lib/libutil/login.conf.5

   1 .\" Copyright (c) 1996 David Nugent <davidn@blaze.net.au>
   2 .\" All rights reserved.
   3 .\"
   4 .\" Redistribution and use in source and binary forms, with or without
   5 .\" modification, is permitted provided that the following conditions
   6 .\" are met:
   7 .\" 1. Redistributions of source code must retain the above copyright
   8 .\"    notice immediately at the beginning of the file, without modification,
   9 .\"    this list of conditions, and the following disclaimer.
  10 .\" 2. Redistributions in binary form must reproduce the above copyright
  11 .\"    notice, this list of conditions and the following disclaimer in the
  12 .\"    documentation and/or other materials provided with the distribution.
  13 .\" 3. This work was done expressly for inclusion into FreeBSD.  Other use
  14 .\"    is permitted provided this notation is included.
  15 .\" 4. Absolutely no warranty of function or purpose is made by the author
  16 .\"    David Nugent.
  17 .\" 5. Modifications may be freely made to this file providing the above
  18 .\"    conditions are met.
  19 .\"
  20 .\" $FreeBSD$
  21 .\"
  22 .Dd August 6, 2004
  23 .Dt LOGIN.CONF 5
  24 .Os
  25 .Sh NAME
  26 .Nm login.conf
  27 .Nd login class capability database
  28 .Sh SYNOPSIS
  29 .Pa /etc/login.conf ,
  30 .Pa ~/.login_conf
  31 .Sh DESCRIPTION
  32 .Nm
  33 contains various attributes and capabilities of login classes.
  34 A login class (an optional annotation against each record in the user
  35 account database,
  36 .Pa /etc/master.passwd )
  37 determines session accounting, resource limits and user environment settings.
  38 It is used by various programs in the system to set up a user's login
  39 environment and to enforce policy, accounting and administrative restrictions.
  40 It also provides the means by which users are able to be
  41 authenticated to the system and the types of authentication available.
  42 Attributes in addition to the ones described here are available with
  43 third-party packages.
  44 .Pp
  45 A special record "default" in the system user class capability database
  46 .Pa /etc/login.conf
  47 is used automatically for any
  48 non-root user without a valid login class in
  49 .Pa /etc/master.passwd .
  50 A user with a uid of 0 without a valid login class will use the record
  51 "root" if it exists, or "default" if not.
  52 .Pp
  53 In
  54 .Fx ,
  55 users may individually create a file called
  56 .Pa .login_conf
  57 in their home directory using the same format, consisting of a single
  58 entry with a record id of "me".
  59 If present, this file is used by
  60 .Xr login 1
  61 to set user-defined environment settings which override those specified
  62 in the system login capabilities database.
  63 Only a subset of login capabilities may be overridden, typically those
  64 which do not involve authentication, resource limits and accounting.
  65 .Pp
  66 Records in a class capabilities database consist of a number of
  67 colon-separated fields.
  68 The first entry for each record gives one or more names that a record is
  69 to be known by, each separated by a '|' character.
  70 The first name is the most common abbreviation.
  71 The last name given should be a long name that is more descriptive
  72 of the capability entry, and all others are synonyms.
  73 All names but the last should be in lower case and contain no blanks;
  74 the last name may contain upper case characters and blanks for
  75 readability.
  76 .Pp
  77 See
  78 .Xr getcap 3
  79 for a more in-depth description of the format of a capability database.
  80 .Sh CAPABILITIES
  81 Fields within each record in the database follow the
  82 .Xr getcap 3
  83 conventions for boolean, type string
  84 .Ql \&=
  85 and type numeric
  86 .Ql \&# ,
  87 although type numeric is deprecated in favour of the string format and
  88 either form is accepted for a numeric datum.
  89 Values fall into the following categories:
  90 .Bl -tag -width "program"
  91 .It bool
  92 If the name is present, then the boolean value is true; otherwise, it is
  93 false
  94 .It file
  95 Path name to a data file
  96 .It program
  97 Path name to an executable file
  98 .It list
  99 A list of values (or pairs of values) separated by commas or spaces
 100 .It path
 101 A space or comma separated list of path names, following the usual csh
 102 conventions (leading tilde with and without username being expanded to
 103 home directories etc.)
 104 .It number
 105 A numeric value, either decimal (default), hexadecimal (with leading 0x),
 106 or octal (with a leading 0).
