diff --git a/ja_JP.eucJP/man/man5/ssh_config.5 b/ja_JP.eucJP/man/man5/ssh_config.5 index 5b697bfd68..05b1c47836 100644 --- a/ja_JP.eucJP/man/man5/ssh_config.5 +++ b/ja_JP.eucJP/man/man5/ssh_config.5 @@ -1,683 +1,716 @@ .\" -*- nroff -*- .\" .\" Author: Tatu Ylonen .\" Copyright (c) 1995 Tatu Ylonen , Espoo, Finland .\" All rights reserved .\" .\" As far as I am concerned, the code I have written for this software .\" can be used freely for any purpose. Any derived versions of this .\" software must be clearly marked as such, and if the derived work is .\" incompatible with the protocol description in the RFC file, it must be .\" called by a name other than "ssh" or "Secure Shell". .\" .\" Copyright (c) 1999,2000 Markus Friedl. All rights reserved. .\" Copyright (c) 1999 Aaron Campbell. All rights reserved. .\" Copyright (c) 1999 Theo de Raadt. All rights reserved. .\" .\" Redistribution and use in source and binary forms, with or without .\" modification, are permitted provided that the following conditions .\" are met: .\" 1. Redistributions of source code must retain the above copyright .\" notice, this list of conditions and the following disclaimer. .\" 2. Redistributions in binary form must reproduce the above copyright .\" notice, this list of conditions and the following disclaimer in the .\" documentation and/or other materials provided with the distribution. .\" .\" THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR .\" IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES .\" OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. .\" IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, .\" INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT .\" NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, .\" DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY .\" THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT .\" (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF .\" THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. .\" -.\" $OpenBSD: ssh_config.5,v 1.1 2002/06/20 19:56:07 stevesk Exp $ -.\" Japanese translation: $Id: ssh_config.5,v 1.1 2002-08-19 02:24:45 horikawa Exp $ +.\" $OpenBSD: ssh_config.5,v 1.5 2002/08/29 22:54:10 stevesk Exp $ +.\" Japanese translation: $Id: ssh_config.5,v 1.2 2002-12-30 05:47:52 horikawa Exp $ .\" by Yusuke Shinyama .\" -.\" %FreeBSD: src/crypto/openssh/ssh_config.5,v 1.4.2.2 2002/07/25 16:03:44 fanf Exp % +.\" %FreeBSD: /home/ncvs/src/crypto/openssh/ssh_config.5,v 1.7 2002/11/05 17:25:15 des Exp % .\" $FreeBSD$ .Dd September 25, 1999 .Dt SSH_CONFIG 5 .Os .Sh 名称 .Nm ssh_config .Nd OpenSSH SSH クライアント 設定ファイル .Sh 書式 .Bl -tag -width Ds -compact .It Pa $HOME/.ssh/config .It Pa /etc/ssh/ssh_config .El .Sh 解説 .Nm ssh は以下のものから (この順序で) 設定情報を取得します: -コマンドラインオプション、 -ユーザの設定ファイル +.Bl -enum -offset indent -compact +.It +コマンドラインオプション +.It +ユーザごとの設定ファイル .Pq Pa $HOME/.ssh/config -、そしてシステム全体での設定ファイル +.It +システム全体にわたる (system-wide) 設定ファイル .Pq Pa /etc/ssh/ssh_config -。 +.El .Pp 各設定項目にはそれそれ最初に見つかったものが使われます。 設定ファイルはいくつかのセクションに分かれており、これらは .Dq Host キーワードにより区切られています。あるセクションの設定が 適用されるのは、コマンドラインから与えられたホスト名が、 このキーワードで指定されているパターンのどれかにマッチするときだけです。 .Pp 各設定項目で最初に見つかった値が使われるので、ホストに特化した 宣言をファイルの先頭近くに置くようにし、一般的なものを後に置くのが よいでしょう。 .Pp 設定ファイルは以下のような形式になっています: .Pp 空行、および .Ql # で始まる行は、コメントとみなされます。 .Pp それ以外の場合、この行は .Dq キーワード 引数 . という形式になっています。 キーワードと引数は、空白またはひとつの .Ql = ; (間に空白を含んでいてもよい) によって区切られます。 後者の形式は、 .Nm ssh , .Nm scp および .Nm sftp などで .Fl o オプションを使って設定項目を指定するときに、 空白をクォートする必要がないようにするためです。 .Pp とりうるキーワードとその意味は以下のとおりです (キーワードは大文字小文字どちらでもかまいませんが、 その引数は大文字小文字が区別されることに注意してください) : .Bl -tag -width Ds .It Cm Host (ホスト) これ以後の (次の .Cm Host キーワードが現れるまでの) 設定項目を、ここで 指定されたパターンのどれかにマッチするホストだけに 制限します。パターン中では .Ql \&* と .Ql ? がワイルドカードとして使えます。単独の .Ql \&* は、すべてのホストに対するデフォルトとして使えます。 ここでいうホストとは、コマンドライン引数で与えられた .Ar ホスト名 そのもののことです (つまり、ホスト名はマッチングの前に正規化されたりしません)。 .It Cm AFSTokenPassing (AFS トークンパス) リモートホストに AFS トークンを渡すかどうかを指定します。 この引数がとりうる値は .Dq yes あるいは .Dq no のどちらかになります。 このオプションはプロトコル バージョン 1 でのみ有効です。 .It Cm BatchMode (バッチ処理モード) これが .Dq yes に設定されていると、パスフレーズおよびパスワードの 入力を求めないようになります。このオプションはスクリプトなどにおける バッチ処理中で、パスワードを打ち込むユーザがいない場合に便利です。 引数の値は .Dq yes あるいは .Dq no です。 デフォルトは .Dq no (パスワードあるいはパスフレーズの入力を求める) です。 .It Cm BindAddress (bind するアドレス) 複数のインターフェイスあるいはエイリアスされたアドレスを もっているマシンで、通信に使うインターフェイスを指定します。 