lib/libutil/login.conf.5

   1 .\" Copyright (c) 1996 David Nugent <davidn@blaze.net.au>
   2 .\" All rights reserved.
   3 .\"
   4 .\" Redistribution and use in source and binary forms, with or without
   5 .\" modification, is permitted provided that the following conditions
   6 .\" are met:
   7 .\" 1. Redistributions of source code must retain the above copyright
   8 .\"    notice immediately at the beginning of the file, without modification,
   9 .\"    this list of conditions, and the following disclaimer.
  10 .\" 2. Redistributions in binary form must reproduce the above copyright
  11 .\"    notice, this list of conditions and the following disclaimer in the
  12 .\"    documentation and/or other materials provided with the distribution.
  13 .\" 3. This work was done expressly for inclusion into FreeBSD.  Other use
  14 .\"    is permitted provided this notation is included.
  15 .\" 4. Absolutely no warranty of function or purpose is made by the author
  16 .\"    David Nugent.
  17 .\" 5. Modifications may be freely made to this file providing the above
  18 .\"    conditions are met.
  19 .\"
  20 .\" $FreeBSD: src/lib/libutil/login.conf.5,v 1.22.2.18 2003/05/10 23:30:54 murray Exp $
  21 .\"
  22 .Dd November 22, 1996
  23 .Dt LOGIN.CONF 5
  24 .Os
  25 .Sh NAME
  26 .Nm login.conf
  27 .Nd login class capability database
  28 .Sh SYNOPSIS
  29 .Pa /etc/login.conf ,
  30 .Pa ~/.login_conf
  31 .Sh DESCRIPTION
  32 .Nm
  33 contains various attributes and capabilities of login classes.
  34 A login class (an optional annotation against each record in the user
  35 account database,
  36 .Pa /etc/master.passwd )
  37 determines session accounting, resource limits and user environment settings.
  38 It is used by various programs in the system to set up a user's login
  39 environment and to enforce policy, accounting and administrative restrictions.
  40 It also provides the means by which users are able to be
  41 authenticated to the system and the types of authentication available.
  42 .Pp
  43 A special record "default" in the system user class capability database
  44 .Pa /etc/login.conf
  45 is used automatically for any
  46 non-root user without a valid login class in
  47 .Pa /etc/master.passwd .
  48 A user with a uid of 0 without a valid login class will use the record
  49 "root" if it exists, or "default" if not.
  50 .Pp
  51 In
  52 .Fx ,
  53 users may individually create a file called
  54 .Pa .login_conf
  55 in their home directory using the same format, consisting of a single
  56 entry with a record id of "me".
  57 If present, this file is used by
  58 .Xr login 1
  59 to set user-defined environment settings which override those specified
  60 in the system login capabilities database.
  61 Only a subset of login capabilities may be overridden, typically those
  62 which do not involve authentication, resource limits and accounting.
  63 .Pp
  64 Records in a class capabilities database consist of a number of
  65 colon-separated fields.
  66 The first entry for each record gives one or more names that a record is
  67 to be known by, each separated by a '|' character.
  68 The first name is the most common abbreviation.
  69 The last name given should be a long name that is more descriptive
  70 of the capability entry, and all others are synonyms.
  71 All names but the last should be in lower case and contain no blanks;
  72 the last name may contain upper case characters and blanks for
  73 readability.
  74 .Pp
  75 See
  76 .Xr getcap 3
  77 for a more in-depth description of the format of a capability database.
  78 .Sh CAPABILITIES
  79 Fields within each record in the database follow the
  80 .Xr getcap 3
  81 conventions for boolean, type string
  82 .Ql \&=
  83 and type numeric
  84 .Ql \&# ,
  85 although type numeric is deprecated in favour of the string format and
  86 either form is accepted for a numeric datum.
  87 Values fall into the following categories:
  88 .Bl -tag -width "program"
  89 .It bool
  90 If the name is present, then the boolean value is true; otherwise, it is
  91 false
  92 .It file
  93 Path name to a data file
  94 .It program
  95 Path name to an executable file
  96 .It list
  97 A list of values (or pairs of values) separated by commas or spaces
  98 .It path
  99 A space or comma separated list of path names, following the usual csh
 100 conventions (leading tilde with and without username being expanded to
 101 home directories etc.)
