Changes between Version 17 and Version 18 of HowTo/SakuraVpsSetup2

Timestamp:

May 31, 2012, 5:29:28 PM (12 years ago)

Author:

村山 俊之

Comment:

--

HowTo/SakuraVpsSetup2

@@ -500 +500 @@
 
 $ exit
-}}}
-
-=== パスワードを暗号化 ===
-
-前回、メールアカウントのパスワードは平文で保存するしかないものと思い、平文で保存していたが、暗号化 (正確には salt を付けてハッシュ関数で符号化) して保存しても運用できそうな目処が立ったので、暗号化することにした。
-
- 1. mailusers DB にアクセス。
-{{{
+(...他のユーザーも)
+}}}
+
+そして mailusers DB に保存されている uid と gid も新しいものに修正しますよと。
+{{{
+$ grep toshiyuki.murayama /etc/passwd
+(uid と gid をチェック...)
+
 $ mysql -u mailusers -p mailusers
-}}}
- 1. users テーブルに、符号化されたパスワードのためのフィールドと、 salt のためのフィールドを追加。ハッシュ関数は SHA1、 salt は 5文字とする。
-{{{
-mysql> alter table users add (passwd char(40), salt char(5));
-}}}
- 1. salt を設定する。ランダムな 5文字を設定する方法はいくつか考えられるかも知れないが、とりあえず以下のような感じでやってみた。ちなみに plain_passwd が NULL になっているアカウントは、届いたメールを転送するだけで送受信に使う予定のないアカウントなので、 salt は設定していない。
-{{{
-mysql> update users set salt = substring(encrypt(rand()), 3, 5) where plain_passwd is not null;
-}}}
- 1. salt を元に、平文のパスワードを符号化する。 SHA1() 関数も CONCAT() 関数も引数が NULL ならよしなに NULL を返してくれるので、 WHERE 句は不要。
-{{{
-mysql> update users set passwd = sha1(concat(salt, plain_passwd));
-}}}
- 1. 平文のパスワードはもはや不要。捨ててしまえ。
-{{{
-mysql> alter table users drop plain_passwd;
-}}}
+
+mysql> update users set uid=XXX, gid=XXX where userid='toshiyuki.murayama';
+mysql> quit
+
+(...他のユーザーも)
+}}}
+
+この辺の作業は流石にターミナル 2つ開いてやった方がいいかもね。あんまりユーザー数多いならスクリプト書いた方がいいかも…。
 
 === POP3S の設定 ===
@@ -536 +527 @@
 }}}
 
-バージョンが変わっているので、設定ファイルのパスも微妙に変わってた。
+バージョンが変わっているので、設定ファイルの書き方ががらっと変わってる。設定項目毎にファイルが切り分けられ、ようするに httpd.conf のなれの果てみたいになっている。大本の設定ファイルは以下だが、
 
 {{{
@@ -542 +533 @@
 }}}
 
-もっとも、このファイルの中で設定すべき項目は以下ぐらい。
+このファイルの中で設定すべき項目は以下ぐらい。
 
 {{{
@@ -551 +542 @@
 }}}
 
-POP3 プロトコルは受け付けたくないので、 conf.d/10-master.conf を編集。
+POP3s プロトコル以外は受け付けたくないので、 conf.d/10-master.conf を編集。
 
 {{{
@@ -592 +583 @@
 #}
 }}}
+
+Maildir 形式の設定は conf.d/10-mail.conf にて。
+
+{{{
+# vim /etc/dovecot/conf.d/10-mail.conf
+
+mail_location = maildir:~/Maildir
+}}}
+
+認証周りの設定は conf.d/10-auth.conf にて。
+
+{{{
+# vim /etc/dovecot/conf.d/10-auth.conf
+
+# 平文認証。通信路は SSL で保護されているので無問題。むしろ生のパスワードが渡されないと SQL で認証できない。
+auth_mechanisms = plain
+
+# 認証には SQL を使用するので、挿入するファイルを変更
+#!include auth-system.conf.ext   # ←コメントアウト
+!include auth-sql.conf.ext       # ←こっちのコメントアウトを外す
+}}}
+
+それから SSL 関連の設定は conf.d/10-ssl.conf にて行う。
+
+{{{
+# vim /etc/dovecot/conf.d/10-ssl.conf
+
+ssl = yes
+ssl_cert = </etc/httpd/conf/ssl/developer.harapeko.jp.crt
+ssl_key = </etc/httpd/conf/ssl/developer.harapeko.jp.key
+ssl_ca = </etc/httpd/conf/ssl/intermediate.crt
+}}}
+
+ここまでの設定に関しては、以下のサイトが参考になった。
+
+ * [http://d.hatena.ne.jp/defiant/20110421/1303362615 dovecot-2.0.x ハマリ道 - defiantの日記]
+
+そして、 SQL 認証に関する設定。これは conf.d/10-auth.conf が include しているファイル conf.d/auth-sql.conf.ext の中で、更に conf.d/dovecot-sql.conf.ext ファイルを、変数が設定されたファイルとして参照しているので、そいつを作成してその中に記述する。
+
+{{{
+# vim /etc/dovecot/conf.d/dovecot-sql.conf.ext
+
+driver = mysql
+connect = host=localhost dbname=mailusers user=mailusers password=パスワード
+password_query = select userid as username, domain, plain_passwd as password from users where userid = '%n' and domain = '%d'
+user_query = select home, uid, gid from users where userid = '%n' and domain = '%d'
+}}}
+
+以上で設定は完了。起動し、デフォルトで起動するようにする。
+
+{{{
+# /etc/init.d/dovecot start
+# chkconfig --add dovecot
+# chkconfig dovecot on
+}}}
+
+=== Submission over TLS の設定 ===
+
+cyrus-SASL と SQL auxprop プラグインはすでにインストールされていた。 MD5 認証用プラグインは今回は使わないのでインストールしない。
+
+設定ファイルは前回とは異なり、 /etc/sasl2/smtpd.conf 以外の 2つのファイルは削除されていた。安心して左記のファイルのみを編集する。
+
+{{{
+# vim /etc/sasl2/smtpd.conf
+
+pwcheck_method: auxprop
+auxprop_plugin: sql
+mech_list: plain
+sql_engine: mysql
+sql_hostnames: localhost
+sql_user: mailusers
+sql_passwd: パスワード
+sql_database: mailusers
+sql_select: select plain_passwd as password from users where userid = '%u'
+}}}
+
+こっちも mech_list は plain のみとした。
+
+さらに main.cf を編集。
+
+{{{
+# vim /etc/postfix/main.cf
+
+# 以下の行を追加
+smtpd_sasl_auth_enable = yes
+smtpd_sasl_security_options = noanonymous   # noplaintext は外した。
+smtpd_sasl_local_domain = $myhostname
+smtpd_tls_cert_file = /etc/httpd/conf/ssl/developer.harapeko.jp.crt
+smtpd_tls_key_file = /etc/httpd/conf/ssl/developer.harapeko.jp.key
+smtpd_tls_CAfile = /etc/httpd/conf/ssl/intermediate.crt     # ルート CA 証明書の指定を追加
+smtpd_use_tls = yes
+smtpd_tls_auth_only = yes
+smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
+}}}
+
+そして postfix を再起動…。
+
+{{{
+# /etc/init.d/postfix restart
+}}}