doc/xml/AdminReference/sect1/kpasswd.xml

   1 <?xml version="1.0" encoding="UTF-8"?>
   2 <refentry id="kpasswd1">
   3   <refmeta>
   4     <refentrytitle>kpasswd</refentrytitle>
   5     <manvolnum>1</manvolnum>
   6   </refmeta>
   7   <refnamediv>
   8     <refname>kpasswd</refname>
   9     <refpurpose>Changes the issuer's password in the Authentication Database</refpurpose>
  10   </refnamediv>
  11   <refsect1>
  12     <title>Synopsis</title>
  13     <para><emphasis role="bold">kpasswd</emphasis> [<emphasis role="bold">-x</emphasis>] [<emphasis role="bold">-principal</emphasis> &lt;<emphasis>user name</emphasis>&gt;]
  14         [<emphasis role="bold">-password</emphasis> &lt;<emphasis>user's password</emphasis>&gt;]
  15         [<emphasis role="bold">-newpassword</emphasis> &lt;<emphasis>user's new password</emphasis>&gt;] [<emphasis role="bold">-cell</emphasis> &lt;<emphasis>cell name</emphasis>&gt;]
  16         [<emphasis role="bold">-servers</emphasis> &lt;<emphasis>explicit list of servers</emphasis>&gt;+] [<emphasis role="bold">-pipe</emphasis>] [<emphasis role="bold">-help</emphasis>]</para>
  17
  18     <para><emphasis role="bold">kpasswd</emphasis> [<emphasis role="bold">-x</emphasis>] [<emphasis role="bold">-pr</emphasis> &lt;<emphasis>user name</emphasis>&gt;] [<emphasis role="bold">-pa</emphasis> &lt;<emphasis>user's password</emphasis>&gt;]
  19         [<emphasis role="bold">-n</emphasis> &lt;<emphasis>user's new password</emphasis>&gt;] [<emphasis role="bold">-c</emphasis> &lt;<emphasis>cell name</emphasis>&gt;]
  20         [<emphasis role="bold">-s</emphasis> &lt;<emphasis>explicit list of servers</emphasis>&gt;+] [<emphasis role="bold">-pi</emphasis>] [<emphasis role="bold">-h</emphasis>]</para>
  21
  22   </refsect1>
  23   <refsect1>
  24     <title>Description</title>
  25     <para>The <emphasis role="bold">kpasswd</emphasis> command changes the password recorded in an Authentication
  26     Database entry. By default, the command interpreter changes the password
  27     for the AFS user name that matches the issuer's local identity (UNIX
  28     UID). To specify an alternate user, include the <emphasis role="bold">-principal</emphasis>
  29     argument. The user named by the <emphasis role="bold">-principal</emphasis> argument does not have to
  30     appear in the local password file (the <replaceable>/etc/passwd</replaceable> file or equivalent).</para>
  31
  32     <para>By default, the command interpreter sends the password change request to
  33     the Authentication Server running on one of the database server machines
  34     listed for the local cell in the <replaceable>/usr/afs/etc/CellServDB</replaceable> file on the
  35     local disk; it chooses the machine at random. It consults the
  36     <replaceable>/usr/vice/etc/ThisCell</replaceable> file on the local disk to learn the local cell
  37     name. To specify an alternate cell, include the <emphasis role="bold">-cell</emphasis> argument.</para>
  38
  39     <para>Unlike the UNIX <emphasis role="bold">passwd</emphasis> command, the <emphasis role="bold">kpasswd</emphasis> command does not
  40     restrict passwords to eight characters or less; it accepts passwords of
  41     virtually any length. All AFS commands that require passwords (including
  42     the <emphasis role="bold">klog</emphasis>, <emphasis role="bold">kpasswd</emphasis>, and AFS-modified login utilities, and the
  43     commands in the <emphasis role="bold">kas</emphasis> suite) accept passwords longer than eight
  44     characters, but some other applications and operating system utilities do
  45     not. Selecting an AFS password of eight characters or less enables the
  46     user to maintain matching AFS and UNIX passwords.</para>
  47
  48     <para>The command interpreter makes the following checks:</para>
  49
  50     <itemizedlist>
  51       <listitem>
  52         <para>If the program <emphasis role="bold">kpwvalid</emphasis> exists in the same directory as the <emphasis role="bold">kpasswd</emphasis>
  53         command, the command interpreter pass the new password to it for
  54         verification. For details, see <link linkend="kpwvalid8">kpwvalid(8)</link>.</para>
  55
  56       </listitem>
  57       <listitem>
  58         <para>If the <emphasis role="bold">-reuse</emphasis> argument to the kas setfields command has been used to
  59         prohibit reuse of previous passwords, the command interpreter verifies
  60         that the password is not too similar too any of the user's previous 20
  61         passwords. It generates the following error message at the shell:</para>
  62
  63 <programlisting>
  64    Password was not changed because it seems like a reused password
  65
  66 </programlisting>
  67           <para>To prevent a user from subverting this restriction by changing the
  68           password twenty times in quick succession (manually or by running a
  69           script), use the <emphasis role="bold">-minhours</emphasis> argument on the <emphasis role="bold">kaserver</emphasis> initialization
  70           command. The following error message appears if a user attempts to change
  71           a password before the minimum time has passed:</para>
  72
  73 <programlisting>
  74    Password was not changed because you changed it too
  75    recently; see your systems administrator
  76
  77 </programlisting>
  78           </listitem>
  79         </itemizedlist>
  80       </refsect1>
  81       <refsect1>
  82         <title>Options</title>
  83         <variablelist>
  84           <varlistentry>
  85             <term><emphasis role="bold">-x</emphasis></term>
  86             <listitem>
  87               <para>Appears only for backwards compatibility.</para>
  88
  89             </listitem>
  90           </varlistentry>
  91           <varlistentry>
  92             <term><emphasis role="bold">-principal</emphasis> &lt;<emphasis>user name</emphasis>&gt;</term>
  93             <listitem>
  94               <para>Names the Authentication Database entry for which to change the
  95               password. If this argument is omitted, the database entry with the same
  96               name as the issuer's local identity (UNIX UID) is changed.</para>