 107 With a numeric type, only one numeric value is allowed.
 108 Numeric types may also be specified in string format (i.e., the capability
 109 tag being delimited from the value by '=' instead of '#').
 110 Whichever method is used, then all records in the database must use the
 111 same method to allow values to be correctly overridden in interpolated
 112 records.
 113 .It size
 114 A number which expresses a size.
 115 The default interpretation of a value is the number of bytes, but a
 116 suffix may specify alternate units:
 117 .Bl -tag -offset indent -compact -width xxxx
 118 .It b
 119 explicitly selects 512-byte blocks
 120 .It k
 121 selects kilobytes (1024 bytes)
 122 .It m
 123 specifies a multiplier of 1 megabyte (1048576 bytes),
 124 .It g
 125 specifies units of gigabytes, and
 126 .It t
 127 represents terabytes.
 128 .El
 129 A size value is a numeric quantity and case of the suffix is not significant.
 130 Concatenated values are added together.
 131 .It time
 132 A period of time, by default in seconds.
 133 A prefix may specify a different unit:
 134 .Bl -tag -offset indent -compact -width xxxx
 135 .It y
 136 indicates the number of 365 day years,
 137 .It w
 138 indicates the number of weeks,
 139 .It d
 140 the number of days,
 141 .It h
 142 the number of hours,
 143 .It m
 144 the number of minutes, and
 145 .It s
 146 the number of seconds.
 147 .El
 148 Concatenated values are added together.
 149 For example, 2 hours and 40 minutes may be written either as
 150 9600s, 160m or 2h40m.
 151 .El
 152 .Pp
 153 The usual convention to interpolate capability entries using the special
 154 .Em tc=value
 155 notation may be used.
 156 .Sh RESOURCE LIMITS
 157 .Bl -column coredumpsize indent indent
 158 .It Sy "Name    Type    Notes   Description
 159 .It "coredumpsize       size            Maximum coredump size limit.
 160 .It "cputime    time            CPU usage limit.
 161 .It "datasize   size            Maximum data size limit.
 162 .It "filesize   size            Maximum file size limit.
 163 .It "maxproc    number          Maximum number of processes.
 164 .It "memorylocked       size            Maximum locked in core memory size limit.
 165 .It "memoryuse  size            Maximum of core memory use size limit.
 166 .It "openfiles  number          Maximum number of open files per process.
 167 .It "sbsize     size            Maximum permitted socketbuffer size.
 168 .It "vmemoryuse size            Maximum permitted total VM usage per process.
 169 .It "stacksize  size            Maximum stack size limit.
 170 .El
 171 .Pp
 172 These resource limit entries actually specify both the maximum
 173 and current limits (see
 174 .Xr getrlimit 2 ) .
 175 The current (soft) limit is the one normally used, although the user is
 176 permitted to increase the current limit to the maximum (hard) limit.
 177 The maximum and current limits may be specified individually by appending a
 178 -max or -cur to the capability name.
 179 .Sh ENVIRONMENT
 180 .Bl -column ignorenologin indent xbinxxusrxbin
 181 .It Sy "Name    Type    Notes   Description
 182 .It "charset    string          Set $MM_CHARSET environment variable to the specified
 183 value.
 184 .It "hushlogin  bool    false   Same as having a ~/.hushlogin file.
 185 .It "ignorenologin      bool    false   Login not prevented by nologin.
 186 .It "ftp-chroot bool    false   Limit FTP access with
 187 .Xr chroot 2
 188 to the
 189 .Ev HOME
 190 directory of the user.
 191 See
 192 .Xr ftpd 8
 193 for details.
 194 .It "label      string                  Default MAC policy; see
 195 .Xr maclabel 7 .
 196 .It "lang       string          Set $LANG environment variable to the specified value.
 197 .It "manpath    path            Default search path for manpages.
 198 .It "nocheckmail        bool    false   Display mail status at login.
 199 .It "nologin    file            If the file exists it will be displayed and
 200 the login session will be terminated.
 201 .It "path       path    /bin /usr/bin   Default search path.
 202 .It "priority   number          Initial priority (nice) level.
 203 .It "requirehome        bool    false   Require a valid home directory to login.
 204 .It "setenv     list            A comma-separated list of environment variables and
 205 values to which they are to be set.
 206 .It "shell      prog            Session shell to execute rather than the
 207 shell specified in the passwd file.
