Ubuntu Manpage: login.defs - configurazione del pacchetto password shadow

Provided by: login_4.8.1-1ubuntu5.20.04.5_amd64

NOME

       login.defs - configurazione del pacchetto password shadow

DESCRIZIONE

The /etc/login.defs file defines the site-specific configuration for the shadow password suite. This file
is required. Absence of this file will not prevent system operation, but will probably result in
undesirable operation.

Questo file è un file di testo leggibile nel quale ogni riga descrive un parametro di configurazione. Le
righe consistono di una coppia nome valore separati da spazi. Le righe vuote e di commento sono ignorate.
I commenti iniziano con con il simbolo "#" che deve essere il primo carattere diverso da spazio della
riga.

Parameter values may be of four types: strings, booleans, numbers, and long numbers. A string is
comprised of any printable characters. A boolean should be either the value yes or no. An undefined
boolean parameter or one with a value other than these will be given a no value. Numbers (both regular
and long) may be either decimal values, octal values (precede the value with 0) or hexadecimal values
(precede the value with 0x). The maximum value of the regular and long numeric parameters is
machine-dependent.

Sono forniti i seguenti parametri di configurazione:

CHFN_RESTRICT (string)
This parameter specifies which values in the gecos field of the /etc/passwd file may be changed by
regular users using the chfn program. It can be any combination of letters f, r, w, h, for Full name,
Room number, Work phone, and Home phone, respectively. For backward compatibility, yes is equivalent
to rwh and no is equivalent to frwh. If not specified, only the superuser can make any changes. The
most restrictive setting is better achieved by not installing chfn SUID.

CONSOLE_GROUPS (string)
List of groups to add to the user's supplementary groups set when logging in on the console (as
determined by the CONSOLE setting). Default is none.

Use with caution - it is possible for users to gain permanent access to these groups, even when not
logged in on the console.

CREATE_HOME (boolean)
Indica se per i nuovi utenti va creata la directory home.

Questa impostazione non viene applicata agli utenti di sistema e può essere modificata sulla riga di
comando.

DEFAULT_HOME (boolean)
Indica se permettere l'accesso al sistema anche se non si può accedere alla directory home. Il valore
predefinito è no.

If set to yes, the user will login in the root (/) directory if it is not possible to cd to her home
directory.

ENCRYPT_METHOD (string)
Definisce l'algoritmo di cifratura predefinito per le password (se non ne viene specificato uno a
riga di comando).

It can take one of these values: DES (default), MD5, SHA256, SHA512.

Note: this parameter overrides the MD5_CRYPT_ENAB variable.

Nota: questo ha effetto solo sulla generazione delle password di gruppo. La generazione delle
password utente avviene tramite PAM ed è soggetta alla configurazione PAM. È raccomandato di
impostare questa variabile in maniera consistente con la configurazione PAM.

ENV_HZ (string)
If set, it will be used to define the HZ environment variable when a user login. The value must be
preceded by HZ=. A common value on Linux is HZ=100.

The HZ environment variable is only set when the user (the superuser) logs in with sulogin.

ENV_PATH (string)
If set, it will be used to define the PATH environment variable when a regular user login. The value
is a colon separated list of paths (for example /bin:/usr/bin) and can be preceded by PATH=. The
default value is PATH=/bin:/usr/bin.

ENV_SUPATH (string)
If set, it will be used to define the PATH environment variable when the superuser login. The value
is a colon separated list of paths (for example /sbin:/bin:/usr/sbin:/usr/bin) and can be preceded by
PATH=. The default value is PATH=/sbin:/bin:/usr/sbin:/usr/bin.

ERASECHAR (number)
Terminal ERASE character (010 = backspace, 0177 = DEL).

Il valore deve avere il prefisso «0» se in ottale, o «0x» se esadecimale.

FAIL_DELAY (number)
Numero di secondi prima che venga concesso un ulteriore tentativo dopo un accesso fallito.

FAKE_SHELL (string)
If set, login will execute this shell instead of the users' shell specified in /etc/passwd.

GID_MAX (number), GID_MIN (number)
Range of group IDs used for the creation of regular groups by useradd, groupadd, or newusers.

The default value for GID_MIN (resp. GID_MAX) is 1000 (resp. 60000).

HOME_MODE (number)
The mode for new home directories. If not specified, the UMASK is used to create the mode.

useradd and newusers use this to set the mode of the home directory they create.

