passwd(4)

パスワードフィールド

シャドウ化されていない標準システムでは、すべてのパスワードフィールドには暗号化された実際のパスワードが入っています。シャドウ化された標準システムでは、すべてのパスワードフィールドには `x' が入っており、暗号化された実際のパスワードは /etc/shadow に入っています。 高信頼性システムでは、すべてのパスワードフィールドには `*' が入っており、暗号化された実際のパスワードは保護されたパスワードデータベースに入っています。

パスワードフィールドに関するこれ以降の記述は、 /etc/passwd のエントリーのパスワードフィールドに暗号化された実際のパスワードが入っている場合にのみ適用されます。 暗号化されたパスワードが /etc/shadow に入っている場合は shadow(4) を参照してください。 また、高信頼性システムにおける暗号化パスワードの詳細は セキュリティ機能 の項を参照してください。

パスワードフィールドがヌルの場合は、パスワードは登録されていないため、ログイン時にパスワードを入力する必要はありません。ヌル以外の場合には、このフィールドは暗号化パスワードとオプションのパスワードエージングサブフィールドで構成されています。

暗号化パスワードは、13 文字からなります。これらの文字は下に説明されているような、「数字」からなる 64 文字の文字セットから選ばれます。 パスワードフィールドに、数字からなる文字セットにない文字 (例えば *) を入れるとログインを禁止できます。

「数字」は、次のような文字で表します。 . で 0 を、 / で 1 を表し、 0 から 9 で 2 から 11 を、 A から Z で 12 から 37 を、 a から z で 38 から 63 をそれぞれ表します。

次の場合には、特定のユーザーに対してパスワードのエージングが有効です。それは、パスワードファイル中のそのユーザーの暗号化パスワードが、カンマに続けて上のアルファベットを使った null でない文字列であるときです。 このような文字列は、初めにスーパーユーザーによって設定されている必要があります。 この文字列はパスワードエージングを満たすのに必要な「期間」を定義します。

UNIX は、1970 年 １ 月 １ 日 (木) を基準日として内部タイムスタンプを記録しています。したがって、パスワードは木曜日の 00:00 GMT を週の始まりと見なします。

期間を表す文字列の最初の文字 M は、パスワードの有効な期間を週で表したときの最大値です。 パスワードの有効期限を過ぎたユーザーがログインしようとすると、新しいパスワードを設定するように求められます。 次の文字 m は、パスワードが変更できるようになるまでに経過しなければならない期間を週で表したときの最小値です。 残りの 2 文字は、パスワードが最後に変更された週を定義します (ヌル文字列はゼロと等価です)。 M と m は、0 から 63 の範囲の値で、上に説明のある 64 の文字セットに相当します。

もし m = M = 0 ならば (つまりその文字列が . または .. の場合には)、ユーザーは次にログインしたときにパスワードの変更を求められ、エージングの「期間」を表す文字列は、パスワードファイル中のそのユーザーのエントリーから消されます。 m M (例えば、その文字列が ./) のとき、スーパーユーザー (ユーザーではありません) のみがパスワードを変更できます。

NIS

passwd ファイルには、第 1 カラムがプラス符号 (+) あるいはマイナス符号 (-) で始まるエントリーを入れられます。 このような行は、ネットワーク情報システムのデータベースにアクセスするのに使います。 プラス符号 (+) で始まる行はネットワーク情報システムからのエントリーの組込みに使われます。 + エントリーには、3 つの形式があります。

+ エントリーにヌル以外のパスワード、ディレクトリ、gecos フィールドまたはシェルフィールドがある場合には、それらによってネットワーク情報システムの内容が置き換えられます。 ユーザー ID 番号とグループ ID 番号のフィールドは、置き換えられません。

passwd ファイルには、マイナス符号 (-) で始まる行も入れることができ、ネットワーク情報システムからのエントリーを無効にします。 - エントリー には、2 つの形式があります。

NIS に関する警告

プラス符号 (+) とマイナス符号 (-) の機能は NIS の機能です。したがって NIS がインストールされていなければ、これらの機能は使えません。 また、これらの機能が動作するのは、 /etc/passwd に限られ、 高信頼性システムに変換したシステムでは動作しません。 システムを高信頼性システムに変換した場合、 暗号化パスワードは、保護されたパスワードデータベースである /tcb/files/auth/*/* にあるものだけがアクセスされます。 データベース中のすべてのユーザーエントリーは、 保護されたパスワードデータベース にもエントリーが必要です。

uid の -2 は NFS によるリモートルートアクセスのために予約されています。 通常この uid に割り当てられるユーザー名は、 nobody です。 uid は符号ありの数値として記憶されるので、ユーザー nobody のために次は定義が <pwd.h> にあります。

シャドウパスワードの例

このシステムがシャドウ化された標準システムに変換されている場合、ユーザー root およびユーザー joe のパスワードフィールドには 'x' が入っており、暗号化された実際のパスワードは /etc/shadow に入っています。シャドウ化されていない標準システムでは、ユーザー root およびユーザー joe のパスワードフィールドには暗号化された実際のパスワードが入ります。

NIS の例

NIS の例では、 root と joe というユーザーに対しては特定のエントリーがあり、ネットワーク情報システムが稼働していなくても構いません。