lib/libutil/login.conf.5

   1 .\" Copyright (c) 1996 David Nugent <davidn@blaze.net.au>
   2 .\" All rights reserved.
   3 .\"
   4 .\" Redistribution and use in source and binary forms, with or without
   5 .\" modification, is permitted provided that the following conditions
   6 .\" are met:
   7 .\" 1. Redistributions of source code must retain the above copyright
   8 .\"    notice immediately at the beginning of the file, without modification,
   9 .\"    this list of conditions, and the following disclaimer.
  10 .\" 2. Redistributions in binary form must reproduce the above copyright
  11 .\"    notice, this list of conditions and the following disclaimer in the
  12 .\"    documentation and/or other materials provided with the distribution.
  13 .\" 3. This work was done expressly for inclusion into FreeBSD.  Other use
  14 .\"    is permitted provided this notation is included.
  15 .\" 4. Absolutely no warranty of function or purpose is made by the author
  16 .\"    David Nugent.
  17 .\" 5. Modifications may be freely made to this file providing the above
  18 .\"    conditions are met.
  19 .\"
  20 .\" $FreeBSD$
  21 .\"
  22 .Dd November 22, 1996
  23 .Dt LOGIN.CONF 5
  24 .Os
  25 .Sh NAME
  26 .Nm login.conf
  27 .Nd login class capability database
  28 .Sh SYNOPSIS
  29 .Pa /etc/login.conf ,
  30 .Pa ~/.login_conf
  31 .Sh DESCRIPTION
  32 .Nm
  33 contains various attributes and capabilities of login classes.
  34 A login class (an optional annotation against each record in the user
  35 account database,
  36 .Pa /etc/master.passwd )
  37 determines session accounting, resource limits and user environment settings.
  38 It is used by various programs in the system to set up a user's login
  39 environment and to enforce policy, accounting and administrative restrictions.
  40 It also provides the means by which users are able to be
  41 authenticated to the system and the types of authentication available.
  42 .Pp
  43 A special record "default" in the system user class capability database
  44 .Pa /etc/login.conf
  45 is used automatically for any
  46 non-root user without a valid login class in
  47 .Pa /etc/master.passwd .
  48 A user with a uid of 0 without a valid login class will use the record
  49 "root" if it exists, or "default" if not.
  50 .Pp
  51 In
  52 .Fx ,
  53 users may individually create a file called
  54 .Pa .login_conf
  55 in their home directory using the same format, consisting of a single
  56 entry with a record id of "me".
  57 If present, this file is used by
  58 .Xr login 1
  59 to set user-defined environment settings which override those specified
  60 in the system login capabilities database.
  61 Only a subset of login capabilities may be overridden, typically those
  62 which do not involve authentication, resource limits and accounting.
  63 .Pp
  64 Records in a class capabilities database consist of a number of
  65 colon-separated fields.
  66 The first entry for each record gives one or more names that a record is
  67 to be known by, each separated by a '|' character.
  68 The first name is the most common abbreviation.
  69 The last name given should be a long name that is more descriptive
  70 of the capability entry, and all others are synonyms.
  71 All names but the last should be in lower case and contain no blanks;
  72 the last name may contain upper case characters and blanks for
  73 readability.
  74 .Pp
  75 See
  76 .Xr getcap 3
  77 for a more in-depth description of the format of a capability database.
  78 .Sh CAPABILITIES
  79 Fields within each record in the database follow the
  80 .Xr getcap 3
  81 conventions for boolean, type string
  82 .Ql \&=
  83 and type numeric
  84 .Ql \&# ,
  85 although type numeric is depreciated in favour of the string format and
  86 either form is accepted for a numeric datum.
  87 Values fall into the following categories:
  88 .Bl -tag -width "program"
  89 .It bool
  90 If the name is present, then the boolean value is true; otherwise, it is
  91 false
  92 .It file
  93 Path name to a data file
  94 .It program
  95 Path name to an executable file
  96 .It list
  97 A list of values (or pairs of values) separated by commas or spaces
  98 .It path
  99 A space or comma separated list of path names, following the usual csh
 100 conventions (leading tilde with and without username being expanded to
 101 home directories etc.)
