/etc/shadow

/etc/shadow は、保護されたローカルのパスワードハッシュとパスワード有効期限フィールドを保存します。一般に読み取り可能な /etc/passwd データベースからこれらの値を分離することで、オフラインのパスワード推測攻撃にさらされる危険を減らします。

正確な所有者と権限は異なりますが、通常は root と、限定的に認可されたシステムコンポーネントだけがアクセスできます。アカウント状態を調べるためだけに、shadow の内容を表示、コピー、ログ記録、共有してはいけません。

各フィールドは次のとおりです。

1. ログイン名。
2. パスワードハッシュまたは特別なパスワードマーカー。
3. 最終パスワード変更日。1970-01-01からの日数。一般的なツールでは 0 により、次回のパスワード認証ログイン時の変更を要求します。
4. パスワードの最小使用日数。
5. パスワードの最大使用日数。
6. パスワード期限前の警告日数。
7. パスワード期限後の非活動日数。
8. アカウント失効日。1970-01-01からの日数。
9. 予約フィールド。

空のフィールドや特別な数値には定義された意味があり、フィールドやツールによって異なる場合があります。見た目で値を編集せず、アカウント管理コマンドを使ってください。

これらのマーカーが表すのはローカルのパスワード経路であり、すべての認証方法ではありません。SSH 公開鍵、証明書、トークン、アプリケーション固有の資格情報は、別途制限しない限り利用できる場合があります。第8フィールドのアカウント失効も、パスワードのロックとは別です。

たとえば、パスワードの最大使用日数90日は、アカウント失効日とは異なります。前者は最終パスワード変更日に対して相対的に動き、後者は管理者が変更するまで固定日です。

passwd -S はローカルのパスワード状態を要約し、chage -l は有効期限情報を読みやすく一覧表示します。出力形式と必要な認可はディストリビューションによって異なる場合があります。

変更には passwd、chage、usermod などのアカウントツールを使います。ローカル shadow データベースの手動修復が避けられない場合は、vipw -s でロックし、pwck でアカウントデータベースを検証します。リモートの認証設定を変更する前に復旧用セッションを維持してください。

PAM と NSS は、ローカル shadow ファイル以外の認証・識別情報源を統合できます。そのため、システムアカウントにローカル shadow レコードがなかったり、追加サービスを通じて認証したりする場合があります。

管理された環境でアカウント状態と有効期限ポリシーを練習するには、次のハンズオンラボを利用できます。

1. useradd、usermod、userdel で Linux ユーザーアカウントを管理する - useradd と passwd による新規アカウントの作成と保護から、変更、削除までを練習します。
2. Linux でユーザーアカウントと sudo 権限を設定する - パスワードポリシーの適用とアカウントの保護を含む、ユーザーアカウントと sudo 権限の管理方法を学びます。