password-authとは？初心者にもわかるPAMの基本と使い方共起語・同意語・対義語も併せて解説！

この記事を書いた人

高岡智則

年齢：33歳性別：男性職業：Webディレクター（兼ライティング・SNS運用担当）居住地：東京都杉並区・永福町の1LDKマンション出身地：神奈川県川崎市身長：176cm 体系：細身〜普通（最近ちょっとお腹が気になる）血液型：A型誕生日：1992年11月20日最終学歴：明治大学・情報コミュニケーション学部卒通勤：京王井の頭線で渋谷まで（通勤20分）家族構成：一人暮らし、実家には両親と2歳下の妹恋愛事情：独身。彼女は2年いない（本人は「忙しいだけ」と言い張る）

password-authとは？

password-auth は Linux 系の認証設定を行う PAM のファイルのひとつです。/etc/pam.d/password-auth という場所に置かれ、ログイン時の認証の順序や使われるモジュールを決めます。<span>ここがポイントなのは、パスワードそのものを扱うわけではなく、どのモジュールをどう順番に実行するかを定義している点です。

この設定は、SSH でのリモートログイン、ターミナルでの直接ログイン、GUI のログインなど、あらゆる形の認証に影響します。password-auth が適切に設定されていれば、ユーザーが正しいパスワードを入力したときにだけ、次の認証手順へ進み、逆に不正な入力が続くとブロックされます。

なぜ password-auth が重要なのか

現代のシステムでは、複数の認証方法を組み合わせることが普通です。パスワードだけでなく、ワンタイムパスワード（OTP）や生体認証、ハードウェアトークンなどを併用します。password-auth はこれらの認証手段を組み合わせる「土台」となる設定です。正しく設定すれば、環境に応じて MFA を導入しやすくなります。

使い方の基本

設定を変更するには管理者権限が必要です。まずは必ずバックアップを取り、元に戻せる状態を作ってから編集しましょう。一般的には /etc/pam.d/password-auth を編集しますが、配布によっては /etc/pam.d/system-auth との組み合わせで動く場合もあります。

以下は代表的なモジュールの配置例です。この例は説明用であり、環境ごとに異なる場合があります。

<th>項目

説明	例
pam_env	環境変数を設定する	環境変数の読み込み
pam_unix	Unix パスワードの検証	パスワードベースの認証
pam_sss	SSSD を使った認証	AD/IPA 連携など

実務での留意点

設定を誤ると、ログイン自体が不可能になる risk があります。リモート環境では特に注意が必要です。緊急時の対処として、シングルユーザーモードでの回復方法や、別の認証手段を用意しておくと安心です。

また、セキュリティを高めるためには、パスワードポリシーの強化、不要なモジュールの無効化、監査ログの活用が有効です。pam_faillock などのモジュールを使い、連続失敗回数を制限する運用も検討しましょう。

password-auth と system-auth の違い

多くのディストリビューションでは password-auth と system-auth は近い役割を果たしますが、ファイルの中身や適用範囲は環境によって異なります。password-auth は個々のサービスの認証の入口に近いファイルで、system-auth はシステム全体の共通設定を担うことが多いです。

初心者向けの実践ステップ

最初の手順としては、仮想環境を用意して、次の順序で試してください。1) バックアップを作成 2) 設定ファイルの差分を確認 3) 影響範囲を把握 4) 安全な形で段階的な変更を適用 5) ログを監視 6) 変更後の動作をテストします。

最後に

password-auth はセキュリティの要です。基本を押さえつつ、環境に合わせて適切なモジュールと順序を選ぶことが重要です。初心者の方は、まずは自分の環境をよく理解することから始め、少しずつ実務レベルの設定へと進んでください。

password-authの同意語

パスワード認証: ユーザーがパスワードを入力して本人性を確認する認証方法。最も一般的な認証手段の一つで、単独で使われることもありますが、二要素認証など他の要素と組み合わせて用いられることも多いです。
パスワードベース認証: パスワードを主要な認証情報として用いる認証方式。パスワードの正否で身元を判定します。
パスワードを用いた認証: パスワードを用いてユーザーの身元を確認する認証の言い換え表現。
パスワードによる認証: パスワードを使って行う認証プロセスのこと。照合して本人性を判断します。
パスワード認証方式: パスワードを利用する認証の具体的な方法や設計を指す表現。
パスワード認証機構: パスワードを使って認証を実現する仕組みや構造。認証の枠組みを表します。
パスワード認証プロセス: 認証がどのような手順で進むかを示す一連の処理の総称。
パスワードベースの認証: パスワードを基盤にした認証の別表現。システム設計上、パスワードを中心に動作します。
パスワードを使った認証: パスワードの入力を通じて身元を確認する認証表現。
資格情報認証（パスワードベース）: 資格情報としてのパスワードを用いる認証のこと。一般的にはパスワードベースの認証と同義に使われます。