  97
  98             </listitem>
  99           </varlistentry>
 100           <varlistentry>
 101             <term><emphasis role="bold">-password</emphasis> &lt;<emphasis>user's password</emphasis>&gt;</term>
 102             <listitem>
 103               <para>Specifies the current password. Omit this argument to have the command
 104               interpreter prompt for the password, which does not echo visibly:</para>
 105
 106 <programlisting>
 107    Old password: current_password
 108
 109 </programlisting>
 110               </listitem>
 111             </varlistentry>
 112             <varlistentry>
 113               <term><emphasis role="bold">-newpassword</emphasis> &lt;<emphasis>user's new password</emphasis>&gt;</term>
 114               <listitem>
 115                 <para>Specifies the new password, which the <emphasis role="bold">kpasswd</emphasis> command interpreter
 116                 converts into an encryption key (string of octal numbers) before sending
 117                 it to the Authentication Server for storage in the user's Authentication
 118                 Database entry.</para>
 119
 120                 <para>Omit this argument to have the command interpreter prompt for the
 121                 password, which does not echo visibly:</para>
 122
 123 <programlisting>
 124    New password (RETURN to abort): &amp;lt;new_password&amp;gt;
 125    Retype new password: &amp;lt;new_password&amp;gt;
 126
 127 </programlisting>
 128                 </listitem>
 129               </varlistentry>
 130               <varlistentry>
 131                 <term><emphasis role="bold">-cell</emphasis> &lt;<emphasis>cell name</emphasis>&gt;</term>
 132                 <listitem>
 133                   <para>Specifies the cell in which to change the password, by directing the
 134                   command to that cell's Authentication Servers. The issuer can abbreviate
 135                   the cell name to the shortest form that distinguishes it from the other
 136                   cells listed in the local <replaceable>/usr/vice/etc/CellServDB</replaceable> file.</para>
 137
 138                   <para>By default, the command is executed in the local cell, as defined</para>
 139
 140                   <itemizedlist>
 141                     <listitem>
 142                       <para>First, by the value of the environment variable AFSCELL.</para>
 143
 144                     </listitem>
 145                     <listitem>
 146                       <para>Second, in the <replaceable>/usr/vice/etc/ThisCell</replaceable> file on the client machine on
 147                       which the command is issued.</para>
 148
 149                     </listitem>
 150                   </itemizedlist>
 151                 </listitem>
 152               </varlistentry>
 153               <varlistentry>
 154                 <term><emphasis role="bold">-servers</emphasis> &lt;<emphasis>explicit list of servers</emphasis>&gt;</term>
 155                 <listitem>
 156                   <para>Establishes a connection with the Authentication Server running on each
 157                   specified machine, rather than with all of the database server machines
 158                   listed for the relevant cell in the local copy of the
 159                   <replaceable>/usr/vice/etc/CellServDB</replaceable> file. The <emphasis role="bold">kpasswd</emphasis> command interpreter then
 160                   sends the password-changing request to one machine chosen at random from
 161                   the set.</para>
 162
 163                 </listitem>
 164               </varlistentry>
 165               <varlistentry>
 166                 <term><emphasis role="bold">-pipe</emphasis></term>
 167                 <listitem>
 168                   <para>Suppresses all output to the standard output stream or standard error
 169                   stream. The <emphasis role="bold">kpasswd</emphasis> command interpreter expects to receive all
 170                   necessary arguments, each on a separate line, from the standard input
 171                   stream. Do not use this argument, which is provided for use by application
 172                   programs rather than human users.</para>
 173
 174                 </listitem>
 175               </varlistentry>
 176               <varlistentry>
 177                 <term><emphasis role="bold">-help</emphasis></term>
 178                 <listitem>
 179                   <para>Prints the online help for this command. All other valid options are
 180                   ignored.</para>
 181
 182                 </listitem>
 183               </varlistentry>
 184             </variablelist>
 185           </refsect1>
 186           <refsect1>
 187             <title>Examples</title>
 188             <para>The following example shows user pat changing her password in the ABC
 189             Corporation cell.</para>
 190
 191 <programlisting>
 192    % kpasswd
 193    Changing password for 'pat' in cell 'abc.com'.
 194    Old password:
 195    New password (RETURN to abort):
 196    Verifying, please re-enter new_password:
 197
 198 </programlisting>
 199             </refsect1>
 200             <refsect1>
 201               <title>Privilege Required</title>
 202               <para>None</para>
 203
 204             </refsect1>
 205             <refsect1>
 206               <title>See Also</title>
 207               <para><link linkend="kas_setfields8">kas_setfields(8)</link>,
 208               <link linkend="kas_setpassword8">kas_setpassword(8)</link>,
 209               <link linkend="klog1">klog(1)</link>,
 210               <link linkend="kpwvalid8">kpwvalid(8)</link></para>
 211
 212             </refsect1>
 213             <refsect1>
 214               <title>Copyright</title>
 215               <para>IBM Corporation 2000. &lt;http://www.ibm.com/&gt; All Rights Reserved.</para>
 216
 217               <para>This documentation is covered by the IBM Public License Version 1.0.  It was
 218               converted from HTML to POD by software written by Chas Williams and Russ
 219               Allbery, based on work by Alf Wachsmann and Elizabeth Cassell.</para>
 220
 221             </refsect1>
 222           </refentry>