ユーザー認証を行う方式は色々あるのだが、PAMが一括管理しているお陰で
認証方式の変更があっても、個々のアプリケーションの再コンパイルをせずに
PAMの設定だけ変更すれば良いという形をとっている。

大抵のLinuxのディストリビューターでは、/etc/pam.dのディレクトリに
個々の認証が必要なアプリケーションの設定ファイルが入っている。

しかし、PlamoLinux4.0などでは、/etc/pam.conf ファイルの中に
認証に関する全てのアプリケーションの設定ファイルが入っている。

PAMをインストールした時に、どっちにするか選択ができるらしいですが、
ここでは、/etc/pam.dのディレクトリの場合について話をする事にします。

[suga@xxx pam.d]$ ls
authconfig      halt            printconf-gui                redhat-config-services  su
authconfig-gtk  hwbrowser       printconf-tui                redhat-config-time      sudo
bindconf        internet-druid  printtool                    redhat-config-users     system-auth
chfn            kbdrate         reboot                       rexec                   timetool
chsh            locale_config   redhat-config-bind           rhn_register            up2date
cups            login           redhat-config-date           rlogin                  up2date-config
dateconfig      neat            redhat-config-network        rsh                     up2date-nox
gdm             other           redhat-config-network-cmd    screen                  xdm
gdmconfig       passwd          redhat-config-network-druid  serviceconf             xscreensaver
gnome-lokkit    poweroff        redhat-config-printer-gui    smtp                    xserver
gnorpm-auth     ppp             redhat-config-printer-tui    sshd
[suga@xxx pam.d]$

[suga@xxx pam.d]$ more  rlogin  
#%PAM-1.0
# For root login to succeed here with pam_securetty, "rlogin" must be
# listed in /etc/securetty.
auth       required     /lib/security/pam_nologin.so
auth       required     /lib/security/pam_securetty.so
auth       required     /lib/security/pam_env.so
auth       sufficient   /lib/security/pam_rhosts_auth.so
auth       required     /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth
[suga@xxx pam.d]$

各種認証方式の関数が入ったライブラリをPAMが提供する形になっている。

認証が必要なプログラムと、ユーザー情報を管理するファイルとの間に
PAM認証が入っている。

昔のLinuxは、個々のプログラム事に認証の部分を作って
ユーザー情報を管理するファイルを見にいっていたようだが、
個々のプログラム事に、認証プログラムを作成するのは大変なので
共通部品として、PAMが登場したようだ。

今では、ほとんどのLinuxのディストリビューターや、
いくつかの商用UNIXにも使われている。

[suga@xxx security]$ ls
pam_access.so    pam_group.so      pam_mail.so         pam_shells.so       pam_unix_session.so
pam_chroot.so    pam_issue.so      pam_mkhomedir.so    pam_stack.so        pam_userdb.so
pam_console.so   pam_krb5.so       pam_motd.so         pam_stress.so       pam_warn.so
pam_cracklib.so  pam_krb5afs.so    pam_nologin.so      pam_tally.so        pam_wheel.so
pam_deny.so      pam_lastlog.so    pam_permit.so       pam_time.so         pam_xauth.so
pam_env.so       pam_ldap.so       pam_pwdb.so         pam_unix.so
pam_filter       pam_limits.so     pam_rhosts_auth.so  pam_unix_acct.so
pam_filter.so    pam_listfile.so   pam_rootok.so       pam_unix_auth.so
pam_ftp.so       pam_localuser.so  pam_securetty.so    pam_unix_passwd.so

[suga@xxx pam.d]$ more  rlogin  
#%PAM-1.0
# For root login to succeed here with pam_securetty, "rlogin" must be
# listed in /etc/securetty.
auth       required     /lib/security/pam_nologin.so
auth       required     /lib/security/pam_securetty.so
auth       required     /lib/security/pam_env.so
auth       sufficient   /lib/security/pam_rhosts_auth.so
auth       required     /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth
[suga@xxx pam.d]$