 208 The SHELL environment variable will
 209 contain the shell specified in the password file.
 210 .It "term       string          Default terminal type if not able to determine
 211 from other means.
 212 .It "timezone   string          Default value of $TZ environment variable.
 213 .It "umask      number  022     Initial umask. Should always have a leading 0 to
 214 ensure octal interpretation.
 215 .It "welcome    file    /etc/motd       File containing welcome message.
 216 .El
 217 .Sh AUTHENTICATION
 218 .Bl -column passwd_prompt indent indent
 219 .It Sy "Name    Type    Notes   Description
 220 .\" .It "approve        program         Program to approve login.
 221 .It "copyright  file            File containing additional copyright information
 222 .It "host.allow list            List of remote host wildcards from which users in
 223 the class may access.
 224 .It "host.deny  list            List of remote host wildcards from which users
 225 in the class may not access.
 226 .It "login_prompt       string          The login prompt given by
 227 .Xr login 1
 228 .It "login-backoff      number  3       The number of login attempts
 229 allowed before the backoff delay is inserted after each subsequent
 230 attempt.
 231 .It "login-retries      number  10      The number of login attempts
 232 allowed before the login fails.
 233 .It "passwd_format      string  md5     The encryption format that new or
 234 changed passwords will use.
 235 Valid values include "des", "md5" and "blf".
 236 NIS clients using a
 237 .No non- Ns Fx
 238 NIS server should probably use "des".
 239 .It "passwd_prompt      string          The password prompt presented by
 240 .Xr login 1
 241 .It "times.allow        list            List of time periods during which
 242 logins are allowed.
 243 .It "times.deny list            List of time periods during which logins are
 244 disallowed.
 245 .It "ttys.allow list            List of ttys and ttygroups which users
 246 in the class may use for access.
 247 .It "ttys.deny  list            List of ttys and ttygroups which users
 248 in the class may not use for access.
 249 .It "warnexpire time            Advance notice for pending account expiry.
 250 .It "warnpassword       time            Advance notice for pending password expiry.
 251 .\".It "widepasswords   bool    false   Use the wide password format. The wide password
 252 .\" format allows up to 128 significant characters in the password.
 253 .El
 254 .Pp
 255 These fields are intended to be used by
 256 .Xr passwd 1
 257 and other programs in the login authentication system.
 258 .Pp
 259 Capabilities that set environment variables are scanned for both
 260 .Ql \&~
 261 and
 262 .Ql \&$
 263 characters, which are substituted for a user's home directory and name
 264 respectively.
 265 To pass these characters literally into the environment variable, escape
 266 the character by preceding it with a backslash '\\'.
 267 .Pp
 268 The
 269 .Em host.allow
 270 and
 271 .Em host.deny
 272 entries are comma separated lists used for checking remote access to the system,
 273 and consist of a list of hostnames and/or IP addresses against which remote
 274 network logins are checked.
 275 Items in these lists may contain wildcards in the form used by shell programs
 276 for wildcard matching (See
 277 .Xr fnmatch 3
 278 for details on the implementation).
 279 The check on hosts is made against both the remote system's Internet address
 280 and hostname (if available).
 281 If both lists are empty or not specified, then logins from any remote host
 282 are allowed.
 283 If host.allow contains one or more hosts, then only remote systems matching
 284 any of the items in that list are allowed to log in.
 285 If host.deny contains one or more hosts, then a login from any matching hosts
 286 will be disallowed.
 287 .Pp
 288 The
 289 .Em times.allow
 290 and
 291 .Em times.deny
 292 entries consist of a comma-separated list of time periods during which the users
 293 in a class are allowed to be logged in.
 294 These are expressed as one or more day codes followed by a start and end times
 295 expressed in 24 hour format, separated by a hyphen or dash.
 296 For example, MoThSa0200-1300 translates to Monday, Thursday and Saturday between
 297 the hours of 2 am and 1 p.m..
 298 If both of these time lists are empty, users in the class are allowed access at
 299 any time.
 300 If
 301 .Em times.allow
 302 is specified, then logins are only allowed during the periods given.
 303 If
 304 .Em times.deny
 305 is specified, then logins are denied during the periods given, regardless of whether
 306 one of the periods specified in
 307 .Em times.allow
 308 applies.
 309 .Pp
 310 Note that
 311 .Xr login 1
 312 enforces only that the actual login falls within periods allowed by these entries.
