doc/html/AdminReference/auarf185.htm

   1 <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 4//EN">
   2 <HTML><HEAD>
   3 <TITLE>Administration Reference</TITLE>
   4 <!-- Begin Header Records  ========================================== -->
   5 <!-- /tmp/idwt3672/auarf000.scr converted by idb2h R4.2 (359) ID      -->
   6 <!-- Workbench Version (AIX) on 3 Oct 2000 at 16:18:30                -->
   7 <META HTTP-EQUIV="updated" CONTENT="Tue, 03 Oct 2000 16:18:29">
   8 <META HTTP-EQUIV="review" CONTENT="Wed, 03 Oct 2001 16:18:29">
   9 <META HTTP-EQUIV="expires" CONTENT="Thu, 03 Oct 2002 16:18:29">
  10 </HEAD><BODY>
  11 <!-- (C) IBM Corporation 2000. All Rights Reserved    -->
  12 <BODY bgcolor="ffffff">
  13 <!-- End Header Records  ============================================ -->
  14 <A NAME="Top_Of_Page"></A>
  15 <H1>Administration Reference</H1>
  16 <HR><P ALIGN="center"> <A HREF="../index.htm"><IMG SRC="../books.gif" BORDER="0" ALT="[Return to Library]"></A> <A HREF="auarf002.htm#ToC"><IMG SRC="../toc.gif" BORDER="0" ALT="[Contents]"></A> <A HREF="auarf184.htm"><IMG SRC="../prev.gif" BORDER="0" ALT="[Previous Topic]"></A> <A HREF="#Bot_Of_Page"><IMG SRC="../bot.gif" BORDER="0" ALT="[Bottom of Topic]"></A> <A HREF="auarf186.htm"><IMG SRC="../next.gif" BORDER="0" ALT="[Next Topic]"></A> <A HREF="auarf284.htm#HDRINDEX"><IMG SRC="../index.gif" BORDER="0" ALT="[Index]"></A> <P>
  17 <P>
  18 <H2><A NAME="HDRKAS_EXAMINE" HREF="auarf002.htm#ToC_199">kas examine</A></H2>
  19 <A NAME="IDX5082"></A>
  20 <A NAME="IDX5083"></A>
  21 <A NAME="IDX5084"></A>
  22 <A NAME="IDX5085"></A>
  23 <A NAME="IDX5086"></A>
  24 <A NAME="IDX5087"></A>
  25 <A NAME="IDX5088"></A>
  26 <A NAME="IDX5089"></A>
  27 <A NAME="IDX5090"></A>
  28 <A NAME="IDX5091"></A>
  29 <A NAME="IDX5092"></A>
  30 <A NAME="IDX5093"></A>
  31 <A NAME="IDX5094"></A>
  32 <A NAME="IDX5095"></A>
  33 <A NAME="IDX5096"></A>
  34 <A NAME="IDX5097"></A>
  35 <A NAME="IDX5098"></A>
  36 <A NAME="IDX5099"></A>
  37 <A NAME="IDX5100"></A>
  38 <P><STRONG>Purpose</STRONG>
  39 <P>Displays information from an Authentication Database entry
  40 <P><STRONG>Synopsis</STRONG>
  41 <PRE><B>kas examine -name</B> &lt;<VAR>name&nbsp;of&nbsp;user</VAR>> [<B>-showkey</B>]
  42             [<B>-admin_username</B> &lt;<VAR>admin&nbsp;principal&nbsp;to&nbsp;use&nbsp;for&nbsp;authentication</VAR>>]
  43             [<B>-password_for_admin</B> &lt;<VAR>admin&nbsp;password</VAR>>]  [<B>-cell</B> &lt;<VAR>cell&nbsp;name</VAR>>]
  44             [<B>-servers</B> &lt;<VAR>explicit&nbsp;list&nbsp;of&nbsp;authentication&nbsp;servers</VAR>><SUP>+</SUP>]
  45             [<B>-noauth</B>]  [<B>-help</B>]
  46
  47 <B>kas e -na</B> &lt;<VAR>name&nbsp;of&nbsp;user</VAR>>  [<B>-sh</B>]
  48       [<B>-a</B> &lt;<VAR>admin&nbsp;principal&nbsp;to&nbsp;use&nbsp;for&nbsp;authentication</VAR>>]
  49       [<B>-p</B> &lt;<VAR>admin&nbsp;password</VAR>>]  [<B>-c</B> &lt;<VAR>cell&nbsp;name</VAR>>]
  50       [<B>-se</B> &lt;<VAR>explicit&nbsp;list&nbsp;of&nbsp;authentication&nbsp;servers</VAR>><SUP>+</SUP>]  [<B>-no</B>]  [<B>-h</B>]
  51 </PRE>
  52 <P><STRONG>Description</STRONG>
  53 <P>The <B>kas examine</B> command formats and displays information from
  54 the Authentication Database entry of the user named by the <B>-name</B>
  55 argument.