HUSHLOGIN_FILE (string)
Se definito, questo file inibisce quanto stampato durante l'accesso. Se viene specificato un percorso
completo, la modalità silenziosa (hushed) viene attivata se in quel file è presente il nome
dell'utente o della shell dell'utente. Se il percorso non è completo, allora la modalità silenziosa
viene attivata se quel file è presente nella directory home dell'utente.

KILLCHAR (number)
Terminal KILL character (025 = CTRL/U).

Il valore deve avere il prefisso «0» se in ottale, o «0x» se esadecimale.

LASTLOG_UID_MAX (number)
Highest user ID number for which the lastlog entries should be updated. As higher user IDs are
usually tracked by remote user identity and authentication services there is no need to create a huge
sparse lastlog file for them.

No LASTLOG_UID_MAX option present in the configuration means that there is no user ID limit for
writing lastlog entries.

LOG_OK_LOGINS (boolean)
Abilita la tracciatura degli accessi avvenuti con successo.

LOG_UNKFAIL_ENAB (boolean)
Abilita l'inclusione dei nomi utente sconosciuti quando si registrano gli accessi falliti.

Nota: memorizzare i nomi sconosciuti potrebbe diventare un problema legato alla sicurezza se un
utente inserisce la propria password al posto del nome utente.

LOGIN_RETRIES (number)
Massimo numero di tentativi di accesso per password errata.

Questa impostazione verrà probabilmente superata da quella di PAM poiché il modulo predefinito
pam_unix ha una sua gestione con 3 tentativi. In ogni caso questa è una impostazione di sicurezza nel
caso in cui si utilizzi un modulo PAM che ignora PAM_MAXTRIES.

LOGIN_TIMEOUT (number)
Numero massimo di secondi per l'accesso.

MAIL_DIR (string)
La directory di spool per la posta. Questa è necessaria per manipolare la casella di posta quando il
corrispondente account utente viene modificato o cancellato. Se non è specificata viene utilizzato un
valore impostato al momento della compilazione.

MAIL_FILE (string)
Imposta la posizione delle caselle di posta degli utenti relative alla loro directory home.

The MAIL_DIR and MAIL_FILE variables are used by useradd, usermod, and userdel to create, move, or delete
the user's mail spool.

MAX_MEMBERS_PER_GROUP (number)
Maximum members per group entry. When the maximum is reached, a new group entry (line) is started in
/etc/group (with the same name, same password, and same GID).

Il valore predefinito è 0, che non pone nessun limite al numero di membri per gruppo.

Questa opzione (dividi gruppo) permette di limitare la lunghezza delle righe nel file «group». Questo
è utile per essere certi che le righe per gruppi NIS non eccedano i 1024 caratteri.

Se si deve impostare questo limite, si può usare 25.

Nota: la divisione dei gruppi potrebbe non essere supportata da ogni strumento (anche all'interno del
pacchetto Shadow). Non si dovrebbe utilizzare questa variabile a meno di esserci forzati.

MD5_CRYPT_ENAB (boolean)
Indicate if passwords must be encrypted using the MD5-based algorithm. If set to yes, new passwords
will be encrypted using the MD5-based algorithm compatible with the one used by recent releases of
FreeBSD. It supports passwords of unlimited length and longer salt strings. Set to no if you need to
copy encrypted passwords to other systems which don't understand the new algorithm. Default is no.

This variable is superseded by the ENCRYPT_METHOD variable or by any command line option used to
configure the encryption algorithm.

This variable is deprecated. You should use ENCRYPT_METHOD.

PASS_MAX_DAYS (number)
Il numero massimo di giorni che una password può essere utilizzata. Se la password è più vecchia
verrà imposto il suo cambiamento. Se non specificato viene assunto -1 (che disabilita questo
controllo).

PASS_MIN_DAYS (number)
Il numero minimo di giorni tra due cambiamenti di password. Ogni tentativo di cambiare la password
prima di questo periodo verrà rifiutato. Se non specificato viene assunto -1 (che disabilita questo
controllo).

PASS_WARN_AGE (number)
Il numero di giorni per i quali un utente va avvisato che la sua password sta per scadere. Se zero
l'utente viene avvisato solo alla scadenza. Un valore negativo indica che non si deve avvisare mai.
Se non specificato allora non c'è nessun avviso.

PASS_MAX_DAYS, PASS_MIN_DAYS and PASS_WARN_AGE are only used at the time of account creation. Any changes
to these settings won't affect existing accounts.

SHA_CRYPT_MIN_ROUNDS (number), SHA_CRYPT_MAX_ROUNDS (number)
When ENCRYPT_METHOD is set to SHA256 or SHA512, this defines the number of SHA rounds used by the
encryption algorithm by default (when the number of rounds is not specified on the command line).