 102 .It number
 103 A numeric value, either decimal (default), hexadecimal (with leading 0x),
 104 or octal (with a leading 0).
 105 With a numeric type, only one numeric value is allowed.
 106 Numeric types may also be specified in string format (ie. the capability
 107 tag being delimited from the value by '=' instead of '#').
 108 Whichever method is used, then all records in the database must use the
 109 same method to allow values to be correctly overridden in interpolated
 110 records.
 111 .It size
 112 A number which expresses a size.
 113 The default interpretation of a value is the number of bytes, but a
 114 suffix may specify alternate units:
 115 .Bl -tag -offset indent -compact -width xxxx
 116 .It b
 117 explicitly selects 512-byte blocks
 118 .It k
 119 selects kilobytes (1024 bytes)
 120 .It m
 121 specifies a multiplier of 1 megabyte (1048576 bytes),
 122 .It g
 123 specifies units of gigabytes, and
 124 .It t
 125 represents terabytes.
 126 .El
 127 A size value is a numeric quantity and case of the suffix is not significant.
 128 Concatenated values are added together.
 129 .It time
 130 A period of time, by default in seconds.
 131 A prefix may specify a different unit:
 132 .Bl -tag -offset indent -compact -width xxxx
 133 .It y
 134 indicates the number of 365 day years,
 135 .It w
 136 indicates the number of weeks,
 137 .It d
 138 the number of days,
 139 .It h
 140 the number of hours,
 141 .It m
 142 the number of minutes, and
 143 .It s
 144 the number of seconds.
 145 .El
 146 Concatenated values are added together.
 147 For example, 2 hours and 40 minutes may be written either as
 148 9600s, 160m or 2h40m.
 149 .El
 150 .Pp
 151 The usual convention to interpolate capability entries using the special
 152 .Em tc=value
 153 notation may be used.
 154 .Sh RESOURCE LIMITS
 155 .Bl -column coredumpsize indent indent
 156 .It Sy "Name    Type    Notes   Description
 157 .It "coredumpsize       size            Maximum coredump size limit.
 158 .It "cputime    time            CPU usage limit.
 159 .It "datasize   size            Maximum data size limit.
 160 .It "filesize   size            Maximum file size limit.
 161 .It "maxproc    number          Maximum number of processes.
 162 .It "memorylocked       size            Maximum locked in core memory size limit.
 163 .It "memoryuse  size            Maximum of core memory use size limit.
 164 .It "openfiles  number          Maximum number of open files per process.
 165 .It "sbsize     size            Maximum permitted socketbuffer size.
 166 .It "vmemoryuse size            Maximum permitted total VM useage per process.
 167 .It "stacksize  size            Maximum stack size limit.
 168 .El
 169 .Pp
 170 These resource limit entries actually specify both the maximum
 171 and current limits (see
 172 .Xr getrlimit 2 ) .
 173 The current (soft) limit is the one normally used, although the user is
 174 permitted to increase the current limit to the maximum (hard) limit.
 175 The maximum and current limits may be specified individually by appending a
 176 -max or -cur to the capability name.
 177 .Sh ENVIRONMENT
 178 .Bl -column ignorenologin indent xbinxxusrxbin
 179 .It Sy "Name    Type    Notes   Description
 180 .It "charset    string          Set $MM_CHARSET environment variable to the specified
 181 value.
 182 .It "hushlogin  bool    false   Same as having a ~/.hushlogin file.
 183 .It "ignorenologin      bool    false   Login not prevented by nologin.
 184 .It "lang       string          Set $LANG environment variable to the specified value.
 185 .It "manpath    path            Default search path for manpages.
 186 .It "nologin    file            If the file exists it will be displayed and
 187 the login session will be terminated.
 188 .It "path       path    /bin /usr/bin   Default search path.
 189 .It "priority   number          Initial priority (nice) level.
 190 .It "requirehome        bool    false   Require a valid home directory to login.
 191 .It "setenv     list            A comma-separated list of environment variables and
 192 values to which they are to be set.
 193 .It "shell      prog            Session shell to execute rather than the
 194 shell specified in the passwd file.
