ユーザから見た認証の流れユーザ名・パスワードを入力します。見てワンタイムパスワードである6桁の数値を入力します。数字は30秒ごとに新しく生成され、それまでの数値は無効になります。今回は以下のソフトを利用しています。モジュールに連携されて正しいワンタイムパスワードか確認できます。以下の環境となっている事を確認して下さい。ログインできるようになっている。ログインして、以下のコマンドを実行します。経由の認証を許可するグループを作成します。登録内容の説明として「ユーザ名@ホスト名」が表示されるため、ホスト名には分かりやすい名前を付けておきます。※設定内容は環境に応じて必ず変更するようにして下さい。「hogehoge.example.com」にはホスト名を指定して下さい。サーバ等で名前解決できる必要はありません。アドレスを指定して下さい。設定PAMを使って認証を行うため、rootユーザーで動作させる必要があります。設定を変更して、rootユーザーで起動するように変更を行います。使うように設定します。モジュールを使うように設定します。プロトコルでの接続を受け付けるサブネットと接続パスワードを設定します。※設定内容は環境に応じて必ず変更するようにして下さい。ネットワークアドレス等を指定して下さい。「XXXXXXXX」は複雑なパスワードを生成して指定して下さい。Authenticatorのユーザ設定を行う必要があります。※「user001」には実際のユーザ名を指定して下さい。/usr/local/bin/google-authenticatorコマンドを実行すると、以下の通り幾つか英語で質問が表示されます。スキャンして登録して下さい。※更新しなければ表示されているQRコードでログインできません。(y/n)(同じ認証トークンを複数回利用するのを禁止しますか?この制限により、30秒に1回しかログインできなくなりますが、中間者攻撃に気づいたり禁止できる可能性が高まります。(y/n)(デフォルトでは、トークンは30秒ごとになっており、クライアントとサーバの時刻がずれていても対応できるように、現在時刻より1つ前や後のトークンでも許可します。時刻同期の状況が悪く問題があれば、デフォルトの1分半のウィンドウを約4分まで広げることができます。(y/n)(ログインするコンピュータが総当たり攻撃に対して保護されていなければ、認証モジュールで回数制限を行うことができます。この制限ではデフォルトで30秒に3回より多くログインを試すことができないよう制限します。コードを複数のスマートフォンで登録する事で実現できます。コードを生成して読み込ませます。ファイル削除して下さい。これでワンタイムパスワードが使えなくなります。ファイル名を変えておくことでアクセスが出来なくなるため、スマートフォンを紛失した際にはまずファイルのリネームを行うという運用も良いかと思います。使う前に、単体で認証テストを行っておきましょう。※「user001」には実際のユーザ名を指定して下さい。表示されたワンタイムパスワードを入力して下さい。設定したパスワードを入力して下さい。サーバを参照するように設定します。