オープンソースの世界で活躍されておられる方々で、
コンピューターの知識はもちろんの事、英語力があり、
しかもビジネスなどにも詳しい方がおられる。
一体、それだけの知識などを、どうやって頭に入れるのか
非常に興味深い。

私の場合、金髪美人のおねーさんに恋をすれば、エロオヤジ丸出しで
「 I really love you , so please hold me tight !! 」と口にしながら、
英語の勉強をするかもしれないが、金髪女性には興味がないので
今の所、英語の勉強する気が起こらない (^^;;

#%PAM-1.0
auth       sufficient /lib/security/pam_permit.so
auth       required /lib/security/pam_securetty.so
auth       required /lib/security/pam_stack.so service=system-auth
auth       required /lib/security/pam_nologin.so
account    required /lib/security/pam_stack.so service=system-auth
password   required /lib/security/pam_stack.so service=system-auth
session    required /lib/security/pam_stack.so service=system-auth
session    optional /lib/security/pam_console.so

[suga@aaa suga]$ telnet 192.168.X.Y 
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18-3 on an i686
login: root
Last login: Tue Feb 28 16:37:03 from xxx
You have new mail.
[root@xxx root]#

#%PAM-1.0
auth       required /lib/security/pam_securetty.so
auth       required /lib/security/pam_stack.so service=system-auth
auth       required /lib/security/pam_nologin.so
account    required /lib/security/pam_stack.so service=system-auth
password   required /lib/security/pam_stack.so service=system-auth
session    required /lib/security/pam_stack.so service=system-auth
session    optional /lib/security/pam_console.so

vc/1
vc/2
vc/3
vc/4
vc/5
vc/6
vc/7
vc/8
vc/9
vc/10
vc/11
tty1
tty2
tty3
tty4
tty5
tty6
tty7
tty8
tty9
tty10
tty11

[root@xxx root]# more /etc/nologin
ログインしちゃダメ！
[root@xxx root]

[suga@yyy suga]$ telnet 192.168.X.Y
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18-3 on an i686
login: suga
Password: 
ログインしちゃダメ！
Login incorrect

login: 

笑点では、お馬鹿キャラの役を演じる木久蔵(現・木久扇)さんだが、
計算づくで、あそこまでお馬鹿キャラを演じられるのは、
本当に頭が良い人でないとできない技だけに、凄いと思う。

「屋根なだけに、や〜ね」の定番のギャグをタイミング良く出して
笑いをとるなんて、お笑いを熟知した人でないとできない。
思わず「キクちゃん、最高」と思ったりする。

林家木久扇公式サイト(http://www.toyota-art.jp/)

一度、木久蔵ラーメンがどんな物か食べてみたいと思う今日この頃。

(2008/6/15に追加)

(1)  キクちゃんこと、木久蔵さんは2007年9月21日に木久扇に改名
(2)  木久蔵ラーメンを食べてみました。
     笑点ではネタとしてボロカスに言われていますが、実際に食べてみると
     薄味のラーメンで味は、それなりに美味しい物でした。

#%PAM-1.0
# For root login to succeed here with pam_securetty, "rlogin" must be
# listed in /etc/securetty.
auth       required     /lib/security/pam_nologin.so
auth       required     /lib/security/pam_securetty.so
auth       required     /lib/security/pam_env.so
auth       sufficient   /lib/security/pam_rhosts_auth.so
auth       required     /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth

ピンクの部分を見れば、.rhostファイルの該当する場合なら
認証が無条件で認められる事が想像できる。

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        required      /lib/security/pam_deny.so

account     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/pam_unix.so nullok use_authtok md5 shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        required      /lib/security/pam_deny.so

1番目にあるのは、pam_env.soモジュールを取り込んでいる。
これは認証時に、環境変数を取り込むという意味だ。

2番目にあるのは、UNIXの標準認証を行うという意味だ。
3番目にあるのは、認証拒否という意味だ。

認証を行う時、ライブラリの方法の条件を満たしているか
チェックを行う。満たしていない場合は、認証失敗とする。

だが、認証失敗でも、この時点では終了しない。
その事については、後述しています。

認証を行う時、ライブラリの方法の条件を満たしたら、
認証がOKという意味になる。
この部分で認証がOKになれば、後の部分は全て無視される。

ただし、このフラグが出てくる前の段階の「required」のチェックに
引っかかると、例え、「sufficient」の部分で条件を満たしても

認証は失敗に終わる。

auth        required      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        required      /lib/security/pam_deny.so