  56 <P>To alter the settings displayed with this command, issue the <B>kas
  57 setfields</B> command.
  58 <P><STRONG>Cautions</STRONG>
  59 <P>Displaying actual keys on the standard output stream by including the
  60 <B>-showkey</B> flag constitutes a security exposure. For most
  61 purposes, it is sufficient to display a checksum.
  62 <P><STRONG>Options</STRONG>
  63 <DL>
  64 <P><DT><B>-name
  65 </B><DD>Names the Authentication Database entry from which to display
  66 information.
  67 <P><DT><B><B>-showkey</B>
  68 </B><DD>Displays the octal digits that constitute the key. The issuer must
  69 have the <TT>ADMIN</TT> flag on his or her Authentication Database
  70 entry.
  71 <P><DT><B>-admin_username
  72 </B><DD>Specifies the user identity under which to authenticate with the
  73 Authentication Server for execution of the command. For more details,
  74 see the introductory <B>kas</B> reference page.
  75 <P><DT><B>-password_for_admin
  76 </B><DD>Specifies the password of the command's issuer. If it is
  77 omitted (as recommended), the <B>kas</B> command interpreter prompts for
  78 it and does not echo it visibly. For more details, see the introductory
  79 <B>kas</B> reference page.
  80 <P><DT><B>-cell
  81 </B><DD>Names the cell in which to run the command. For more details, see
  82 the introductory <B>kas</B> reference page.
  83 <P><DT><B>-servers
  84 </B><DD>Names each machine running an Authentication Server with which to
  85 establish a connection. For more details, see the introductory
  86 <B>kas</B> reference page.
  87 <P><DT><B>-noauth
  88 </B><DD>Assigns the unprivileged identity <B>anonymous</B> to the
  89 issuer. For more details, see the introductory <B>kas</B> reference
  90 page.
  91 <P><DT><B>-help
  92 </B><DD>Prints the online help for this command. All other valid options
  93 are ignored.
  94 </DL>
  95 <P><STRONG>Output</STRONG>
  96 <P>The output includes:
  97 <UL>
  98 <P><LI>The entry name, following the string <TT>User data for</TT>.
  99 <P><LI>One or more status flags in parentheses; they appear only if an
 100 administrator has used the <B>kas setfields</B> command to change them
 101 from their default values. A plus sign (<TT>+</TT>) separates the
 102 flags if there is more than one. The nondefault values that can appear,
 103 and their meanings, are as follows:
 104 <DL>
 105 <P><DT><B><TT>ADMIN</TT>
 106 </B><DD>Enables the user to issue privileged <B>kas</B> commands (default is
 107 <TT>NOADMIN</TT>)
 108 <P><DT><B><TT>NOTGS</TT>
 109 </B><DD>Prevents the user from obtaining tickets from the Authentication
 110 Server's Ticket Granting Service (default is <TT>TGS</TT>)
 111 <P><DT><B><TT>NOSEAL</TT>
 112 </B><DD>Prevents the Ticket Granting Service from using the entry's key field
 113 as an encryption key (default is <TT>SEAL</TT>)
 114 <P><DT><B><TT>NOCPW</TT>
 115 </B><DD>Prevents the user from changing his or her password (default is
 116 <TT>CPW</TT>)
 117 </DL>
 118 <A NAME="IDX5101"></A>
 119 <A NAME="IDX5102"></A>
 120 <A NAME="IDX5103"></A>
 121 <P><LI>The key version number, in parentheses, following the word <TT>key</TT>,
 122 then one of the following.
 123 <UL>
 124 <P><LI>A checksum equivalent of the key, following the string <TT>cksum
 125 is</TT>, if the <B>-showkey</B> flag is not included. The checksum
 126 is a decimal number derived by encrypting a constant with the key. In
 127 the case of the <B><B>afs</B></B> entry, this number must match the
 128 checksum with the corresponding key version number in the output of the
 129 <B>bos listkeys</B> command; if not, follow the instructions in the
 130 <I>IBM AFS Administration Guide</I> for creating a new server encryption
 131 key.