password-authの対義語・反対語

パスワードレス認証: パスワードを使用せず認証を行う方式。生体認証・ハードウェアキー・クライアント証明書・トークンなど、パスワード以外の要素で本人性を確認します。
生体認証: 指紋・虹彩・顔認証・声紋など生体情報を用いて認証する方式。パスワード入力を不要にすることが多いのが特徴です。
ハードウェアセキュリティキー認証: 物理的なセキュリティキー（例: USB/NFCキー）を用いて認証する方式。FIDO2/WebAuthnなどと組み合わせて、パスワードを使わずに認証します。
証明書認証（クライアント証明書）: デジタル証明書を用いて認証する方式。TLS/SSLのクライアント証明書などで、パスワードなしで本人確認を行う設計です。
公開鍵認証: 公開鍵と秘密鍵のペアを使って認証する方式。SSHなどで広く使われ、パスワード入力を回避できます。
トークン認証: JWTなどの一時的な認証トークンを用いて認証する方式。パスワードの代替としてトークンを事前に発行・検証します。

password-authの共起語

PAM: Pluggable Authentication Modules の略。認証機能をモジュール化して柔軟に組み合わせる仕組み。
password-auth: PAM設定ファイルの一つで、パスワード認証の動作を定義します。多くは /etc/pam.d/password-auth に配置されます。
system-auth: PAM設定ファイルの一つ。システム全体の認証設定を共通で参照する基幹ファイルです。
pam_unix: PAMのモジュールの一つ。Unix系の標準的なパスワード認証を実装します。
pam_pwquality: パスワードの強度を評価する PAM モジュール。長さ・文字種・辞書語の回避などを検証します。
pam_cracklib: 旧来のパスワード強度チェックモジュール。pwquality に置き換えられることが多いです。
pam_krb5: Kerberos 認証を PAM 経由で利用するモジュール。
SSH: Secure Shell。リモートログインを安全に行うための通信プロトコル。
sshd_config: SSHデーモンの設定ファイル。PasswordAuthentication などの認証設定を行います。
PasswordAuthentication: SSH の設定項目。yes でパスワード認証を許可、no で禁止します。
PublicKeyAuthentication: 公開鍵認証を有効化/無効化する設定。鍵ベースのログインを有効にします。
Authorized_keys: 公開鍵を保存するファイル。通常は ~/.ssh/authorized_keys に配置します。
keyboard-interactive: 対話式認証。パスワード以外の要素を用いる場合に利用します。
ChallengeResponseAuthentication: 挑戦応答認証の設定。追加の認証要素を組み込むときに関係します。
UsePAM: アプリケーションが PAM を使用するかどうかの設定。
MFA: Multi-Factor Authentication。複数の認証要素を要求する認証方式。
2FA: Two-Factor Authentication。二要素認証。
OTP: One-Time Password。使い捨てのパスワードを指します。
password policy: パスワードの要件を定義する規則。長さ・文字種・再利用制限など。
password aging: パスワードの有効期限管理。一定期間ごとに変更を促します。
password hash: パスワードをハッシュ化して保存する方法。生のパスワードは保存しません。
hashing: ハッシュ化の処理。bcrypt などのアルゴリズムを用いて安全性を高めます。
bcrypt: 強力なハッシュアルゴリズムの一つ。ソルトと組み合わせてパスワードを保護します。
salt: ハッシュ化時の乱数。辞書攻撃を防ぐ役割があります。
shadow passwords: パスワードを /etc/shadow に分離して保存する仕組み。読み取り権限を制限します。
shadow: /etc/shadow の略称。ハッシュ化されたパスワードが格納されます。
password length: パスワードの最小長。長いほど推測されにくくなります。
password complexity: パスワードの複雑性要件。大文字・小文字・数字・記号の組み合わせを推奨します。
password history: 過去に使用したパスワードの履歴を記録して再利用を防ぎます。
dictionary attack: 辞書攻撃。辞書に載っている語を試して推測する手法です。
brute force: ブルートフォース攻撃。広範囲の組み合わせを機械的に試します。
LDAP: Lightweight Directory Access Protocol。集中管理された認証情報を参照します。
SSSD: System Security Services Daemon。LDAP/Kerberos などと連携して認証を提供します。
Kerberos: ネットワーク認証プロトコル。チケットと鍵で安全に認証します。
Key-based authentication: 秘密鍵と公開鍵を使う認証。パスワードなしでログイン可能です。
fail2ban: ブルートフォース攻撃を防ぐための監視・ブロックツール。パスワード認証の保護と組み合わせて使われます。
password reuse: 過去に使ったパスワードの再利用を防ぐポリシー。
password history length: 履歴として保存するパスワードの件数。再利用を防ぐ目安になります。
session timeout: セッションの自動終了時間。長時間の放置を防ぐ設定です。