1番目にあるのは、認証時に、環境変数を取り込むという意味だ。
認証の合否とは別なので、説明しずらい所・・・ (^^;;

2番目にあるのは、UNIXの標準認証を行うという意味だ。
/etc/passwdファイルと、/etc/shadowファイルを使う認証だ。
認証の条件を満たせば、認証OKで、この後のステップは無視される。

3番目にあるのは、認証拒否のモジュールを取り込む。
どんな場合でも、ここまで来たら、認証拒否という意味だ。
認証の合否とは別なので、説明しずらい部分だ・・・ (^^;;

requireの意味は、主に2種類あった。
1つ目は「を必要とする」と、2つ目は「要求する」という意味だ。

つまり、コントロールフラグの「required」の意味には
「〜の設定を必要とする（〜の設定がしたい）」という意味と、
「〜の条件が必要」という意味になる。

なので、言葉の問題として捉えると、すっきりするのだ

sufficientには「・・・としては十分だ」という意味がある。

つまり設定では「〜の条件が満たせれば十分だ」
という意味を持たせている。

#%PAM-1.0
auth       requisite /lib/security/pam_securetty.so
auth       requisite /lib/security/pam_stack.so service=system-auth
auth       requisite /lib/security/pam_nologin.so
account    required /lib/security/pam_stack.so service=system-auth
password   required /lib/security/pam_stack.so service=system-auth
session    required /lib/security/pam_stack.so service=system-auth
session    optional /lib/security/pam_console.so

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        requisite      /lib/security/pam_env.so
auth        sufficient    /lib/security/pam_unix.so likeauth nullok
auth        requisite     /lib/security/pam_deny.so

account     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/pam_unix.so nullok use_authtok md5 shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

[suga@yyy suga]$ telnet 192.168.X.Y
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18.3 on an i686
login: root
Login incorrect

login: 

パスワードの確認がなかった。
そこで比較のため、「requisite」に置き換える前の場合を
下に載せてみた。

[suga@yyy suga]$ telnet 192.168.X.Y
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18.3 on an i686
login: root
Password: 
Login incorrect

login:

auth       requisite      /lib/security/pam_securetty.so
auth       requisite      /lib/security/pam_env.so
auth       sufficient     /lib/security/pam_unix.so likeauth nullok
auth       requisite      /lib/security/pam_deny.so
auth       requisite      /lib/security/pam_nologin.so

rootからのログインが許可されていないコンソールから、ログインがあったため
赤い部分のモジュールが認証拒否を行い、その時点で認証が終了した。
そのため、UNIXの標準認証であるpam_unix.soが動く事はないので、
パスワード認証の画面が出てこなかったのだ。

「requisite」と「required」と言葉の意味に違いがあるかどうか、
興味があったので調べてみる事にした。

「requisite」には、「必要」という意味がある。
「required」と同じ意味になる。
一応、英英辞典でも調べてみたが、意味合いの違いはなさそうだ。

ここでは、フラグの働きが、ちょっとした役割の違いだけなので、深く考えず、
フラグの名前を日本語で例えると、同じ意味の「必要」と「不可欠」の
2種類の言葉を用意して、ちょっと違う2つの働きに対応させている。
つまり、ちょっと違う働きのフラグの名前に、同じ意味で、
発音の違う言葉を当てはめていると考えれば、わかりやすいと思う。

auth        sufficient    /lib/security/pam_unix.so likeauth nullok

引数は「likeauth」と「nullok」の2つある。

1つ目は、/etc/pam.d/system-authファイルを呼び出す際の
モジュール(pam_stack.so)が使っていた認証等の値を、
pam_unix.soでも使えるようにするための処置だ。