 102 .It number
 103 A numeric value, either decimal (default), hexadecimal (with leading 0x),
 104 or octal (with a leading 0).
 105 With a numeric type, only one numeric value is allowed.
 106 Numeric types may also be specified in string format (ie. the capability
 107 tag being delimited from the value by '=' instead of '#').
 108 Whichever method is used, then all records in the database must use the
 109 same method to allow values to be correctly overridden in interpolated
 110 records.
 111 .It size
 112 A number which expresses a size.
 113 The default interpretation of a value is the number of bytes, but a
 114 suffix may specify alternate units:
 115 .Bl -tag -offset indent -compact -width xxxx
 116 .It b
 117 explicitly selects 512-byte blocks
 118 .It k
 119 selects kilobytes (1024 bytes)
 120 .It m
 121 specifies a multiplier of 1 megabyte (1048576 bytes),
 122 .It g
 123 specifies units of gigabytes, and
 124 .It t
 125 represents terabytes.
 126 .El
 127 A size value is a numeric quantity and case of the suffix is not significant.
 128 Concatenated values are added together.
 129 .It time
 130 A period of time, by default in seconds.
 131 A prefix may specify a different unit:
 132 .Bl -tag -offset indent -compact -width xxxx
 133 .It y
 134 indicates the number of 365 day years,
 135 .It w
 136 indicates the number of weeks,
 137 .It d
 138 the number of days,
 139 .It h
 140 the number of hours,
 141 .It m
 142 the number of minutes, and
 143 .It s
 144 the number of seconds.
 145 .El
 146 Concatenated values are added together.
 147 For example, 2 hours and 40 minutes may be written either as
 148 9600s, 160m or 2h40m.
 149 .El
 150 .Pp
 151 The usual convention to interpolate capability entries using the special
 152 .Em tc=value
 153 notation may be used.
 154 .Sh RESOURCE LIMITS
 155 .Bl -column coredumpsize indent indent
 156 .It Sy "Name    Type    Notes   Description
 157 .It "coredumpsize       size            Maximum coredump size limit.
 158 .It "cputime    time            CPU usage limit.
 159 .It "datasize   size            Maximum data size limit.
 160 .It "filesize   size            Maximum file size limit.
 161 .It "maxproc    number          Maximum number of processes.
 162 .It "memorylocked       size            Maximum locked in core memory size limit.
 163 .It "memoryuse  size            Maximum of core memory use size limit.
 164 .It "openfiles  number          Maximum number of open files per process.
 165 .It "sbsize     size            Maximum permitted socketbuffer size.
 166 .It "stacksize  size            Maximum stack size limit.
 167 .El
 168 .Pp
 169 These resource limit entries actually specify both the maximum
 170 and current limits (see
 171 .Xr getrlimit 2 ) .
 172 The current (soft) limit is the one normally used, although the user is
 173 permitted to increase the current limit to the maximum (hard) limit.
 174 The maximum and current limits may be specified individually by appending a
 175 -max or -cur to the capability name.
 176 .Sh ENVIRONMENT
 177 .Bl -column ignorenologin indent xbinxxusrxbin
 178 .It Sy "Name    Type    Notes   Description
 179 .It "charset    string          Set $MM_CHARSET environment variable to the specified
 180 value.
 181 .It "hushlogin  bool    false   Same as having a ~/.hushlogin file.
 182 .It "ignorenologin      bool    false   Login not prevented by nologin.
 183 .It "lang       string          Set $LANG environment variable to the specified value.
 184 .It "manpath    path            Default search path for manpages.
 185 .It "nocheckmail        bool    false   Display mail status at login.
 186 .It "nologin    file            If the file exists it will be displayed and
 187 the login session will be terminated.
 188 .It "path       path    /bin /usr/bin   Default search path.
 189 .It "priority   number          Initial priority (nice) level.
 190 .It "requirehome        bool    false   Require a valid home directory to login.
 191 .It "setenv     list            A comma-separated list of environment variables and
 192 values to which they are to be set.