 132 <P><LI>The actual key, following a colon, if the <B>-showkey</B> flag is
 133 included. The key consists of eight octal numbers, each represented as
 134 a backslash followed by three decimal digits.
 135 </UL>
 136 <P><LI>The date the user last changed his or her own password, following the
 137 string <TT>last cpw</TT> (which stands for "last change of
 138 password").
 139 <P><LI>The string <TT>password will never expire</TT> indicates that the
 140 associated password never expires; the string <TT>password will
 141 expire</TT> is followed by the password's expiration date. After
 142 the indicated date, the user cannot authenticate, but has 30 days after it in
 143 which to use the <B>kpasswd</B> or <B>kas setpassword</B> command to
 144 set a new password. After 30 days, only an administrator (one whose
 145 account is marked with the <TT>ADMIN</TT> flag) can change the password by
 146 using the <B>kas setpassword</B> command. To set the password
 147 expiration date, use the <B>kas setfields</B> command's
 148 <B>-pwexpires</B> argument.
 149 <P><LI>The number of times the user can fail to provide the correct password
 150 before the account locks, followed by the string <TT>consecutive unsuccessful
 151 authentications are permitted</TT>, or the string <TT>An unlimited number of
 152 unsuccessful authentications is permitted</TT> to indicate that there is no
 153 limit. To set the limit, use the <B>kas setfields</B>
 154 command's <B>-attempts</B> argument. To unlock a locked
 155 account, use the <B>kas unlock</B> command. The <B>kas
 156 setfields</B> reference page discusses how the implementation of the lockout
 157 feature interacts with this setting.
 158 <P><LI>The number of minutes for which the Authentication Server refuses the
 159 user's login attempts after the limit on consecutive unsuccessful
 160 authentication attempts is exceeded, following the string <TT>The lock time
 161 for this user is</TT>. Use the <B>kas</B> command's
 162 <B>-locktime</B> argument to set the lockout time. This line
 163 appears only if a limit on the number of unsuccessful authentication attempts
 164 has been set with the the <B>kas setfields</B> command's
 165 <B>-attempts</B> argument.
 166 <P><LI>An indication of whether the Authentication Server is currently refusing
 167 the user's login attempts. The string <TT>User is not
 168 locked</TT> indicates that authentication can succeed, whereas the string
 169 <TT>User is locked until</TT> <VAR>time</VAR> indicates that the user cannot
 170 authenticate until the indicated time. Use the <B>kas unlock</B>
 171 command to enable a user to attempt authentication. This line appears
 172 only if a limit on the number of unsuccessful authentication attempts has been
 173 set with the <B>kas setfields</B> command's <B>-attempts</B>
 174 argument.
 175 <P><LI>The date on which the Authentication Server entry expires, or the string
 176 <TT>entry never expires</TT> to indicate that the entry does not
 177 expire. A user becomes unable to authenticate when his or her entry
 178 expires. Use the <B>kas setfields</B> command's
 179 <B>-expiration</B> argument to set the expiration date.
 180 <P><LI>The maximum possible lifetime of the tokens that the Authentication Server
 181 grants the user. This value interacts with several others to determine
 182 the actual lifetime of the token, as described on the <B>klog</B>
 183 reference page. Use the <B>kas setfields</B> command's
 184 <B>-lifetime</B> argument to set this value.
 185 <P><LI>The date on which the entry was last modified, following the string
 186 <TT>last mod on</TT> and the user name of the administrator who modified
 187 it. The date on which a user changed his or her own password is
 188 recorded on the second line of output as <TT>last cpw</TT> instead.
 189 <P><LI>An indication of whether the user can reuse one of his or her last twenty
 190 passwords when issuing the <B>kpasswd</B>, <B>kas setpassword</B>, or
 191 <B>kas setkey</B> commands. Use the <B>kas setfields</B>
 192 command's <B>-reuse</B> argument to set this restriction.
 193 </UL>
 194 <P><STRONG>Examples</STRONG>
 195 <P>The following example command shows the user <B>smith</B> displaying
 196 her own Authentication Database entry. Note the <TT>ADMIN</TT> flag,
 197 which shows that <B>smith</B> is privileged.
