte. Les changements n’affecteront pas les comptes existants.

UID_MAX (nombre), UID_MIN (nombre)

Domaine d’identifiant utilisateur que useradd peut utiliser.

UMASK (nombre)

Valeur d’initialisation du masque de permissions. S’il n’est pas précisé, le masque est initialisé à 077.

USERDEL_CMD (chaîne)

Si ce paramètre est défini, cette commande est exécutée lors de la suppression d’un utilisateur. Elle pourra supprimer toutes les tâches périodiques cron ou at, tous les travaux d’impression, etc. de l’utilisateur (qui sera fourni comme premier argument).

Les références croisées ci−dessous montrent quels sont les paramètres utilisés par les différents programmes de la suite shadow password.

chfn

CHFN_AUTH CHFN_RESTRICT

chsh

CHFN_AUTH

groupadd

GID_MAX GID_MIN

newusers

PASS_MAX_DAYS PASS_MIN_DAYS PASS_WARN_AGE UMASK

pwconv

PASS_MAX_DAYS PASS_MIN_DAYS PASS_WARN_AGE

useradd

GID_MAX GID_MIN PASS_MAX_DAYS PASS_MIN_DAYS PASS_WARN_AGE UID_MAX UID_MIN UMASK

userdel

MAIL_DIR USERDEL_CMD

usermod

MAIL_DIR

La plupart des fonctionnalités qui étaient fournies par les mots de passe cachés (« shadow password ») sont désormais gérées par PAM. De ce fait, /etc/login.defs n’est plus utilisé par les programmes tels que login(1), passwd(1) et su(1). Veuillez plutôt vous référer aux fichiers de configuration de PAM correspondant.

login(1), passwd(1), su(1), passwd(5), shadow(5), pam(8).