このオプションは .Cm UsePrivilegedPort 項目が .Dq yes になってるときは機能しないので注意してください。 .It Cm ChallengeResponseAuthentication (チャレンジ・レスポンス認証) チャレンジ・レスポンス認証をおこなうかどうかを指定します。 この引数がとりうる値は .Dq yes あるいは .Dq no です。デフォルトでは .Dq yes (チャレンジ・レスポンス認証をおこなう) になっています。 .It Cm CheckHostIP (ホスト IP の検査) このオプションが .Dq yes に設定されていると、ssh は接続先ホスト名の IP アドレスが .Pa known_hosts に書かれている同一ホスト名 IP アドレスと同じかどうか 検査するようになります。 これによって、DNS 詐称によりホスト鍵が変えられたことを 検出できます。このオプションが .Dq no に設定されている場合は、この検査はおこなわれません。 デフォルトでは、これは .Dq no (ホスト IP アドレスの検査をおこなわない) になっています。 .It Cm Cipher (暗号化アルゴリズム) プロトコル バージョン 1 のセッションで使う暗号化の アルゴリズムを指定します。現在のところ Currently, .Dq blowfish .Dq 3des および .Dq des がサポートされており、デフォルトは .Dq 3des です。 .Ar des は、 .Ar 3des 暗号をサポートしていない、もはや古くなったプロトコル 1 の実装と 相互運用するためにのみサポートされています。 この暗号は弱いため、使用はおすすめしません。 .It Cm Ciphers (複数の暗号化アルゴリズム) プロトコル バージョン 2 で使う暗号化アルゴリズムの 優先順位を指定します。複数の暗号化アルゴリズムを カンマで区切って指定します。 デフォルトは .Pp .Bd -literal ``aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour, aes192-cbc,aes256-cbc'' .Ed の順になっています。 .It Cm ClearAllForwardings (すべてのポート転送をキャンセル) 設定ファイルあるいはコマンドラインで指定された、 ローカル、リモートおよびダイナミックなポート転送をすべて キャンセルします。このオプションは設定ファイルで指定されている ポート転送を .Nm ssh のコマンドラインで打ち消すためにあり、 .Xr scp 1 や .Xr sftp 1 で自動的に使われます。この引数の値は .Dq yes あるいは .Dq no です。デフォルトでは .Dq no になっています。 .It Cm Compression (圧縮) データ圧縮をおこなうかどうかを指定します。 引数の値は .Dq yes あるいは .Dq no です。 デフォルトでは .Dq no (圧縮をおこなわない) になっています。 .It Cm CompressionLevel (圧縮レベル) 圧縮をおこなうさいの圧縮レベルを指定します。 この引数がとる値は 整数の 1 (速い) から 9 (遅い、高圧縮率) までです。 デフォルトの値は 6 で、ほとんどのアプリケーションにはこれで充分です。 この値の意味は .Xr gzip 1 と同じです。 このオプションはプロトコル バージョン 1 のみに適用されることに 注意してください。 .It Cm ConnectionAttempts (接続試行回数) 接続を試みる回数 (1秒に一回) を指定します。これを越えると ssh は終了してしまいます。この値は整数で なければなりません。これは、ときどき接続に失敗する環境での スクリプトなどに便利です。 デフォルトは 1回です。 .It Cm DynamicForward (動的なポート転送) 暗号化された通信路を経由して、ローカルホスト側の TCP/IP ポートを 転送するよう指定します。このとき、どのリモートホストから 接続するかを決定するためにアプリケーションレベルのプロトコルが 使われます。このオプションの引数はポート番号である必要があります。 今のところ SOCKS4 プロトコルが使われており、 .Nm ssh は SOCKS4 サーバのようにふるまいます。 複数のポート転送も指定でき、コマンドラインからこれを追加することも できます。特権ポートを転送できるのは root だけです。 .It Cm EscapeChar (エスケープ文字) エスケープ文字を設定します (デフォルトは .Ql ~ )。エスケープ文字はコマンドラインからも指定できます。 この引数には 1つの文字か、 .Ql ^ に1文字を付けたもの、あるいはエスケープ文字の使用をすべて禁止するなら .Dq none を指定します (これはその接続を、バイナリ データに対して透過にすることになります)。 .It Cm ForwardAgent (エージェント転送) 認証エージェントへの接続を、(それが存在する時は) リモートマシン上に 転送するかどうかを指定します。この引数の値は .Dq yes あるいは .Dq no でなければならず、デフォルトは .Dq no (エージェント転送をおこなわない) です。 +.Pp +認証エージェントの転送には注意が必要です。 +リモートホスト上で (エージェントの UNIX ドメインソケットに対する) +ファイルアクセス権限を無視できてしまうユーザがいる場合は、 +転送された接続を介してローカル側の +認証エージェントにアクセスできてしまうことになります。 +攻撃側は認証エージェントから鍵そのものを盗むことはできませんが、 +認証エージェントがもっている鍵に認証をおこなわせることはできます。 .It Cm ForwardX11 (X11 転送) X11 接続を自動的に安全な通信路へリダイレクトし、 .Ev DISPLAY を設定するかどうかを指定します。この引数の値は .Dq yes あるいは .Dq no でなければならず、デフォルトは .Dq no (X11 接続を転送しない) です。 +.Pp +X11 の転送には注意が必要です。 +リモートホスト上で (そのユーザの X 認証のための) ファイルアクセス権限を +無視できてしまうユーザがいる場合は、転送された接続を介してローカル側の +X11 ディスプレイにアクセスできてしまうことになります。 +すると攻撃側はキーストロークを盗み見るなどの行為が可能になってしまうかも +しれません。 .It Cm GatewayPorts (ポート転送の中継) ローカルからリモートへ転送されている (リモート→ローカルのポート転送) ポートに、他ホストからの接続を許すかどうかを指定します。 デフォルトでは、 .Nm ssh は転送されたローカルポートをループバックアドレス (127.0.0.1) に bind します。このため他の (訳注: サーバ以外の) ホストが 転送されたポートに接続することはできません。 .Cm GatewayPorts を使うと、 .Nm ssh は転送されたローカルポートをワイルドカードアドレス (0.0.0.0) に bind するようになります。これは他のホストもその転送されたポートに 接続できるということです。 この引数の値は .Dq yes または .Dq no で、デフォルトは .Dq no (転送されているポートに他ホストからの接続を許可しない) に設定されています。 .It Cm GlobalKnownHostsFile (大域的 known_host ファイル) そのホスト全体で .Pa /etc/ssh/ssh_known_hosts のかわりに使用するホスト鍵データベースファイルを指定します。 .It Cm HostbasedAuthentication (ホストベース認証) ホスト間認証を使った rhosts ベースの認証をおこなうかどうかを指定します。 とりうる引数の値は .Dq yes または .Dq no で、デフォルトは .Dq no (ホストベース認証を試みない) になっています。 このオプションはプロトコル バージョン 2 のみに適用され、 .Cm RhostsRSAAuthentication と似ています。 .It Cm HostKeyAlgorithms (ホスト間認証のアルゴリズム) プロトコル バージョン 2 において、ホスト間認証で使われる アルゴリズムを指定します。クライアントはここで指定された 優先順位のアルゴリズムを使って認証を試みます。 このオプションのデフォルトは .Dq ssh-rsa,ssh-dss です。 .It Cm HostKeyAlias (ホスト鍵のエイリアス) ホスト鍵データベースからホスト鍵を検索するとき、あるいは データベースにホスト鍵を保存するときに、実際のホスト名のかわりに 使われる名前を指定します。 このオプションは ssh 接続をトンネリングしているときや、 単一のホスト上で複数の sshd サーバを動かしているときなどに 便利です。 .It Cm HostName (実際のホスト名) 実際にログインするホスト名を指定します。デフォルトでは .Nm はコマンドラインで与えられたホスト名に接続しますが、 これを使うと、ホストのニックネームや省略形を使用することができます。 数字の IP アドレスでもかまいません (コマンドライン、 .Cm HostName キーワードの両方とも)。 .It Cm IdentityFile (identity ファイル) ユーザの RSA または DSA 認証用 identity (秘密鍵) を 読むファイルを指定します (デフォルトは、プロトコル バージョン 1 の場合 ユーザのホームディレクトリにある .Pa $HOME/.ssh/identity ファイルが、プロトコル バージョン 2 の場合は .Pa $HOME/.ssh/id_rsa および .Pa $HOME/.ssh/id_dsa が使われます)。 