 193 .It "shell      prog            Session shell to execute rather than the
 194 shell specified in the passwd file.
 195 The SHELL environment variable will
 196 contain the shell specified in the password file.
 197 .It "term       string          Default terminal type if not able to determine
 198 from other means.
 199 .It "timezone   string          Default value of $TZ environment variable.
 200 .It "umask      number  022     Initial umask. Should always have a leading 0 to
 201 ensure octal interpretation.
 202 .It "welcome    file    /etc/motd       File containing welcome message.
 203 .El
 204 .Sh AUTHENTICATION
 205 .Bl -column minpasswordlen indent indent
 206 .It Sy "Name    Type    Notes   Description
 207 .\" .It "approve        program         Program to approve login.
 208 .It "copyright  file            File containing additional copyright information
 209 .It "host.allow list            List of remote host wildcards from which users in
 210 the class may access.
 211 .It "host.deny  list            List of remote host wildcards from which users
 212 in the class may not access.
 213 .It "login_prompt       string          The login prompt given by
 214 .Xr login 1
 215 .It "minpasswordlen     number  6       The minimum length a local password
 216 may be.
 217 .It "mixpasswordcase    bool    true    Whether
 218 .Xr passwd 1
 219 will warn the user if an all lower case password is entered.
 220 .It "passwd_format      string  md5     The encryption format that new or
 221 changed passwords will use.
 222 Valid values include "des", "md5" and "blf".
 223 NIS clients using a
 224 .No non- Ns Fx
 225 NIS server should probably use "des".
 226 .It "passwd_prompt      string          The password prompt presented by
 227 .Xr login 1
 228 .It "times.allow        list            List of time periods during which
 229 logins are allowed.
 230 .It "times.deny list            List of time periods during which logins are
 231 disallowed.
 232 .It "ttys.allow list            List of ttys and ttygroups which users
 233 in the class may use for access.
 234 .It "ttys.deny  list            List of ttys and ttygroups which users
 235 in the class may not use for access.
 236 .\".It "widepasswords   bool    false   Use the wide password format. The wide password
 237 .\" format allows up to 128 significant characters in the password.
 238 .El
 239 .Pp
 240 These fields are intended to be used by
 241 .Xr passwd 1
 242 and other programs in the login authentication system.
 243 .Pp
 244 Capabilities that set environment variables are scanned for both
 245 .Ql \&~
 246 and
 247 .Ql \&$
 248 characters, which are substituted for a user's home directory and name
 249 respectively.
 250 To pass these characters literally into the environment variable, escape
 251 the character by preceding it with a backslash '\\'.
 252 .Pp
 253 The
 254 .Em host.allow
 255 and
 256 .Em host.deny
 257 entries are comma separated lists used for checking remote access to the system,
 258 and consist of a list of hostnames and/or IP addresses against which remote
 259 network logins are checked.
 260 Items in these lists may contain wildcards in the form used by shell programs
 261 for wildcard matching (See
 262 .Xr fnmatch 3
 263 for details on the implementation).
 264 The check on hosts is made against both the remote system's Internet address
 265 and hostname (if available).
 266 If both lists are empty or not specified, then logins from any remote host
 267 are allowed.
 268 If host.allow contains one or more hosts, then only remote systems matching
 269 any of the items in that list are allowed to log in.
 270 If host.deny contains one or more hosts, then a login from any matching hosts
 271 will be disallowed.
 272 .Pp
 273 The
 274 .Em times.allow
 275 and
 276 .Em times.deny
 277 entries consist of a comma-separated list of time periods during which the users
 278 in a class are allowed to be logged in.
 279 These are expressed as one or more day codes followed by a start and end times
 280 expressed in 24 hour format, separated by a hyphen or dash.
 281 For example, MoThSa0200-1300 translates to Monday, Thursday and Saturday between
 282 the hours of 2 am and 1 p.m..
 283 If both of these time lists are empty, users in the class are allowed access at
 284 any time.
 285 If
 286 .Em times.allow
 287 is specified, then logins are only allowed during the periods given.