2つ目は、ノーパスワードを認めるという設定だ。

account     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/pam_unix.so nullok use_authtok md5 shadow
password    required      /lib/security/pam_deny.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

password    required      /lib/security/pam_cracklib.so retry=3 type=
password    sufficient    /lib/security/pam_unix.so nullok use_authtok md5 shadow
password    required      /lib/security/pam_deny.so

[root@xxx root]# passwd suga
Changing password for user suga.
New password: mayumi
BAD PASSWORD: it is based on a dictionary word
Retype new password: 
passwd: all authentication tokens updated successfully.
[root@xxx root]# 

パスワードを「miyumi」にしてみた(実際は青の部分は表示されません)
すると、赤い部分の警告が出た。バレやすい悪いパスワードというわけだ。

でも、再入力の時に「mayumi」と打てば、認められてしまう。

しかし、覚えやすいパスワードという事で、私の愛する小野真弓の
「mayumi」が使えないのが残念だ (^^;;

[root@xxx root]# passwd suga
Changing password for user suga.
New password: lovemayumi
Retype new password: mayumilove
Sorry, passwords do not match
New password: lovemayumi
Retype new password: mayumilove
Sorry, passwords do not match
New password: lovemayumi
Retype new password: mayumilove
Sorry, passwords do not match
passwd: Authentication information cannot be recovered
[root@xxx root]# 

パスワードの入力の時は「lovemayumi」で、再入力は「mayumilove」にした。
すると、パスワードが一致しないため、再度、入力を求めて来る。
(実際には、青い部分と赤い部分は表示されません)

設定通り、3回、打ち間違えを起こすと、ピンクの部分の表示が出てきて
パスワード変更が終わってしまう。

ここでは省略しますが、実際に「retry=1」にしたら、1回間違えると
パスワードの変更が終了します。

[root@xxx root]# passwd suga
Changing password for user suga.
New password: lovemayumi
Retype new password: mayumilove
Sorry, passwords do not match
passwd: Authentication information cannot be recovered
[root@xxx root]# 

回間違えただけで、パスワードの変更のプログラムが終わってしまった。

(実際には、青い部分と赤い部分は表示されません)

[root@xxx root]# passwd suga
Changing password for user suga.
New password: lovemayumi
Retype new password: lovemayumi
Enter new UNIX password: lovemayumi
Retype new UNIX password: lovemayumi
passwd: all authentication tokens updated successfully.
[root@xxx root]#

[root@xxx root]# passwd suga
Changing password for user suga.
New password: mayumilove
Retype new password: mayumilove
passwd: all authentication tokens updated successfully.
[root@xxx root]# 

session    required /lib/security/pam_stack.so service=system-auth
session    optional /lib/security/pam_console.so

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

#
#Each line describes a limit for a user in the form:
#
#<domain>        <type>  <item>  <value>
#
#Where:
#<domain> can be:
#        - an user name
#        - a group name, with @group syntax
#        - the wildcard *, for default entry
#
#<type> can have the two values:
#        - "soft" for enforcing the soft limits
#        - "hard" for enforcing hard limits
#
#<item> can be one of the following:
#        - core - limits the core file size (KB)
#        - data - max data size (KB)
#        - fsize - maximum filesize (KB)
#        - memlock - max locked-in-memory address space (KB)
#        - nofile - max number of open files
#        - rss - max resident set size (KB)
#        - stack - max stack size (KB)
#        - cpu - max CPU time (MIN)
#        - nproc - max number of processes
#        - as - address space limit
#        - maxlogins - max number of logins for this user
#        - priority - the priority to run user process with
#        - locks - max number of file locks the user can hold
#
#<domain>      <type>  <item>         <value>
#

<domain> は、制限をかける、ユーザーやグループを記述する。
グループの場合は、グループ名の前に「@」を入れて、
ユーザー名と区別する必要がある。

<type> は、softとhardのどちらかを指定する。
softの場合は、ログイン後、一般ユーザーでも変更が可能。
hardの場合は、root以外は変更が不可能。

<item> は、何に対して制限をかけるかを指定する部分だ。
dataなら、最大データサイズ
nporcなら、最大プロセス数だ。

<value> は、制限した時の上限の値になる。

詳しくは以下のサイトをお薦めします。
http://www-06.ibm.com/jp/developerworks/linux/050513/j_l-seclnx3.html