Con molti cicli è più difficile trovare una password usando la forza bruta. Ma va notato che è
richiesta maggiore potenza di calcolo per autenticare gli utenti.

Se non specificato sarà la libc a scegliere il numero di cicli (5000).

Il valore deve essere compreso tra 1.000 e 999.999.999.

If only one of the SHA_CRYPT_MIN_ROUNDS or SHA_CRYPT_MAX_ROUNDS values is set, then this value will
be used.

If SHA_CRYPT_MIN_ROUNDS > SHA_CRYPT_MAX_ROUNDS, the highest value will be used.

SULOG_FILE (string)
Se definito, tutta l'attività di «su» viene tracciata in questo file.

SU_NAME (string)
Se definito è il nome del comando da mostrare quando si esegue «su -». Ad esempio, se lo di definisce
come «su» allora «ps» mostrerà che il comando è «-su». Se non definito, «ps» mostrerà il nome della
shell invocata, come «-sh».

SUB_GID_MIN (number), SUB_GID_MAX (number), SUB_GID_COUNT (number)
If /etc/subuid exists, the commands useradd and newusers (unless the user already have subordinate
group IDs) allocate SUB_GID_COUNT unused group IDs from the range SUB_GID_MIN to SUB_GID_MAX for each
new user.

The default values for SUB_GID_MIN, SUB_GID_MAX, SUB_GID_COUNT are respectively 100000, 600100000 and
65536.

SUB_UID_MIN (number), SUB_UID_MAX (number), SUB_UID_COUNT (number)
If /etc/subuid exists, the commands useradd and newusers (unless the user already have subordinate
user IDs) allocate SUB_UID_COUNT unused user IDs from the range SUB_UID_MIN to SUB_UID_MAX for each
new user.

The default values for SUB_UID_MIN, SUB_UID_MAX, SUB_UID_COUNT are respectively 100000, 600100000 and
65536.

SYS_GID_MAX (number), SYS_GID_MIN (number)
Range of group IDs used for the creation of system groups by useradd, groupadd, or newusers.

The default value for SYS_GID_MIN (resp. SYS_GID_MAX) is 101 (resp. GID_MIN-1).

SYS_UID_MAX (number), SYS_UID_MIN (number)
Range of user IDs used for the creation of system users by useradd or newusers.

The default value for SYS_UID_MIN (resp. SYS_UID_MAX) is 101 (resp. UID_MIN-1).

SYSLOG_SG_ENAB (boolean)
Enable "syslog" logging of sg activity.

SYSLOG_SU_ENAB (boolean)
Enable "syslog" logging of su activity - in addition to sulog file logging.

TTYGROUP (string), TTYPERM (string)
The terminal permissions: the login tty will be owned by the TTYGROUP group, and the permissions will
be set to TTYPERM.

By default, the ownership of the terminal is set to the user's primary group and the permissions are
set to 0600.

TTYGROUP can be either the name of a group or a numeric group identifier.

If you have a write program which is "setgid" to a special group which owns the terminals, define
TTYGROUP to the group number and TTYPERM to 0620. Otherwise leave TTYGROUP commented out and assign
TTYPERM to either 622 or 600.

TTYTYPE_FILE (string)
Se definito si tratta di un file che mappa le linee tty nella variabile d'ambiente TERM. Ogni riga
del file è in un formato tipo «vt100 tty01».

UID_MAX (number), UID_MIN (number)
Range of user IDs used for the creation of regular users by useradd or newusers.

The default value for UID_MIN (resp. UID_MAX) is 1000 (resp. 60000).

UMASK (number)
La maschera di permessi alla creazione dei file è inizializzata con questo valore. Se non specificato
la maschera viene impostata a 022.

useradd and newusers use this mask to set the mode of the home directory they create if HOME_MODE is
not set.

It is also used by pam_umask as the default umask value.

USERDEL_CMD (string)
Se definito, questo comando viene eseguito quando si cancella un utente. Dovrebbe rimuovere tutti i
compiti di stampa/cron/at di proprietà dell'utente da cancellare (passato come primo argomento).

Il codice d'uscita restituito dallo script non è preso in considerazione.

Here is an example script, which removes the user's cron, at and print jobs:

#! /bin/sh

# Check for the required argument.
if [ $# != 1 ]; then
echo "Usage: $0 username"
exit 1
fi

# Remove cron jobs.
crontab -r -u $1

# Remove at jobs.
# Note that it will remove any jobs owned by the same UID,
# even if it was shared by a different username.
AT_SPOOL_DIR=/var/spool/cron/atjobs
find $AT_SPOOL_DIR -name "[^.]*" -type f -user $1 -delete \;

# Remove print jobs.
lprm $1

# All done.
exit 0

USERGROUPS_ENAB (boolean)
If set to yes, userdel will remove the user's group if it contains no more members, and useradd will
create by default a group with the name of the user.