 195 The SHELL environment variable will
 196 contain the shell specified in the password file.
 197 .It "term       string          Default terminal type if not able to determine
 198 from other means.
 199 .It "timezone   string          Default value of $TZ environment variable.
 200 .It "umask      number  022     Initial umask. Should always have a leading 0 to
 201 ensure octal interpretation.
 202 .It "welcome    file    /etc/motd       File containing welcome message.
 203 .El
 204 .Sh AUTHENTICATION
 205 .Bl -column minpasswordlen indent indent
 206 .It Sy "Name    Type    Notes   Description
 207 .\" .It "approve        program         Program to approve login.
 208 .It "copyright  file            File containing additional copyright information
 209 .It "host.allow list            List of remote host wildcards from which users in
 210 the class may access.
 211 .It "host.deny  list            List of remote host wildcards from which users
 212 in the class may not access.
 213 .It "login_prompt       string          The login prompt given by
 214 .Xr login 1
 215 .It "minpasswordlen     number  6       The minimum length a local password
 216 may be.
 217 .It "mixpasswordcase    bool    true    Whether
 218 .Xr passwd 1
 219 will warn the user if an all lower case password is entered.
 220 .It "login-backoff      number  3       The number of login attempts
 221 allowed before the backoff delay is inserted after each subsequent
 222 attempt.
 223 .It "login-retries      number  10      The number of login attempts
 224 allowed before the login fails.
 225 .It "passwd_format      string  md5     The encryption format that new or
 226 changed passwords will use.
 227 Valid values include "des", "md5" and "blf".
 228 NIS clients using a
 229 .No non- Ns Fx
 230 NIS server should probably use "des".
 231 .It "passwd_prompt      string          The password prompt presented by
 232 .Xr login 1
 233 .It "times.allow        list            List of time periods during which
 234 logins are allowed.
 235 .It "times.deny list            List of time periods during which logins are
 236 disallowed.
 237 .It "ttys.allow list            List of ttys and ttygroups which users
 238 in the class may use for access.
 239 .It "ttys.deny  list            List of ttys and ttygroups which users
 240 in the class may not use for access.
 241 .\".It "widepasswords   bool    false   Use the wide password format. The wide password
 242 .\" format allows up to 128 significant characters in the password.
 243 .El
 244 .Pp
 245 These fields are intended to be used by
 246 .Xr passwd 1
 247 and other programs in the login authentication system.
 248 .Pp
 249 Capabilities that set environment variables are scanned for both
 250 .Ql \&~
 251 and
 252 .Ql \&$
 253 characters, which are substituted for a user's home directory and name
 254 respectively.
 255 To pass these characters literally into the environment variable, escape
 256 the character by preceding it with a backslash '\\'.
 257 .Pp
 258 The
 259 .Em host.allow
 260 and
 261 .Em host.deny
 262 entries are comma separated lists used for checking remote access to the system,
 263 and consist of a list of hostnames and/or IP addresses against which remote
 264 network logins are checked.
 265 Items in these lists may contain wildcards in the form used by shell programs
 266 for wildcard matching (See
 267 .Xr fnmatch 3
 268 for details on the implementation).
 269 The check on hosts is made against both the remote system's Internet address
 270 and hostname (if available).
 271 If both lists are empty or not specified, then logins from any remote host
 272 are allowed.
 273 If host.allow contains one or more hosts, then only remote systems matching
 274 any of the items in that list are allowed to log in.
 275 If host.deny contains one or more hosts, then a login from any matching hosts
 276 will be disallowed.
 277 .Pp
 278 The
 279 .Em times.allow
 280 and
 281 .Em times.deny
 282 entries consist of a comma-separated list of time periods during which the users
 283 in a class are allowed to be logged in.
 284 These are expressed as one or more day codes followed by a start and end times
 285 expressed in 24 hour format, separated by a hyphen or dash.
 286 For example, MoThSa0200-1300 translates to Monday, Thursday and Saturday between
 287 the hours of 2 am and 1 p.m..
 288 If both of these time lists are empty, users in the class are allowed access at
 289 any time.
 290 If
 291 .Em times.allow
 292 is specified, then logins are only allowed during the periods given.