#
#<domain>      <type>  <item>         <value>
#
suga            soft    nproc             4

[suga@yyy suga]$ telnet 192.168.X.Y
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18.3 on an i686
login: suga
Password: 
Last login: Fri Mar 10 18:08:07 from yyy
You have mail.
[suga@xxx suga]$ ps 
  PID TTY          TIME CMD
 5594 pts/4    00:00:00 bash
 5629 pts/4    00:00:00 ps
[suga@xxx suga]$ sh
sh-2.05a$ sh
sh-2.05a$ sh
sh-2.05a$ sh
sh: fork: リソースが一時的に利用できません
sh-2.05a$

[suga@xxx suga]$ ulimit -a
core file size        (blocks, -c) 0
data seg size         (kbytes, -d) unlimited
file size             (blocks, -f) unlimited
max locked memory     (kbytes, -l) unlimited
max memory size       (kbytes, -m) unlimited
open files                    (-n) 1024
pipe size          (512 bytes, -p) 8
stack size            (kbytes, -s) 8192
cpu time             (seconds, -t) unlimited
max user processes            (-u) 4
virtual memory        (kbytes, -v) unlimited
[suga@xxx suga]$ 

[suga@xxx suga]$ ulimit -u 10
[suga@xxx suga]$ ulimit -a
core file size        (blocks, -c) 0
data seg size         (kbytes, -d) unlimited
file size             (blocks, -f) unlimited
max locked memory     (kbytes, -l) unlimited
max memory size       (kbytes, -m) unlimited
open files                    (-n) 1024
pipe size          (512 bytes, -p) 8
stack size            (kbytes, -s) 8192
cpu time             (seconds, -t) unlimited
max user processes            (-u) 10
virtual memory        (kbytes, -v) unlimited
[suga@xxx suga]$ 

#
#<domain>      <type>  <item>         <value>
#
suga            hard    nproc             4

[suga@xxx suga]$ ulimit -a
core file size        (blocks, -c) 0
data seg size         (kbytes, -d) unlimited
file size             (blocks, -f) unlimited
max locked memory     (kbytes, -l) unlimited
max memory size       (kbytes, -m) unlimited
open files                    (-n) 1024
pipe size          (512 bytes, -p) 8
stack size            (kbytes, -s) 8192
cpu time             (seconds, -t) unlimited
max user processes            (-u) 4
virtual memory        (kbytes, -v) unlimited
[suga@xxx suga]$ ulimit -u 10
bash: ulimit: cannot modify max user processes limit: Operation not permitted
[suga@xxx suga]$

session     required      /lib/security/pam_limits.so
session     required      /lib/security/pam_unix.so

[suga@yyy suga]$ telnet 192.168.X.Y
Trying 192.168.X.Y...
Connected to 192.168.X.Y.
Escape character is '^]'.
Red Hat Linux release 7.3 (Valhalla)
Kernel 2.4.18.3 on an i686
login: suga
Password: 
Last login: Thu Mar  9 13:30:31 from yyy
You have mail.
[suga@xxx suga]$

Mar  9 13:30:45 xxx login(pam_unix)[3795]: session opened for user suga by (uid=0)
Mar  9 13:30:45 xxx  -- suga[3795]: LOGIN ON pts/4 BY suga FROM yyy

[suga@xxx suga]$ exit
Connection closed by foreign host.
[suga@yyy suga]$ 

Mar  9 13:31:32 xxx login(pam_unix)[3795]: session closed for user suga

session    required /lib/security/pam_stack.so service=system-auth
session    optional /lib/security/pam_console.so

# file classes -- these are regular expressions
<console>=tty[0-9][0-9]* vc/[0-9][0-9]* :[0-9]\.[0-9] :[0-9]
<xconsole>=:[0-9]\.[0-9] :[0-9]