 198 <PRE>   % <B>kas examine smith</B>
 199    Password for smith:
 200    User data for smith (ADMIN)
 201     key (0) cksum is 3414844392,  last cpw: Thu Mar 25 16:05:44 1999
 202     password will expire:  Fri Apr 30 20:44:36 1999
 203     5 consecutive unsuccessful authentications are permitted.
 204     The lock time for this user is 25.5 minutes.
 205     User is not locked.
 206     entry never expires. Max ticket lifetime 100.00 hours.
 207     last mod on Tue Jan 5 08:22:29 1999 by admin
 208     permit password reuse
 209
 210 </PRE>
 211 <P>In the following example, the user <B>pat</B> examines his
 212 Authentication Database entry to determine when the account lockout currently
 213 in effect will end.
 214 <PRE>   % <B>kas examine pat</B>
 215    Password for pat:
 216    User data for pat
 217     key (0) cksum is 73829292912,  last cpw: Wed Apr 7 11:23:01 1999
 218     password will expire:  Fri  Jun 11 11:23:01 1999
 219     5 consecutive unsuccessful authentications are permitted.
 220     The lock time for this user is 25.5 minutes.
 221     User is locked until Tue Sep 21 12:25:07 1999
 222     entry expires on never. Max ticket lifetime 100.00 hours.
 223     last mod on Thu Feb 4 08:22:29 1999 by admin
 224     permit password reuse
 225
 226 </PRE>
 227 <P>In the following example, an administrator logged in as <B>admin</B>
 228 uses the <B>-showkey</B> flag to display the octal digits that constitute
 229 the key in the <B>afs</B> entry.
 230 <PRE>   % <B>kas examine -name afs -showkey</B>
 231    Password for admin: <VAR>admin_password</VAR>
 232    User data for afs
 233     key (12): \357\253\304\352\234\236\253\352, last cpw: no date
 234     entry never expires. Max ticket lifetime 100.00 hours.
 235     last mod on Thu Mar 25 14:53:29 1999 by admin
 236     permit password reuse
 237
 238 </PRE>
 239 <P><STRONG>Privilege Required</STRONG>
 240 <P>A user can examine his or her own entry. To examine others'
 241 entries or to include the <B>-showkey</B> flag, the issuer must have the
 242 <TT>ADMIN</TT> flag set in his or her Authentication Database entry.
 243 <P><STRONG>Related Information</STRONG>
 244 <P><A HREF="auarf095.htm#HDRBOS_ADDKEY">bos addkey</A>
 245 <P><A HREF="auarf107.htm#HDRBOS_LISTKEYS">bos listkeys</A>
 246 <P><A HREF="auarf115.htm#HDRBOS_SETAUTH">bos setauth</A>
 247 <P><A HREF="auarf181.htm#HDRKAS_INTRO">kas</A>
 248 <P><A HREF="auarf193.htm#HDRKAS_SETFIELDS">kas setfields</A>
 249 <P><A HREF="auarf194.htm#HDRKAS_SETPASSWORD">kas setpassword</A>
 250 <P><A HREF="auarf197.htm#HDRKAS_UNLOCK">kas unlock</A>
 251 <P><A HREF="auarf200.htm#HDRKLOG">klog</A>
 252 <P><A HREF="auarf202.htm#HDRKPASSWD">kpasswd</A>
 253 <P>
 254 <HR><P ALIGN="center"> <A HREF="../index.htm"><IMG SRC="../books.gif" BORDER="0" ALT="[Return to Library]"></A> <A HREF="auarf002.htm#ToC"><IMG SRC="../toc.gif" BORDER="0" ALT="[Contents]"></A> <A HREF="auarf184.htm"><IMG SRC="../prev.gif" BORDER="0" ALT="[Previous Topic]"></A> <A HREF="#Top_Of_Page"><IMG SRC="../top.gif" BORDER="0" ALT="[Top of Topic]"></A> <A HREF="auarf186.htm"><IMG SRC="../next.gif" BORDER="0" ALT="[Next Topic]"></A> <A HREF="auarf284.htm#HDRINDEX"><IMG SRC="../index.gif" BORDER="0" ALT="[Index]"></A> <P>
 255 <!-- Begin Footer Records  ========================================== -->
 256 <P><HR><B>
 257 <br>&#169; <A HREF="http://www.ibm.com/">IBM Corporation 2000.</A>  All Rights Reserved
 258 </B>
 259 <!-- End Footer Records  ============================================ -->
 260 <A NAME="Bot_Of_Page"></A>
 261 </BODY></HTML>