これに加えて、認証エージェントによって現れる identity も使われます。 ユーザのホームディレクトリを表すのにチルダ表記を使うこともできます。 設定ファイルでは複数の identity を指定することもでき、 この場合すべての identity が順に試されます。 .It Cm KeepAlive (接続を生かしておく) システムが相手のマシンに TCP keepalive メッセージを送るかどうかを 指定します。これが送られると、接続の異常終了や相手マシンの クラッシュが正しく通知されるようになります。 しかしこれを使うと、たとえ経路が一時的にダウンしていても 接続が死んでいるということになってしまい、これが邪魔になる場合もあります。 .Pp デフォルトは .Dq yes (keepalive を送る) です。そのため クライアントはネットワークがダウンするか、 リモートホストが落ちると通知してきます。 これはスクリプト中では重要であり、多くのユーザもこれを望んでいます。 .Pp Keepalive を禁止するには、この値を .Dq no にする必要があります。 .It Cm KerberosAuthentication (Kerberos 認証) Kerberos 認証をおこなうかどうか指定します。この引数の値は .Dq yes あるいは .Dq no です。 .It Cm KerberosTgtPassing (Kerberos TGT パス) Kerberos TGT がサーバを転送するかどうかを指定します。これは その Kerberos サーバが実際に AFS kaserver であるときのみ 機能します。この引数の値は .Dq yes あるいは .Dq no です。 .It Cm LocalForward (ローカル→リモート転送) ローカルマシンの TCP/IP ポートを、安全な通信路を経由して リモートマシン上から与えられた host:port に転送するよう指示します (訳注: -L オプションと同じ)。 最初の引数は転送するローカルホストのポートを、2番目の引数には転送先を .Ar host:port の形で指定します。 IPv6 アドレスはこれとは別の .Ar host/port という形式で指定します。ポート転送は複数指定することができ、 コマンドラインから追加指定することもできます。 特権ポートを転送できるのはスーパーユーザだけです。 .It Cm LogLevel (ログレベル) .Nm が出力するログの冗長性のレベルを指定します。 とりうる値は次のとおりです: QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG, DEBUG1, DEBUG2 および DEBUG3。 デフォルトでは INFO になっています。DEBUG と DEBUG1 は等価です。 DEBUG2、DEBUG3 はそれぞれさらに冗長なログになります。 .It Cm MACs (メッセージ認証コード) 使用する MAC (メッセージ認証コード) アルゴリズムの優先順位を指定します。 MAC アルゴリズムはプロトコル バージョン 2 で使われる、 データの改竄を防ぐ機構 (data integrity protection) です。 複数のアルゴリズムをカンマで区切って指定します。 デフォルトは .Dq hmac-md5,hmac-sha1,hmac-ripemd160,hmac-sha1-96,hmac-md5-96 の順になっています。 .It Cm NoHostAuthenticationForLocalhost (localhostでのホスト認証を抑制) このオプションはホームディレクトリがマシン間で共有されているときに 使います。このような状況ではそれぞれ別々のマシンで localhost のさす ホストが異なっているため、ユーザはホスト鍵が変わったという警告を 受けてしまいます (訳注: 別々のホスト鍵をもつマシンで同一の localhost ホスト鍵が共有されているため)。このオプションを使うと、相手が localhost のときにはホスト間認証を抑制することができます。 この引数がとりうる値は .Dq yes あるいは .Dq no です。 デフォルトでは、yes (相手が localhost でも鍵をチェックする) になっています。 .It Cm NumberOfPasswordPrompts (パスワード試行回数) パスワードを最高何回まで訊くかを指定します。 この回数を超えると認証は失敗します。 このキーワードには整数を指定する必要があります。 デフォルト値は 3 です。 .It Cm PasswordAuthentication (パスワード認証) パスワード認証をおこなうかどうかを指定します。この引数の値は .Dq yes または .Dq no です。デフォルトでは .Dq yes (パスワード認証をおこなう) になっています。 .It Cm Port (ポート番号) リモートホストに接続するときのポート番号を指定します。 デフォルトは 22 です。 .It Cm PreferredAuthentications (認証の優先順位) プロトコル 2 で試される認証の優先順位を指定します。 これによって、クライアントは特定の認証 ( .Cm keyboard-interactive など) をそれ以外の認証 ( .Cm password など) よりも優先して選ぶことができます。 このオプションのデフォルトは .Dq hostbased,publickey,keyboard-interactive,password の順になっています。 .It Cm Protocol (プロトコル) .Nm ssh がサポートすべきプロトコルのバージョンの優先順位を指定します。 とりうる値は .Dq 1 と .Dq 2 です。 複数のバージョンを 指定するときはカンマで区切ってください。 デフォルト値は .Dq 2,1 です。これは .Nm ssh がまず始めにバージョン 2 がサポートされているかどうかを調べ、 サーバがそれをサポートしていなかった場合に バージョン 1 を使用することを指示しています (訳注: もしサーバ側がバージョン 2 の認証をサポートしていた場合、 バージョン 2 での認証に失敗すると ssh は そこで終了します。バージョン 1 の認証は *おこなわない* ため、 注意してください) .It Cm ProxyCommand (プロキシ コマンド) サーバに接続するのに使用するコマンドを指定します。 コマンド文字列はこのキーワード以後、行末まで書くことができます。 コマンド文字列は .Pa /bin/sh によって実行されます。 コマンド文字列では、 .Ql %h は接続するホスト名に置換され、 .Ql %p はポート番号に置換されます。 コマンドは基本的に何でもよいのですが、標準入力から読み込み、 標準出力に書き込むようなものである必要があります。 これは最終的にサーバマシン上で動いている .Xr sshd 8 に接続するか、どこか別の場所で .Ic sshd -i を起動させるようにします。 ホスト鍵の管理は接続されているホストの HostName を使っておこなわれます (デフォルトでは、これはユーザが タイプした名前になります)。プロキシ コマンドを使うと、 .Cm CheckHostIP (ホスト IP アドレスの検査) は使用できませんので注意してください。 .Pp .It Cm PubkeyAuthentication (公開鍵認証) 公開鍵認証をおこなうかどうかを指定します。 このキーワードの引数は .Dq yes か .Dq no のどちらかです。 デフォルトでは .Dq yes (公開鍵認証をおこなう) になっています。 このオプションはプロトコル バージョン 2 のみに適用されます。 .It Cm RemoteForward (リモート→ローカル転送) リモートマシン上の TCP/IP ポートを、安全な通信路を経由して ローカルマシン上から与えられた host:post に転送するよう指示します (訳注: -R オプションと同じ)。 最初の引数は転送するリモートホストのポートを、 2番目の引数には転送先を .Ar host:port の形で指定します。 IPv6 アドレスはこれとは別の .Ar host/port という形式で指定します。ポート転送は複数指定することができ、 コマンドラインから追加指定することもできます。 特権ポートを転送できるのはスーパーユーザだけです。 .It Cm RhostsAuthentication (rhosts 認証) Rhosts ベースの認証をおこなうかどうかを指定します。この宣言は クライアント側にのみ影響し、セキュリティ的にまったくなんの 効果もないことに注意してください。 ほとんどのサーバでは RhostsAuthentication は 安全でないという理由で許可されていません ( RhostsRSAAuthentication を参照のこと)。 この引数の値は .Dq yes または .Dq no です。 デフォルトでは .Dq no (rhosts 認証をおこなわない) になっています。 -このオプションはプロトコル バージョン 1 のみに適用されます。 +このオプションはプロトコル バージョン 1 のみに適用され、 +この機能を使うためには +.Nm ssh +が setuid root されていて +.Cm UsePrivilegedPort +が +.Dq yes +に設定されている必要があります。 .It Cm RhostsRSAAuthentication (rhosts-RSA 認証) RSA ホスト認証を使った Rhosts ベースの認証を試みるかどうかを 指定します。 この引数の値は .Dq yes または .Dq no です。 デフォルトの値は .Dq no (rhosts-RSA 認証をおこなわない) です。 このオプションはプロトコル バージョン 1 のみに適用され、 これを使うには .Nm ssh を setuid root にしておくことが必要です。 .It Cm RSAAuthentication (RSA 認証) RSA 認証を使うかどうかを指定します。 この引数の値は .Dq yes または .Dq no です。RSA 認証は identity ファイルが存在するときか、 認証エージェントが動いているときのみ使用されます。 デフォルトは .Dq yes (RSA 認証をおこなう) です。 このオプションは プロトコル バージョン 1 にしか適用されないので注意してください。 .It Cm SmartcardDevice (スマートカード・デバイス) 使用するスマートカードのデバイスを指定します。 この引数には .Nm ssh がスマートカードと通信するときに使うデバイスを指定します。 スマートカードはユーザの RSA 秘密鍵を格納するのに使われます。 デフォルトではデバイスは何も指定されておらず、スマートカードの使用は 有効になっていません。 .It Cm StrictHostKeyChecking (厳格なホスト鍵チェック) このオプションが .Dq yes に設定されている場合、 .Nm ssh は決して .Pa $HOME/.ssh/known_hosts ファイルに自動的にホスト認証鍵を追加しません。 鍵が変更されているホストへの接続は拒否されます。 これはトロイの木馬攻撃に対する最大の防御となりますが、 .Pa /etc/ssh/ssh_known_hosts ファイルをきちんと更新していなかったり、新規のホストに頻繁に 接続するような状況だと邪魔になるかもしれません。 このオプションを使うとユーザは手で新しいホストの鍵を 追加しなければならなくなります。 このオプションが .Dq no に設定されている場合、 .Nm ssh は新しいホスト鍵をユーザの known_hosts ファイルに 自動的に追加します。 このオプションが .Dq ask に設定されていると、 新しいホスト鍵が追加されるのは、ユーザが 本当にそれを望んでいると確認できたときだけになります。 ホスト鍵が変更されているホストへの接続は拒否されます。 known_hosts ファイルに含まれているホスト鍵は いかなる場合でも自動的に検査されます。 このオプションがとりうる値は .Dq yes 、 .Dq no あるいは .Dq ask で、デフォルトは .Dq ask です。 .It Cm UsePrivilegedPort (特権ポートを使用する) 外に向けての接続をおこなうときに、 特権ポートを使用するかどうかを指定します。この引数の値は .Dq yes または .Dq no で、デフォルトは .Dq no になっています。 +.Dq yes +に設定した場合、 +.Nm ssh +は setuid root である必要があります。 注意: 旧式の sshd に対して .Cm RhostsAuthentication あるいは .Cm RhostsRSAAuthentication の認証が必要な場合は、このオプションを .Dq yes にする必要があります。 .It Cm User (ユーザ) ログインするユーザ名を指定します。これは異なるマシン上で 異なるユーザ名が使われている場合に便利です。 これでコマンドラインからわざわざユーザ名を与えなくてもすみます。 .It Cm UserKnownHostsFile (個人用 known_hosts ファイル) ホスト鍵データベースとして .Pa $HOME/.ssh/known_hosts 以外のファイルを使うときに指定します。 .It Cm VersionAddendum (バージョンに付加するもの) OS もしくはサイトに特化した修正を示すために、通常のバージョン文字列に 付け加える文字列を指定します。 +デフォルトは +.Dq FreeBSD-20021029 +です。 .It Cm XAuthLocation (xauth の位置) .Xr xauth 1 -プログラムの場所を指定します。デフォルトは +プログラムのフルパス名を指定します。デフォルトは .Pa /usr/X11R6/bin/xauth です。 .El .Sh 関連ファイル .Bl -tag -width Ds .It Pa $HOME/.ssh/config ユーザごとの個人用設定ファイルです。 ファイル形式は上で説明されています。 このファイルは .Nm ssh クライアントによって使われます。 このファイルはふつう特に秘密の情報は含んでいませんが、 しかし望ましいパーミッションとしては、そのユーザからは 読み/書き可能で、他人からはアクセス不可能にしておくのがよいでしょう。 .It Pa /etc/ssh/ssh_config システム全体にわたる設定ファイルです。このファイルはユーザの設定 ファイルでは指定されなかった値を提供し、また設定ファイルを 持たないユーザのためのデフォルトにもなります。このファイルは 誰にでも読み込み可能でなければいけません。 .El .Sh 作者 OpenSSH は Tatu Ylonen による、フリーな オリジナル版 ssh 1.2.12 リリースから派生したものです。 Aaron Campbell、 Bob Beck、 Markus Friedl、 Niels Provos、 Theo de Raadt および Dug Song が多くのバグをとり除き、 新しい機能をふたたび追加して OpenSSH をつくりました。 SSH プロトコル バージョン 1.5 および 2.0 のサポートは Markus Friedl の貢献によるものです。 .Sh 日本語訳 -新山 祐介 (yusuke @ cs . nyu . edu) 2002/6/24 (for 3.3p1) +新山 祐介 (yusuke @ cs . nyu . edu) 2002/9/28 (for 3.5p1) .Pp 当マニュアルページは氏のご好意により .Fx 日本語マニュアルに収録させていただいています。 翻訳についてのご意見、ご指摘がありましたら新山氏 (yusuke at cs . nyu . edu)、および .Fx jpman プロジェクト までお送りください。 .Sh 関連項目 .Xr ssh 1 diff --git a/ja_JP.eucJP/man/man5/sshd_config.5 b/ja_JP.eucJP/man/man5/sshd_config.5 index 30984c8cca..3a4d4c49bc 100644 --- a/ja_JP.eucJP/man/man5/sshd_config.5 +++ b/ja_JP.eucJP/man/man5/sshd_config.5 @@ -1,745 +1,822 @@ .\" -*- nroff -*- .\" .\" Author: Tatu Ylonen .\" Copyright (c) 1995 Tatu Ylonen , Espoo, Finland .\" All rights reserved .\" .\" As far as I am concerned, the code I have written for this software .\" can be used freely for any purpose. Any derived versions of this .\" software must be clearly marked as such, and if the derived work is .\" incompatible with the protocol description in the RFC file, it must be .\" called by a name other than "ssh" or "Secure Shell". .\" .\" Copyright (c) 1999,2000 Markus Friedl. All rights reserved. .\" Copyright (c) 1999 Aaron Campbell. All rights reserved. .\" Copyright (c) 1999 Theo de Raadt. All rights reserved. .\" .\" Redistribution and use in source and binary forms, with or without .\" modification, are permitted provided that the following conditions .\" are met: .\" 1. Redistributions of source code must retain the above copyright .\" notice, this list of conditions and the following disclaimer. .\" 2. Redistributions in binary form must reproduce the above copyright .\" notice, this list of conditions and the following disclaimer in the .\" documentation and/or other materials provided with the distribution. .\" .\" THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR .\" IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES .\" OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. .\" IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, .\" INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT .\" NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, .\" DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY .\" THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT .\" (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF .\" THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. .\" -.\" $OpenBSD: sshd_config.5,v 1.4 2002/06/22 16:45:29 stevesk Exp $ -.\" Japanese translation: $Id: sshd_config.5,v 1.1 2002-08-19 02:24:45 horikawa Exp $ +.\" $OpenBSD: sshd_config.5,v 1.13 2002/09/16 20:12:11 stevesk Exp $ +.\" Japanese translation: $Id: sshd_config.5,v 1.2 2002-12-30 05:47:52 horikawa Exp $ .\" by Yusuke Shinyama .\" -.\" %FreeBSD: src/crypto/openssh/sshd_config.5,v 1.5.2.3 2002/07/26 15:18:32 fanf Exp % +.\" %FreeBSD: src/crypto/openssh/sshd_config.5,v 1.9 2002/11/06 08:04:56 des Exp % .\" $FreeBSD$ .Dd September 25, 1999 .Dt SSHD_CONFIG 5 .Os .Sh 名称 .Nm sshd_config .Nd OpenSSH SSH デーモン 設定ファイル .Sh 書式 .Bl -tag -width Ds -compact .It Pa /etc/ssh/sshd_config .El .Sh 解説 .Nm sshd は .Pa /etc/ssh/sshd_config (あるいはコマンドラインから .Fl f オプションで指定したファイル) から設定を読み込みます。 このファイルの各行は ``キーワード 引数'' の形式になっており、 空行あるいは .Ql # で始まる行はコメントとみなされます。 .Pp 使用できるキーワードとその説明は以下の通りです (キーワードでは大文字小文字は区別されませんが、引数では区別されることに 注意してください): .Bl -tag -width Ds .It Cm AFSTokenPassing (AFS トークンパス) このオプションは AFS トークンがサーバに転送されるかどうか指定します。 デフォルトは .Dq no です。 .It Cm AllowGroups (許可するグループ) このキーワードにはいくつかのグループ名パターンをスペースで区切って 指定します。これが指定されると、ユーザの基本グループが そのパターンのどれかにマッチするグループであるようなユーザだけが ログインを許可されます。パターン中では .Ql \&* および .Ql ? がワイルドカードとして使えます。有効なのはグループの「名前」だけで、 数字で表されたグループ ID は認識されません。デフォルトでは、 ログインはすべてのグループに許可されています。 .Pp .It Cm AllowTcpForwarding (TCP 転送の許可) TCP 転送を許可するかどうか指定します。デフォルトは .Dq yes です。TCP 転送を禁止しても、ユーザにシェルのアクセスを禁止しない かぎりセキュリティの向上にはならないことに注意してください。 なぜならユーザはいつでも自前の転送プログラムをインストールして 使うことができるからです。 .Pp .It Cm AllowUsers (許可するユーザ) このキーワードにはいくつかのユーザ名パターンをスペースで区切って 指定します。これが指定されると、そのパターンのどれかにマッチする ユーザだけがログインを許可されます。パターン中では .Ql \&* および .Ql ? がワイルドカードとして使えます。有効なのはユーザの「名前」だけで、 数字で表されたユーザ ID は認識されません。デフォルトでは、 ログインはすべてのユーザに許可されています。 もしこのパターンが USER@HOST という形をとっている時は、 ユーザ名 USER と ホスト名 HOST を別々にチェックでき、 特定のホストからの特定のユーザのログインを制限することができます。 .Pp .It Cm AuthorizedKeysFile (authorized_keys ファイル) ユーザ認証のさいに使われる公開鍵を格納しているファイル名を 指定します。 .Cm AuthorizedKeysFile のファイル名中に %T が含まれている場合、その部分は接続の間 別のものに置換されます。%% は「%」1文字に置換されます。 %h は認証しようとしているユーザのホームディレクトリに置換され、 %u はそのユーザのユーザ名に置換されます。この後、 その絶対パスあるいはユーザのホームディレクトリからの相対パスが .Cm AuthorizedKeysFile に渡されます。デフォルトでの値は .Dq .ssh/authorized_keys となっています。 .It Cm Banner (バナー) 司法管区によっては、法的な保護を受けるためには 認証の前に警告メッセージを送ったほうがよい場合があります。 ここで指定されたファイルの内容は、認証が許可される前に リモートユーザに提示されます。 このオプションは プロトコル バージョン 2 でのみサポートされています。 デフォルトでは、バナーは表示されません。 .Pp .It Cm ChallengeResponseAuthentication (チャレンジ・レスポンス認証) チャレンジ・レスポンス認証を許可するかどうか指定します。 .Xr login.conf 5 に記されているすべての認証形式が使えます。 +特に +.Fx +では、PAM +.Xr ( pam 3 +参照) を認証に使用するかを制御します。 +これは、 +.Cm PasswordAuthentication +および +.Cm PermitRootLogin +の効果に影響します。 +variables. デフォルトは .Dq yes です。 .It Cm Ciphers (SSH2の暗号化アルゴリズム) プロトコル バージョン 2 で許可される暗号化アルゴリズムを 指定します。複数のアルゴリズムを指定する場合は、 カンマで区切ってください。 デフォルトは .Pp .Bd -literal ``aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,arcfour, aes192-cbc,aes256-cbc'' .Ed です。 .It Cm ClientAliveInterval (クライアントの生存チェック間隔) .Nm sshd は一定時間ごとに、 暗号化された通信路を経由してクライアントに応答を要求するメッセージ (client alive message) を送ります。 その際、何もデータが送られてこなかったらタイムアウトする 時間を秒数で指定します。デフォルトの値は 0 で、 これはメッセージを送らないことを意味します。 このオプションは プロトコル バージョン 2 でのみサポートされています。 .It Cm ClientAliveCountMax (クライアントの生存チェック最大カウント数) .Nm sshd が無反応のクライアントに対して client alive message (上記参照) を送ってみる最大数を指定します。 client alive message に対する応答が連続してこの回数だけなかった場合、 .Nm sshd は接続を切り、セッションを終了します。 client alive message は、 .Cm KeepAlive (下記) とはまったく違うことに注意してください。 client alive message は暗号化された経路を介して送られるので、 偽造されることはありません。 .Cm KeepAlive によって設定される TCP の keepalive オプションは 偽造される可能性があります。client alive のメカニズムは クライアントあるいはサーバが、いつ接続が切れたのかを 知りたいときに役立ちます。 .Pp デフォルトの値は 3 です。もし .Cm ClientAliveInterval (上記) が 15 に設定され、 .Cm ClientAliveCountMax がデフォルトのままである場合、これに反応できない ssh クライアントは およそ 45秒後に接続が切られます。 .It Cm Compression 圧縮を許可するかどうかを指定します。 