Attachment #9797 for bug #34726

View | Details | Raw Unified | Return to bug 34726 | Differences between
Collapse All | Expand All




					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --account-lockout-threshold=5</command>
							legt fest, wie oft ein Benutzer versuchen kann, sich mit einem falschen Passwort
							anzumelden, bevor das Konto gesperrt wird.
						</simpara>
					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --account-lockout-duration=3</command>
							legt die Anzahl der Minuten fest, die ein Konto gesperrt wird, nachdem zu viele falsche
							Passwörter eingegeben wurden.
						</simpara>
					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --reset-account-lockout-after=5</command>
							legt die Anzahl der Minuten fest, nach der der Zähler zurückgesetzt wird. Wenn ein Konto automatisch
							nach der konfigurierten Aussperrungsdauer entsperrt wird, dann wird der Zähler nicht direkt mit
							zurückgesetzt, um das Konto noch eine gewisse Zeit unter strikter Beobachtung zu halten.
							In dem Zeitfenster nach dem Ende der Aussperrung und vor der endgültigen Rücksetzung des Zählers
							führt ein einziger erneuter Login-Versuch mit einem falschen Passwort direkt wieder zu einer
							Sperrung des Kontos.
						</simpara>
					</listitem>
				</itemizedlist>

				einem anderen System weiterhin anmelden. Durch Setzen der &ucsUCRV; <envar>auth/faillog/lock_global</envar>
				kann die Sperre auch global erfolgen und wird im LDAP registriert. Die globale Sperrung kann nur auf
				&ucsMaster;/Backup-Systemen eingesetzt werden, da andere Systemrollen nicht über die nötigen
				Berechtigungen im LDAP-Verzeichnis verfügen.
				Auf allen Servern der genannten Systemrollen wird die Aussperrung aber automatisch auch lokal umgesetzt
				bzw. über das verwendete Listener-Modul auch wieder zurückgenommen, abhängig vom aktuellen Aussperrungs-Zustands
				des Kontos im LDAP-Verzeichnis.
			</para>
			<para>
				Standardmäßig ist die Sperre über den PAM-Stack unbegrenzt gültig,




    <section id="users:faillog">
        <title>Automatic lockout of users after failed login attempts</title>
        <para>
            By default, a user can enter her password incorrectly any number of times. To
            hinder brute force attacks on passwords, an automatic lockout for user accounts
            can be activated after a configured number of failed log-in attempts.
        </para>

			<title>Samba Active Directory Service</title>
			<para>
				In Samba Active Directory environments, various services are provided by Samba, such as Kerberos.
				To lockout users after too many failed log-in attempts, the tool <command>samba-tool</command> can be used.
			</para>
			<para>
				<itemizedlist>

					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --account-lockout-threshold=5</command>
							specifies how often a user can attempt to log in with an incorrect password before the account
							is locked.
						</simpara>
					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --account-lockout-duration=3</command>
							specifies the number of minutes an account will be locked after too many incorrect passwords
							have been entered.
						</simpara>
					</listitem>
					<listitem>
						<simpara>
							<command>samba-tool domain passwordsettings set --reset-account-lockout-after=5</command>
							defines the number of minutes after which the counter is reset. If an account gets automatically
							unlocked after the lockout duration, the counter is not reset immediately, to keep the account
							under strict monitoring for some time. During the time window between the end of the lockout
							duration and the point when the the counter gets reset, a single attempt to log in with an
							incorrect password will lock the account immediately again.
						</simpara>
					</listitem>
				</itemizedlist>

				The counter is reset each time the password is entered correctly.
			</para>
			<para>
				The lockout is activated locally per system by default. In other words, if a
				user enters her password incorrectly too many times on one system, she can
				still login on another system. Setting the &ucsUCRV; <envar>auth/faillog/lock_global</envar>
				will make the lock effective globally and register it in the LDAP directory. The global
				lock can only be set on &ucsMaster;/Backup systems as other
				system roles do not have the necessary permissions in the LDAP
				directory. On all systems with any of these system roles, the lockout gets automatically activated locally or
				deactivated again via the listener module, depending on the current lock state in the LDAP directory.
			</para>
			<para>
				As standard, the lockout is not subject to time limitations and must be reset by
				the administrator. However, it can also be reset automatically after a certain
				time interval has elapsed. This is done by specifying a time period in seconds
				in the &ucsUCRV; <envar>auth/faillog/unlock_time</envar>. If the value is set to 0, the lock is
				reset immediately.
			</para>
			<para>
				By default, the <systemitem class="username">root</systemitem> user is excluded from the password lock, but can also be
				subjected to it by setting the &ucsUCRV; <envar>auth/faillog/root</envar> to <literal>yes</literal>.
			</para>
			<para>
				If accounts are only locked locally, the administrator can unlock a user account by entering the command
				<command>faillog -r -u USERNAME</command>. If the lock occurs globally in the LDAP directory, the user can be reset
				in Univention Management Console on the tab <guimenu>Account</guimenu> in the user options
				<guimenu>Unlock account</guimenu>.
			</para>

Return to bug 34726