 293 If
 294 .Em times.deny
 295 is specified, then logins are denied during the periods given, regardless of whether
 296 one of the periods specified in
 297 .Em times.allow
 298 applies.
 299 .Pp
 300 Note that
 301 .Xr login 1
 302 enforces only that the actual login falls within periods allowed by these entries.
 303 Further enforcement over the life of a session requires a separate daemon to
 304 monitor transitions from an allowed period to a non-allowed one.
 305 .Pp
 306 The
 307 .Em ttys.allow
 308 and
 309 .Em ttys.deny
 310 entries contain a comma-separated list of tty devices (without the /dev/ prefix)
 311 that a user in a class may use to access the system, and/or a list of ttygroups
 312 (See
 313 .Xr getttyent 3
 314 and
 315 .Xr ttys 5
 316 for information on ttygroups).
 317 If neither entry exists, then the choice of login device used by the user is
 318 unrestricted.
 319 If only
 320 .Em ttys.allow
 321 is specified, then the user is restricted only to ttys in the given
 322 group or device list.
 323 If only
 324 .Em ttys.deny
 325 is specified, then the user is prevented from using the specified devices or
 326 devices in the group.
 327 If both lists are given and are non-empty, the user is restricted to those
 328 devices allowed by ttys.allow that are not available by ttys.deny.
 329 .Sh ACCOUNTING LIMITS
 330 .Bl -column host.accounted indent indent
 331 .It Sy "Name    Type    Notes   Description
 332 .It "accounted  bool    false   Enable session time accounting for all users
 333 in this class.
 334 .It "autodelete time            Time after expiry when account is auto-deleted.
 335 .It "bootfull   bool    false   Enable 'boot only if ttygroup is full' strategy
 336 when terminating sessions.
 337 .It "daytime    time            Maximum login time per day.
 338 .It "expireperiod       time            Time for expiry allocation.
 339 .It "graceexpire        time            Grace days for expired account.
 340 .It "gracetime  time            Additional grace login time allowed.
 341 .It "host.accounted     list            List of remote host wildcards from which
 342 login sessions will be accounted.
 343 .It "host.exempt        list            List of remote host wildcards from which
 344 login session accounting is exempted.
 345 .It "idletime   time            Maximum idle time before logout (unused).
 346 .It "monthtime  time            Maximum login time per month.
 347 .It "passwordtime       time            Used by
 348 .Xr passwd 1
 349 to set next password expiry date.
 350 .It "refreshtime        time            New time allowed on account refresh.
 351 .It "refreshperiod      str             How often account time is refreshed.
 352 .It "sessiontime        time            Maximum login time per session.
 353 .It "sessionlimit       number          Maximum number of concurrent
 354 login sessions on ttys in any group.
 355 .It "ttys.accounted     list            List of ttys and ttygroups for which
 356 login accounting is active.
 357 .It "ttys.exempt        list            List of ttys and ttygroups for which login accounting
 358 is exempt.
 359 .It "warnexpire time            Advance notice for pending account expiry.
 360 .It "warnpassword       time            Advance notice for pending password expiry.
 361 .It "warntime   time            Advance notice for pending out-of-time.
 362 .It "weektime   time            Maximum login time per week.
 363 .El
 364 .Pp
 365 These fields are used by the time accounting system, which regulates,
 366 controls and records user login access.
 367 .Pp
 368 The
 369 .Em ttys.accounted
 370 and
 371 .Em ttys.exempt
 372 fields operate in a similar manner to
 373 .Em ttys.allow
 374 and
 375 .Em ttys.deny
 376 as explained
 377 above.
 378 Similarly with the
 379 .Em host.accounted
 380 and
 381 .Em host.exempt
 382 lists.
 383 .Sh BUGS
 384 The
 385 .Em idletime
 386 setting is not enforced.
 387 .Sh SEE ALSO
 388 .Xr cap_mkdb 1 ,
 389 .Xr login 1 ,
 390 .Xr getcap 3 ,
 391 .Xr getttyent 3 ,
 392 .Xr login_cap 3 ,
 393 .Xr login_class 3 ,
 394 .Xr passwd 5 ,
 395 .Xr ttys 5