RIFERIMENTI INCROCIATI

       I seguenti riferimenti incrociati mostrano quali programmi del pacchetto shadow password utilizzano quali
       parametri.

       chfn
           CHFN_RESTRICT

       chgpasswd
           ENCRYPT_METHOD MAX_MEMBERS_PER_GROUP MD5_CRYPT_ENAB SHA_CRYPT_MAX_ROUNDS SHA_CRYPT_MIN_ROUNDS

       chpasswd
           SHA_CRYPT_MAX_ROUNDS SHA_CRYPT_MIN_ROUNDS

       gpasswd
           ENCRYPT_METHOD MAX_MEMBERS_PER_GROUP MD5_CRYPT_ENAB SHA_CRYPT_MAX_ROUNDS SHA_CRYPT_MIN_ROUNDS

       groupadd
           GID_MAX GID_MIN MAX_MEMBERS_PER_GROUP SYS_GID_MAX SYS_GID_MIN

       groupdel
           MAX_MEMBERS_PER_GROUP

       groupmems
           MAX_MEMBERS_PER_GROUP

       groupmod
           MAX_MEMBERS_PER_GROUP

       grpck
           MAX_MEMBERS_PER_GROUP

       grpconv
           MAX_MEMBERS_PER_GROUP

       grpunconv
           MAX_MEMBERS_PER_GROUP

       lastlog
           LASTLOG_UID_MAX

       login
           CONSOLE_GROUPS DEFAULT_HOME ERASECHAR FAIL_DELAY FAKE_SHELL HUSHLOGIN_FILE KILLCHAR LOGIN_RETRIES
           LOGIN_TIMEOUT LOG_OK_LOGINS LOG_UNKFAIL_ENAB TTYGROUP TTYPERM TTYTYPE_FILE USERGROUPS_ENAB

       newgrp / sg
           SYSLOG_SG_ENAB

       newusers
           ENCRYPT_METHOD GID_MAX GID_MIN MAX_MEMBERS_PER_GROUP MD5_CRYPT_ENAB HOME_MODE PASS_MAX_DAYS
           PASS_MIN_DAYS PASS_WARN_AGE SHA_CRYPT_MAX_ROUNDS SHA_CRYPT_MIN_ROUNDS SUB_GID_COUNT SUB_GID_MAX
           SUB_GID_MIN SUB_UID_COUNT SUB_UID_MAX SUB_UID_MIN SYS_GID_MAX SYS_GID_MIN SYS_UID_MAX SYS_UID_MIN
           UID_MAX UID_MIN UMASK

       pwck
           PASS_MAX_DAYS PASS_MIN_DAYS PASS_WARN_AGE

       pwconv
           PASS_MAX_DAYS PASS_MIN_DAYS PASS_WARN_AGE

       su
           CONSOLE_GROUPS DEFAULT_HOME ENV_PATH ENV_SUPATH SULOG_FILE SU_NAME SYSLOG_SU_ENAB

       sulogin
           ENV_HZ

       useradd
           CREATE_HOME GID_MAX GID_MIN HOME_MODE LASTLOG_UID_MAX MAIL_DIR MAX_MEMBERS_PER_GROUP PASS_MAX_DAYS
           PASS_MIN_DAYS PASS_WARN_AGE SUB_GID_COUNT SUB_GID_MAX SUB_GID_MIN SUB_UID_COUNT SUB_UID_MAX
           SUB_UID_MIN SYS_GID_MAX SYS_GID_MIN SYS_UID_MAX SYS_UID_MIN UID_MAX UID_MIN UMASK

       userdel
           MAIL_DIR MAIL_FILE MAX_MEMBERS_PER_GROUP USERDEL_CMD USERGROUPS_ENAB

       usermod
           LASTLOG_UID_MAX MAIL_DIR MAIL_FILE MAX_MEMBERS_PER_GROUP

ERRORI

       Much of the functionality that used to be provided by the shadow password suite is now handled by PAM.
       Thus, /etc/login.defs is no longer used by passwd(1), or less used by login(1), and su(1). Please refer
       to the corresponding PAM configuration files instead.

VEDERE ANCHE

       login(1), passwd(1), su(1), passwd(5), shadow(5), pam(8).

shadow-utils 4.8.1                                 06/02/2024                                      LOGIN.DEFS(5)