 313 Further enforcement over the life of a session requires a separate daemon to
 314 monitor transitions from an allowed period to a non-allowed one.
 315 .Pp
 316 The
 317 .Em ttys.allow
 318 and
 319 .Em ttys.deny
 320 entries contain a comma-separated list of tty devices (without the /dev/ prefix)
 321 that a user in a class may use to access the system, and/or a list of ttygroups
 322 (See
 323 .Xr getttyent 3
 324 and
 325 .Xr ttys 5
 326 for information on ttygroups).
 327 If neither entry exists, then the choice of login device used by the user is
 328 unrestricted.
 329 If only
 330 .Em ttys.allow
 331 is specified, then the user is restricted only to ttys in the given
 332 group or device list.
 333 If only
 334 .Em ttys.deny
 335 is specified, then the user is prevented from using the specified devices or
 336 devices in the group.
 337 If both lists are given and are non-empty, the user is restricted to those
 338 devices allowed by ttys.allow that are not available by ttys.deny.
 339 .Pp
 340 The
 341 .Em minpasswordlen
 342 and
 343 .Em minpasswordcase
 344 facilities for enforcing restrictions on password quality, which used
 345 to be supported by
 346 .Nm ,
 347 have been superseded by the
 348 .Xr pam_passwdqc 8
 349 PAM module.
 350 .Sh RESERVED CAPABILITIES
 351 The following capabilities are reserved for the purposes indicated and
 352 may be supported by third-party software.
 353 They are not implemented in the base system.
 354 .Bl -column host.accounted indent indent
 355 .It Sy "Name    Type    Notes   Description
 356 .It "accounted  bool    false   Enable session time accounting for all users
 357 in this class.
 358 .It "autodelete time            Time after expiry when account is auto-deleted.
 359 .It "bootfull   bool    false   Enable 'boot only if ttygroup is full' strategy
 360 when terminating sessions.
 361 .It "daytime    time            Maximum login time per day.
 362 .It "expireperiod       time            Time for expiry allocation.
 363 .It "graceexpire        time            Grace days for expired account.
 364 .It "gracetime  time            Additional grace login time allowed.
 365 .It "host.accounted     list            List of remote host wildcards from which
 366 login sessions will be accounted.
 367 .It "host.exempt        list            List of remote host wildcards from which
 368 login session accounting is exempted.
 369 .It "idletime   time            Maximum idle time before logout.
 370 .It "minpasswordlen     number  6       The minimum length a local
 371 password may be.
 372 .It "mixpasswordcase    bool    true    Whether
 373 .Xr passwd 1
 374 will warn the user if an all lower case password is entered.
 375 .It "monthtime  time            Maximum login time per month.
 376 .It "passwordtime       time            Used by
 377 .Xr passwd 1
 378 to set next password expiry date.
 379 .It "refreshtime        time            New time allowed on account refresh.
 380 .It "refreshperiod      str             How often account time is refreshed.
 381 .It "sessiontime        time            Maximum login time per session.
 382 .It "sessionlimit       number          Maximum number of concurrent
 383 login sessions on ttys in any group.
 384 .It "ttys.accounted     list            List of ttys and ttygroups for which
 385 login accounting is active.
 386 .It "ttys.exempt        list            List of ttys and ttygroups for which login accounting
 387 is exempt.
 388 .It "warntime   time            Advance notice for pending out-of-time.
 389 .It "weektime   time            Maximum login time per week.
 390 .El
 391 .Pp
 392 The
 393 .Em ttys.accounted
 394 and
 395 .Em ttys.exempt
 396 fields operate in a similar manner to
 397 .Em ttys.allow
 398 and
 399 .Em ttys.deny
 400 as explained
 401 above.
 402 Similarly with the
 403 .Em host.accounted
 404 and
 405 .Em host.exempt
 406 lists.
 407 .Sh SEE ALSO
 408 .Xr cap_mkdb 1 ,
 409 .Xr login 1 ,
 410 .Xr chroot 2 ,
 411 .Xr getcap 3 ,
 412 .Xr getttyent 3 ,
 413 .Xr login_cap 3 ,
 414 .Xr login_class 3 ,
 415 .Xr pam 3 ,
 416 .Xr passwd 5 ,
 417 .Xr ttys 5 ,
 418 .Xr ftpd 8 ,
 419 .Xr pam_passwdqc 8