この引数がとりうる値は .Dq yes または .Dq no です。デフォルトでは .Dq yes (圧縮を許可する) になっています。 .It Cm DenyGroups (拒否するグループ) このキーワードにはいくつかのグループ名パターンをスペースで区切って指定します。 ユーザの基本グループがこのパターンのどれかに マッチするユーザはログインを禁止されます。パターン中では .Ql \&* および .Ql ? がワイルドカードとして使えます。有効なのは グループの「名前」だけで、数字で表されたグループ ID は 認識されません。デフォルトでは、 ログインはすべてのグループに許可されています。 .Pp .It Cm DenyUsers (拒否するユーザ) このキーワードにはいくつかのユーザ名パターンをスペースで区切って 指定します。これが指定されると、 このパターンのどれかにマッチするユーザはログインを禁止されます。 .Ql \&* および .Ql ? がワイルドカードとして使えます。 有効なのはグループの「名前」だけで、数字で表されたグループ ID は 認識されません。デフォルトでは、ログインはすべてのユーザに許可されています。 もしこのパターンが USER@HOST という形をとっている時は、 ユーザ名 USER と ホスト名 HOST を別々にチェックでき、 特定のホストからの特定のユーザのログインを制限することができます。 .It Cm GatewayPorts (ポート中継の許可) リモートホストがクライアント側に転送されたポートに接続することを 許可するかどうか指定します。デフォルトでは、 .Nm sshd はリモート転送ポートをループバックアドレスに bind します。 これは他のリモートホストが、転送されたポートに接続してしまうのを 防いでいます。 .Cm GatewayPorts は .Nm sshd にリモート転送ポートをワイルドカードアドレスに bind させるときに使います。 これによってリモートホストが転送されたポートに接続できるようになります。 この引数の値は .Dq yes あるいは .Dq no です。デフォルトは .Dq no になっています。 .It Cm HostbasedAuthentication (ホストベース認証の許可) 公開鍵ホスト認証が成功したときに、 rhosts あるいは /etc/hosts.equiv 認証を許可するかどうか 指定します (ホストベース認証)。 このオプションは .Cm RhostsRSAAuthentication (RhostsRSA 認証の許可) に似ており、プロトコル バージョン 2 のみに作用します。 デフォルトの値は .Dq no になっています。 .It Cm HostKey (ホスト鍵) SSH で使われる、ホスト秘密鍵が格納されているファイルを指定します。 デフォルトでは、プロトコル バージョン 1 用の鍵が .Pa /etc/ssh/ssh_host_key であり、プロトコル バージョン 2 用の鍵が .Pa /etc/ssh/ssh_host_dsa_key です。 このファイルがグループあるいは他人からアクセス可能になっていると、 .Nm sshd はその使用を拒絶するので注意してください。 複数のホスト鍵を使うことも可能です。 .Dq rsa1 鍵はバージョン 1 に使われ、 .Dq dsa または .Dq rsa はバージョン 2 の SSH プロトコルに使われます。 .It Cm IgnoreRhosts (rhosts の無視) .Cm RhostsAuthentication , .Cm RhostsRSAAuthentication または .Cm HostbasedAuthentication の各認証で、 .Pa .rhosts および .Pa .shosts ファイルを使わないようにします。 .Pp この状態でも、 .Pa /etc/hosts.equiv および .Pa /etc/ssh/shosts.equiv は依然として有効です。デフォルトでは .Dq yes になっています。 .It Cm IgnoreUserKnownHosts (ユーザ用 known_hosts の無視) .Cm RhostsRSAAuthentication または .Cm HostbasedAuthentication の各認証で、ユーザの .Pa $HOME/.ssh/known_hosts ファイルを使わないようにします。 デフォルトは .Dq no です。 .It Cm KeepAlive (接続を生かしておく) システムが相手のマシンに TCP keepalive メッセージを送るかどうか 指定します。これが送られると、接続の異常終了や相手マシンの クラッシュが正しく通知されるようになります。 しかしこれを使うと、たとえ経路が一時的にダウンしていても 接続が死んでいるということになってしまい、これが邪魔になる場合もあります。 その一方で、もし keepalive が送られないとすると、セッションは サーバ上で永久に残ってしまことがあり、 .Dq 幽霊 ユーザを居座らせてサーバ資源を消費することがあります。 .Pp デフォルトは .Dq yes (keepalive を送る) です。そのため クライアントはネットワークがダウンするか、 リモートホストがクラッシュすると通知してきます。 これは永久に残るセッションを防ぎます。 .Pp Keepalive を禁止するには、この値を .Dq no にする必要があります。 .It Cm KerberosAuthentication (Kerberos 認証) Kerberos 認証をおこなうかどうか指定します。 この認証は Kerberos チケットか、あるいはもし .Cm PasswordAuthentication が yes になっている場合なら、ユーザが入力して Kerberos KDC 経由で批准されたパスワードが使われます。 このオプションを使うには、サーバに KDC のアイデンティティを 批准するための Kerberos servtab が必要です。 デフォルトでは .Dq no になっています。 .It Cm KerberosOrLocalPasswd (Kerberosあるいはローカルパスワード) これが指定されている場合、Kerberos 経由のパスワード認証が 失敗すると、そのパスワードは .Pa /etc/passwd などの別のローカルな機構によって確認されます。デフォルトは .Dq yes です。 .It Cm KerberosTgtPassing (Kerberos TGT パス) Kerberos TGT をサーバに転送してもよいかどうか指定します。デフォルトは .Dq no です。なぜなら、これがまともに動くのは Kerberos KDC が 実際の AFS kaserver であるときだけだからです。 .It Cm KerberosTicketCleanup (Kerberos チケット自動除去) ユーザのチケット用キャッシュをログアウト時に自動的に消去するかどうか 指定します。デフォルトは .Dq yes です。 .It Cm KeyRegenerationInterval (鍵の再生成間隔) プロトコル バージョン 1 では、サーバ鍵は (一度でも使われると) ここで 指定された間隔ごとに自動的に再生成されます。このように鍵を再生成する 目的は、あとでそのマシンに侵入して盗聴したセッションを解読されたり、 鍵を盗まれたりするのを防ぐためです。この鍵はどこにも格納されません。 値としてゼロを指定すると、鍵はまったく再生成されなくなります。 デフォルトでは 3600 (秒) になっています。 .It Cm ListenAddress (接続受付アドレス) .Nm sshd が接続を受けつける (listen する) ローカルアドレスを指定します。 ここでは以下の形式が使えます: .Pp .Bl -item -offset indent -compact .It .Cm ListenAddress .Sm off .Ar host No | Ar IPv4_addr No | Ar IPv6_addr .Sm on .It .Cm ListenAddress .Sm off .Ar host No | Ar IPv4_addr No : Ar port .Sm on .It .Cm ListenAddress .Sm off .Oo .Ar host No | Ar IPv6_addr Oc : Ar port .Sm on .El .Pp .Ar port が指定されていないときは、 .Nm sshd はそのアドレスで、それまでの .Cm Port オプションで指定されたすべてのポートで接続を受けつけます。 デフォルトではすべてのローカルアドレスに対して 接続を受けつけるようになっています。 .Cm ListenAddress 項目は複数指定してもかまいません。また .Cm Port オプションは、ポートつきでないアドレス指定に対しては このオプションよりも前に指定しておく必要があります。 .It Cm LoginGraceTime (ログイン猶予時間) ユーザがここで指定された時間内にログインできないと、 サーバは接続を切ります。この値をゼロにすると、時間制限はなくなります。 -デフォルトの値は 120 (秒) です。 +デフォルトの値は 120 秒です。 .It Cm LogLevel (ログレベル) .Nm sshd が出力するログメッセージの冗長性レベルを指定します。 とりうる値は次のとおりです: QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG, DEBUG1, DEBUG2 および DEBUG3。 デフォルトでは INFO です。