# device classes -- these are shell-style globs
<floppy>=/dev/fd[0-1]* \
         /dev/floppy/* /mnt/floppy*
<sound>=/dev/dsp* /dev/audio* /dev/midi* \
        /dev/mixer* /dev/sequencer \
        /dev/sound/* /dev/beep
<cdrom>=/dev/cdrom* /dev/cdroms/* /dev/cdwriter* /mnt/cdrom*

(途中、省略)

# permission definitions
<console>  0660 <floppy>     0660 root.floppy
<console>  0600 <sound>      0600 root
<console>  0600 <cdrom>      0660 root.disk

(この後は、省略)

<console>  0660 <floppy>     0660 root.floppy

青い部分は、そのデバイスのパーミッションの指定。
「0660」なので、ユーザーとグループは読み書き可能という意味だ。
そのデバイスファイルの所有者は、コンソールからログインした
ユーザーになる。一般ユーザーでも所有者になれるのだ。

そして、赤い部分は、ログアウトした後、そのデバイスファイルの
パーミッションと、所有者(この場合はroot)、
グループ名(この場合はfloopy)になるという意味だ。

[suga@xxx dev]$ ls -l | grep fd0 | more
brw-rw----    1 suga     floppy     2,   0  4月 11  2002 fd0
brw-rw----    1 suga     floppy     2,   4  4月 11  2002 fd0CompaQ
brw-rw----    1 suga     floppy     2,  12  4月 11  2002 fd0D360
brw-rw----    1 suga     floppy     2,  16  4月 11  2002 fd0D720

[suga@xxx dev]$ ls -l | grep fd0 | more
brw-rw----    1 root     floppy     2,   0  4月 11  2002 fd0
[suga@xxx dev]$ cd
[suga@xxx suga]$ more filename
FDディスクにデータを送るで！！
[suga@xxx suga]$
[suga@xxx suga]$ cat filename > /dev/fd0
[suga@xxx suga]$ 
[suga@xxx suga]$ cat /dev/fd0 | nkf -e | more
FDディスクにデータを送るで！！

(以下、ディスクのイメージファイルの内容です)

[suga@xxx dev]$ ls -l | grep fd0 | more
brw-rw----    1 root     floppy     2,   0  4月 11  2002 fd0
brw-rw----    1 root     floppy     2,   4  4月 11  2002 fd0CompaQ
brw-rw----    1 root     floppy     2,  12  4月 11  2002 fd0D360
brw-rw----    1 root     floppy     2,  16  4月 11  2002 fd0D720

[suga@xxx suga]$ cat -v /dev/fd0 | more
cat: /dev/fd0: 許可がありません

[suga@xxx console.apps]$ ls
authconfig      hwbrowser       printconf-tui                redhat-config-printer-gui  up2date
authconfig-gtk  internet-druid  printtool                    redhat-config-printer-tui  up2date-config
bindconf        kbdrate         reboot                       redhat-config-services     up2date-nox
dateconfig      kbdrate~        redhat-config-bind           redhat-config-time         xserver
gdmconfig       locale_config   redhat-config-date           redhat-config-users
gnome-lokkit    neat            redhat-config-network        rhn_register
gnorpm-auth     poweroff        redhat-config-network-cmd    serviceconf
halt            printconf-gui   redhat-config-network-druid  timetool

[suga@xxx console.apps]$ more up2date
USER=root
PROGRAM=/usr/sbin/up2date
NOXOPTION=--nox
SESSION=true

[suga@xxx console.apps]$ more reboot
[suga@xxx console.apps]$ ls -l | grep reboot
-rw-r--r--    1 root     root            0  3月 13 18:33 reboot
[suga@xxx console.apps]$

USER=suga
PROGRAM=/sbin/reboot
NOXOPTION=--nox
SESSION=true

#%PAM-1.0
auth       sufficient   /lib/security/pam_rootok.so
auth       required     /lib/security/pam_console.so
#auth       required    /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_permit.so

複数のホストがあるが、ユーザー管理は1ヶ所で行う場合、
上図のようにNISを使う。NISサーバーは認証の時に、PAMを使う。

NISの場合、パスワード管理に、/etc/shadowを使っていないようだ。
そこのため上図では「パスワード保管ファイル」としました。