 288 If
 289 .Em times.deny
 290 is specified, then logins are denied during the periods given, regardless of whether
 291 one of the periods specified in
 292 .Em times.allow
 293 applies.
 294 .Pp
 295 Note that
 296 .Xr login 1
 297 enforces only that the actual login falls within periods allowed by these entries.
 298 Further enforcement over the life of a session requires a separate daemon to
 299 monitor transitions from an allowed period to a non-allowed one.
 300 .Pp
 301 The
 302 .Em ttys.allow
 303 and
 304 .Em ttys.deny
 305 entries contain a comma-separated list of tty devices (without the /dev/ prefix)
 306 that a user in a class may use to access the system, and/or a list of ttygroups
 307 (See
 308 .Xr getttyent 3
 309 and
 310 .Xr ttys 5
 311 for information on ttygroups).
 312 If neither entry exists, then the choice of login device used by the user is
 313 unrestricted.
 314 If only
 315 .Em ttys.allow
 316 is specified, then the user is restricted only to ttys in the given
 317 group or device list.
 318 If only
 319 .Em ttys.deny
 320 is specified, then the user is prevented from using the specified devices or
 321 devices in the group.
 322 If both lists are given and are non-empty, the user is restricted to those
 323 devices allowed by ttys.allow that are not available by ttys.deny.
 324 .Sh ACCOUNTING LIMITS
 325 .Bl -column host.accounted indent indent
 326 .It Sy "Name    Type    Notes   Description
 327 .It "accounted  bool    false   Enable session time accounting for all users
 328 in this class.
 329 .It "autodelete time            Time after expiry when account is auto-deleted.
 330 .It "bootfull   bool    false   Enable 'boot only if ttygroup is full' strategy
 331 when terminating sessions.
 332 .It "daytime    time            Maximum login time per day.
 333 .It "expireperiod       time            Time for expiry allocation.
 334 .It "graceexpire        time            Grace days for expired account.
 335 .It "gracetime  time            Additional grace login time allowed.
 336 .It "host.accounted     list            List of remote host wildcards from which
 337 login sessions will be accounted.
 338 .It "host.exempt        list            List of remote host wildcards from which
 339 login session accounting is exempted.
 340 .It "idletime   time            Maximum idle time before logout.
 341 .It "monthtime  time            Maximum login time per month.
 342 .It "passwordtime       time            Used by
 343 .Xr passwd 1
 344 to set next password expiry date.
 345 .It "refreshtime        time            New time allowed on account refresh.
 346 .It "refreshperiod      str             How often account time is refreshed.
 347 .It "sessiontime        time            Maximum login time per session.
 348 .It "sessionlimit       number          Maximum number of concurrent
 349 login sessions on ttys in any group.
 350 .It "ttys.accounted     list            List of ttys and ttygroups for which
 351 login accounting is active.
 352 .It "ttys.exempt        list            List of ttys and ttygroups for which login accounting
 353 is exempt.
 354 .It "warnexpire time            Advance notice for pending account expiry.
 355 .It "warnpassword       time            Advance notice for pending password expiry.
 356 .It "warntime   time            Advance notice for pending out-of-time.
 357 .It "weektime   time            Maximum login time per week.
 358 .El
 359 .Pp
 360 These fields are used by the time accounting system, which regulates,
 361 controls and records user login access.
 362 .Pp
 363 The
 364 .Em ttys.accounted
 365 and
 366 .Em ttys.exempt
 367 fields operate in a similar manner to
 368 .Em ttys.allow
 369 and
 370 .Em ttys.deny
 371 as explained
 372 above.
 373 Similarly with the
 374 .Em host.accounted
 375 and
 376 .Em host.exempt
 377 lists.
 378 .Sh SEE ALSO
 379 .Xr cap_mkdb 1 ,
 380 .Xr login 1 ,
 381 .Xr getcap 3 ,
 382 .Xr getttyent 3 ,
 383 .Xr login_cap 3 ,
 384 .Xr login_class 3 ,
 385 .Xr passwd 5 ,
 386 .Xr ttys 5