DEBUG と DEBUG1 は等価です。 DEBUG2、DEBUG3 はそれぞれさらに冗長なログになります。 DEBUG レベル以上のログはユーザのプライバシーを侵害するので、 勧められるものではありません。 .It Cm MACs (メッセージ認証コード) 使用する MAC (メッセージ認証コード) アルゴリズムの優先順位を指定します。 MAC アルゴリズムはプロトコル バージョン 2 で使われる、 データの改竄を防ぐ機構 (data integrity protection) です。 複数のアルゴリズムをカンマで区切って指定します。 デフォルトは .Dq hmac-md5,hmac-sha1,hmac-ripemd160,hmac-sha1-96,hmac-md5-96 の順になっています。 .It Cm MaxStartups (最大起動数) 認証されていない段階の接続を .Nm sshd デーモンが最大でどれだけ受けつけるかを指定します。 この値を超えた (認証されていない段階の) 接続は捨てられます。 この状態は (すでに接続したクライアントの) 認証が成功するか、その .Cm LoginGraceTime (ログイン猶予時間) が切れるまで続きます。 デフォルトではこの数は 10 です。 .Pp もうひとつの方法は、早いうちからランダムに接続を拒否するよう 指定することです。これはこのオプションにコロンで区切った 3つの値を 与えることによりおこないます。この値は .Dq start:rate:full (``開始時:確率:最大数'') の形をとります (例: "10:30:60" など)。 .Nm sshd は認証されていない段階の接続が .Dq start (この例では 10) 個を超えると、これ以後の接続要求を .Dq rate/100 (この例では 30%) の確率で拒否しはじめます。この確率は .Dq full (この例では 60) 個の接続が来るまで線形に増えつづけ、 最大数に達した時点でそれ以降すべての接続を拒否するようになります。 -.It Cm PAMAuthenticationViaKbdInt (キーボード対話を使ったPAM認証) -PAM のチャレンジ・レスポンス認証を許可するかどうか指定します。 -このオプションでほとんどの PAM チャレンジ・レスポンス認証が -使えますが、この場合 .Cm PasswordAuthentication (パスワード認証) が禁止されているかどうかにかかわらず、 パスワード認証も許可されます。 デフォルトでは .Dq no になっています。 .It Cm PasswordAuthentication (パスワード認証) パスワード認証を許可するかどうか指定します。デフォルトでは .Dq yes になっています。 +.Cm ChallengeResponseAuthentication +が +.Dq yes +であり、 +.Nm sshd +の PAM 認証ポリシに +.Xr pam_unix 8 +が含まれる場合、 +.Cm PasswordAuthentication +の値に関係なく、チャレンジ・レスポンス機構によるパスワード認証が許可されます。 .It Cm PermitEmptyPasswords (空のパスワードを許可) パスワード認証が許可されているとき、パスワード文字列が空の アカウントに対してサーバがログインを許可するかどうか指定します。 デフォルトは .Dq no です。 .It Cm PermitRootLogin (root ログイン許可) .Xr ssh 1 を使って、root がログインできるかどうか指定します。この引数の値は .Dq yes 、 .Dq without-password (パスワード認証なし)、 .Dq forced-commands-only (強制コマンドのみ)、あるいは .Dq no のいずれかです。 のいずれかになります。デフォルトは .Dq no -です。このオプションを +です。 +.Cm ChallengeResponseAuthentication +が +.Dq yes +の場合、 +.Cm PermitRootLogin +が +.Dq without-password +に設定されていたとしても、root ユーザはそのパスワードで許可されます。 +このオプションを .Dq without-password にすると、root だけパスワード認証ではログインできなくなります。 .Pp このオプションを .Dq forced-commands-only にすると、root は公開鍵認証を使ってログインできますが、その鍵に .Ar command オプションが指定されている場合にかぎります (これは通常の root ログインを許可していなくても、 リモートバックアップをとりたいときなどに有用です)。 root に対してはこれ以外の認証方法はすべて禁止になります。 .Pp このオプションを .Dq no にすると、root のログインは許可されません。 +.It Cm PermitUserEnvironment (ユーザの環境変数変更を許可する) +.Nm sshd +が +.Pa ~/.ssh/environment +ファイルおよび +.Pa ~/.ssh/authorized_keys +における +.Cm environment= +オプションを処理すべきかどうかを指定します。 +デフォルトでは +.Dq no +です。 +環境変数の変更は、ユーザに +.Ev LD_PRELOAD +などの設定を使った +ある種のアクセス制限を回避させてしまう可能性があります。 .It Cm PidFile (pid ファイル) .Nm sshd デーモンのプロセス ID を格納するファイルを指定します。 デフォルトでは .Pa /var/run/sshd.pid になっています。 .It Cm Port (ポート番号) .Nm sshd が接続を受けつける (listen する) ポート番号を指定します。 デフォルトは 22 です。複数指定することも可能です。 .Cm ListenAddress の項も参照してください。 .It Cm PrintLastLog (LastLog の表示) ユーザが対話的にログインしたとき、 そのユーザが前回ログインした日付と時刻を表示するかどうか指定します。 デフォルトでは .Dq yes になっています。 .It Cm PrintMotd (motd の表示) ユーザが対話的にログインしたとき、 .Pa /etc/motd (今日のお知らせ) ファイルの内容を表示するかどうか指定します。 (システムによっては、これはシェルや .Pa /etc/profile に相当するものが表示します)。デフォルトは .Dq yes です。 .It Cm Protocol (プロトコル) サポートするプロトコルのバージョンを指定します。 とりうる値は .Dq 1 と .Dq 2 です。複数のバージョンをカンマで区切って指定することもできます。 デフォルトは .Dq 2,1 です。 +ここでのプロトコルの順番は、優先度を指定するものではないことに +注意してください。なぜなら複数のプロトコルがサーバで使用可能な場合、 +選択するのはクライアント側だからです。よって +.Dq 2,1 +という指定は、 +.Dq 1,2 +と同じです。 .It Cm PubkeyAuthentication (公開鍵認証) 公開鍵認証を許可するかどうか指定します。 デフォルトは .Dq yes です。 このオプションは プロトコル バージョン 2 にのみ適用されることに 注意してください。 .It Cm RhostsAuthentication (rhosts 認証) rhosts や .Pa /etc/hosts.equiv だけを使った認証でログインを許可して しまってもよいかどうか指定します。 これは安全でないため、ふつうは許可すべきではありません。 かわりに .Cm RhostsRSAAuthentication (rhosts-RSA 認証) を使うべきです。こちらは通常の rhosts や .Pa /etc/hosts.equiv 認証に加えて、RSA ベースのホスト間認証をおこないます。 デフォルトは .Dq no です。 このオプションはプロトコル バージョン 1 にのみ 適用されることに注意してください。 .It Cm RhostsRSAAuthentication (rhosts-RSA 認証) RSA ホスト間認証が成功しているとき、rhosts や .Pa /etc/hosts.equiv を使った認証をおこなってよいかどうか指定します。デフォルトは .Dq no です。 このオプションはプロトコル バージョン 1 にのみ 適用されることに注意してください。 .It Cm RSAAuthentication (RSA 認証) 純粋な RSA 認証を許可するかどうかを指定します。デフォルトは .Dq yes になっています。このオプションはプロトコル バージョン 1 にのみ 適用されることに注意してください。 .It Cm ServerKeyBits (サーバ鍵のビット数) プロトコル バージョン 1 で短期的に使われるサーバ鍵の ビット数を指定します。 最小値は 512 で、デフォルトは 768 です。 .It Cm StrictModes (厳格なモード) Specifies whether .Nm sshd がログインを許可する前に、ユーザのファイルおよび ホームディレクトリの所有権とパーミッションをチェックすべきか どうかを指定します。これはふつう初心者が、しばしば自分の ディレクトリを誰でも書き込めるようにしてしまう事故を防ぐために 有効です。デフォルトでは .Dq yes になっています。 .It Cm Subsystem (サブシステム) 外部サブシステム (ファイル転送デーモンなど) を設定します。 