password-authの関連用語

password-auth: パスワードを用いた認証のこと。利用者が入力したパスワードと、サーバーに保存されたパスワードハッシュを照合して本人性を確認する仕組みです。
パスワード認証: 最も一般的な認証方式の一つ。文字列のパスワードを使ってユーザーを特定します。
認証: 利用者が誰かを確認するプロセス。正当な権限があるかを検証します。
認証方式: 認証を実現する方法の総称。パスワード、生体情報、トークンなどがあります。
パスワード: 秘密の文字列。推測されにくく、長さと複雑さを確保するのが重要です。
パスワードポリシー: パスワードの長さ、複雑性、再利用防止、変更頻度などを組織が定めたルールのこと。
パスワードハッシュ: 実際のパスワードを直接保存せず、計算で得られる固定長の文字列。照合時は同じ手順で比較します。
ソルト: 同じパスワードでも異なるハッシュ結果になるよう、ハッシュ処理時に加えるランダムなデータ。
ペッパー: 秘密情報を追加する追加の要素。ソルトとは別にサーバー側で管理します。
ハッシュアルゴリズム: パスワードのハッシュを作る計算手順。 bcrypt、Argon2、PBKDF2、scrypt などがあります。
bcrypt: よく使われるパスワードハッシュアルゴリズム。ソルトを組み込み、計算コストを設定して brute force を抑制します。
Argon2: 現代的なパスワードハッシュアルゴリズム。メモリ消費を調整して高い耐性を提供します。
PBKDF2: 長年使われてきたハッシュアルゴリズム。反復回数を増やしてセキュリティを高めます。
scrypt: メモリと計算量を多く使うハッシュアルゴリズム。BRUTE FORCE対策に有効です。
2要素認証: パスワードに加えてもう1つの認証要素を求める方式。セキュリティを大きく向上させます。
二段階認証: 同様に、2つの認証要素を用いる仕組み。
多要素認証: 2要素以上を組み合わせて認証する総称。MFA の別名として使われます。
MFA: Multi-Factor Authenticationの略。二要素以上で認証を行います。
OTP: ワンタイムパスワード。使い捨てのパスワードで、再利用されません。
TOTP: Time-based One-Time Password。一定時間ごとに新しいOTPが生成されます。
HOTP: Counter-based One-Time Password。カウントを使ってOTPを生成します。
ワンタイムパスワード: 使い捨てのパスワードで、再利用されません。OTPの総称として使われます。
パスワードマネージャー: 複数の強力なパスワードを安全に管理・自動入力してくれるツールです。
パスキー: WebAuthnなどを使ったパスワードレス認証の一種。生体情報やデバイスキーを用います。
WebAuthn: ウェブ認証の標準。パスワードを使わずに認証を行う仕組みです。
FIDO2: WebAuthnとCTAPの総称。パスワードレス認証の基盤技術です。
パスワードレス: パスワードを使わない認証の総称。生体認証・セキュアトークンなどが用いられます。
RainbowTable攻撃: 事前に作成したハッシュ表を使ってパスワードを推測する攻撃手法。ソルトで防止します。
ブルートフォース攻撃: 全ての組み合わせを試して認証を突破する攻撃。計算コストとロックアウトで対策します。
パスワードリセット: 忘れた場合に新しいパスワードを設定する手続き。適切な本人確認が必要です。
アカウントロックアウト: 連続失敗回数に応じてアカウントを一時的に使えなくする対策。
CAPTCHA: 人間か自動プログラムかを判定する仕組み。自動化攻撃を減らす補助手段として使われます。
TLS/HTTPS: パスワードを送信する際の通信を暗号化して保護します。安全な送信の前提です。
認証プロトコル: LDAP、Kerberos、SAML、OIDCなど、認証の実装ルールや仕様のこと。
LDAP認証: ディレクトリサービスとも連携する認証方式。組織内のアカウント情報と照合します。
Kerberos認証: ネットワーク認証プロトコル。チケットと共通鍵を使い、パスワードを直接送らず認証します。
SAML認証: SAMLを使ったシングルサインオン。IDプロバイダとサービスプロバイダ間で認証情報をやり取りします。
OIDC(OpenID Connect): 認証とアイデンティティ情報の公開を扱うプロトコル。OAuth 2.0の拡張です。
JWT: JSON Web Token。認証後に発行される token で、サーバ間での認証情報の伝達に使われます。
セッション管理: 認証後のセッションを安全に維持・管理する方法。セッションハイジャックを防ぐ工夫が必要です。