このオプションへの引数にはサブシステム名と、そのサブシステムに 要求があったとき実行されるコマンドを与えます。 .Xr sftp-server 8 はファイル転送サブシステム .Dq sftp を実装したものです。デフォルトではサブシステムは 何も定義されていません。このオプションは プロトコル バージョン 2 にのみ適用されることに注意してください。 .It Cm SyslogFacility (syslog 分類コード) .Nm sshd が出力するログメッセージで使われるログの分類コード (facility) を指定します。とりうる値は次のとおりです: DAEMON, USER, AUTH, LOCAL0, LOCAL1, LOCAL2, LOCAL3, LOCAL4, LOCAL5, LOCAL6, LOCAL7。デフォルトは AUTH です。 .It Cm UseLogin (login の使用) 対話的ログインセッションのさい、 .Xr login 1 プログラムを使うかどうかを指定します。 デフォルトでは .Dq no になっています。 対話的でないリモートコマンド実行のときに .Xr login 1 が使われることは決してありません。また、これが許可されていると .Cm X11Forwarding (X11 転送) は許可されなくなるということに注意してください。 なぜなら、 .Xr login 1 は .Xr xauth 1 クッキーの扱いを知らないからです。 .Cm UsePrivilegeSeparation が指定されている場合は、認証のあとで禁止されます。 .It Cm UsePrivilegeSeparation (root 権限を分離) .Nm sshd が、受けつけるネットワークトラフィックを処理するために root 権限を分離するかどうかを指定します。 これは root 権限をもたない子プロセスをつくることによって おこなわれます。認証が成功すると、そのユーザの権限をもつ 別のプロセスが新たに作られます。これの目的は、まずそうな部分を root 権限をもたないプロセスのみに限定することによって、 root 権限による被害の拡大を防ぐためです。 デフォルトでは -.Dq no (root 権限を分離しない) +.Dq yes (root権限を分離する) になっています。 .It Cm VerifyReverseMapping (逆引きチェック) このオプションを .Dq yes にすると、 .Nm はリモートホスト名を逆引きしたあとにそのホスト名を解決 (resolve) しなおして、 本当に同じ IP アドレスになっているかどうかを検証します。 デフォルトは .Dq no です。 .It Cm VersionAddendum (バージョンに付加するもの) OS もしくはサイトに特化した修正を示すために、通常のバージョン文字列に 付け加える文字列を指定します。 +デフォルトは +.Dq FreeBSD-20021029 +です。 .It Cm X11DisplayOffset (X11 ディスプレイ番号のオフセット値) .Nm sshd が X11 転送をするときに最初に使われるディスプレイ番号を指定します。 これは .Nm sshd が X11 転送で使うディスプレイ番号が、 本物の X サーバのディスプレイ番号と衝突してしまうのを防ぐためです。 デフォルトの値は 10 です。 .It Cm X11Forwarding (X11 転送) -X11 転送を許可するかどうかを指定します。デフォルトは +X11 転送を許可するかどうかを指定します。 +この引数の値は +.Dq yes +あるいは .Dq no +で、デフォルトは +.Dq yes です。 -X11 転送を禁止してもセキュリティを上げるわけでは全然ないことに -注意してください。 -なぜならユーザはいつでも自前の転送プログラムをインストールして -使うことができるからです。 +.Pp +X11 転送が許可されており、転送された +.Nm sshd +のディスプレイが任意のアドレス (下の +.Cm X11UseLocalhost +参照) からの接続を受けつけるように設定されていると、 +サーバやクライアントのディスプレイは余計な危険に +さらされることになります。なので、デフォルトではそうなっていません。 +また、認証におけるなりすまし、認証データの確認や差し替えなどが +クライアント側で起こります。X11 転送を使うセキュリティ上のリスクは、 +ssh クライアントが転送を要求したときに、クライアント上の X11 サーバが +攻撃にさらされるかもしれないということです ( +.Xr ssh_config 5 +の +.Cm ForwardX11 +注意書きを参照)。 +システム管理者はクライアントがうっかり X11 を転送して、 +余計な危険性を増すことのないように、これをかならず +.Dq no +に設定させるような立場をとることもできます。 +.Pp +注意: X11 転送機能を禁止しても、ユーザが X11 の通信を転送できなくなる +というわけではありません。なぜならユーザはいつでも自前の転送プログラムを +インストールして使うことができるからです。 .Cm UseLogin が許可されていると、X11 転送は自動的に禁止されます。 .It Cm X11UseLocalhost (X11 で localhost のみを許可) .Nm sshd が転送された X11 サーバをループバックアドレス (localhost) に bind するかどうかを指定します。デフォルトでは、 .Nm sshd は転送された X11 をループバックアドレスに bind し、環境変数 .Ev DISPLAY のホスト名の部分を .Dq localhost に設定します。 こうすると、(訳注: SSHサーバ以外の) リモートホストから 転送された Xサーバに接続することはできなくなります。 しかし、ふるい X11 クライアントだと、 この設定では動作しないことがあります。 そのようなときは .Cm X11UseLocalhost を .Dq no に設定して、転送された X サーバがワイルドカードアドレスに bind されるようにできます。 このオプションの引数は .Dq yes あるいは .Dq no です。デフォルトでは、これは .Dq yes (localhost にしか bind しない) になっています。 .It Cm XAuthLocation (xauth の位置) .Xr xauth 1 -プログラムの位置を指定します。デフォルトでは +プログラムのフルパス名を指定します。デフォルトでは .Pa /usr/X11R6/bin/xauth になっています。 .El .Ss 時間の表現 .Pp .Nm sshd のコマンドライン引数や設定ファイルオプションで 時間を指定する場合、次の構文を並べた書式を使うことができます: .Sm off -.Ar time Oo Ar qualifier Oc +.Ar time Op Ar qualifier .Sm on .Pp ここで .Ar time は正の整数であり、 .Ar qualifier は次のうちのどれかです: .Pp .Bl -tag -width Ds -compact -offset indent -.It Cm +.It Cm <なし> seconds (秒) .It Cm s | Cm S seconds (秒) .It Cm m | Cm M minutes (分) .It Cm h | Cm H hours (時間) .It Cm d | Cm D days (日) .It Cm w | Cm W weeks (週) .El .Pp これらの形式を組み合わせることもでき、 その場合は各形式の時間が合計されます。 .Pp 時間表現の例: .Pp .Bl -tag -width Ds -compact -offset indent .It 600 600 秒 (10 分) .It 10m 10 分 .It 1h30m 1 時間 30 分 (90 分) .El .Sh 関連ファイル .Bl -tag -width Ds .It Pa /etc/ssh/sshd_config .Nm sshd の設定ファイルです。このファイルに書き込めるのは root だけでなくてはいけませんが、読むのは誰でもできるように しておいたほうがよいでしょう (必須ではありませんが)。 .El .Sh 作者 OpenSSH は Tatu Ylonen による、フリーな オリジナル版 ssh 1.2.12 リリースから派生したものです。 Aaron Campbell、 Bob Beck、 Markus Friedl、 Niels Provos、 Theo de Raadt および Dug Song が多くのバグをとり除き、 新しい機能をふたたび追加して OpenSSH をつくりました。 SSH プロトコル バージョン 1.5 および 2.0 のサポートは Markus Friedl の貢献によるものです。 Niels Provos および Markus Friedl が root特権分離のサポートに 貢献しました。 .Sh 日本語訳 -新山 祐介 (yusuke @ cs . nyu . edu) 2002/6/24 (for 3.3p1) +新山 祐介 (yusuke @ cs . nyu . edu) 2002/10/15 (for 3.5p1) .Pp 当マニュアルページは氏のご好意により .Fx 日本語マニュアルに収録させていただいています。 翻訳についてのご意見、ご指摘がありましたら新山氏 (yusuke at cs . nyu . edu)、および .Fx jpman プロジェクト までお送りください。 .Sh 関連項目 .Xr sshd 8