Documentation Home
> 系统管理指南:安全性服务
系统管理指南:安全性服务
Book Information
索引
数字和符号
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
R
S
T
U
V
W
X
Y
Z
安
帮
包
保
报
备
变
标
表
病
拨
不
操
测
策
插
查
超
成
承
程
初
处
窗
创
磁
从
存
错
打
代
单
登
等
低
第
点
调
读
端
短
堆
对
范
方
防
访
非
分
服
符
辅
复
附
高
更
公
共
故
挂
关
管
归
规
合
环
恢
会
获
基
机
计
加
监
减
检
将
降
交
脚
角
结
解
禁
进
井
绝
可
客
控
口
库
跨
类
联
列
领
令
麦
密
面
名
命
模
目
内
配
票
凭
其
启
强
清
区
权
缺
确
任
日
软
散
删
设
身
审
生
失
实
时
使
始
事
守
受
授
属
数
刷
双
私
算
随
所
特
提
替
添
停
通
同
透
完
网
伪
委
文
问
无
物
系
显
限
项
消
销
效
写
卸
新
星
修
选
掩
验
疑
以
溢
音
应
映
硬
用
邮
有
与
预
元
原
远
允
运
在
摘
执
直
指
智
中
终
重
术
主
注
转
传
自
组
最
前言
第 1 部分 安全性概述
第 1 章 安全性服务(概述)
系统安全
Solaris 加密服务
验证服务
使用加密的验证
Solaris 审计
安全策略
第 2 部分 系统、文件和设备安全性
第 2 章 管理计算机安全性(概述)
Solaris 10 发行版中计算机安全性的增强
控制对计算机系统的访问
维护物理安全性
维护登录控制
管理口令信息
本地口令
NIS 和 NIS+ 口令
LDAP 口令
口令加密
口令算法标识符
policy.conf 文件中的算法配置
特殊的系统登录
远程登录
拨号登录
控制对设备的访问
设备策略(概述)
设备分配(概述)
控制对计算机资源的访问
限制和监视超级用户
配置基于角色的访问控制以替换超级用户
防止无意中误用计算机资源
设置 PATH 变量
为用户指定受限 Shell
限制对文件中数据的访问
限制 setuid 可执行文件
使用自动安全性增强工具
使用 Solaris 安全工具包
使用 Solaris 资源管理功能
使用 Solaris Zones
监视计算机资源的使用情况
监视文件完整性
控制对文件的访问
通过加密保护文件
使用访问控制列表
跨计算机共享文件
限制对共享文件的 root 访问
控制网络访问
网络安全性机制
远程访问的验证和授权
防火墙系统
加密和防火墙系统
报告安全问题
第 3 章 控制对系统的访问(任务)
控制系统访问(任务列表)
保证登录和口令的安全(任务列表)
保证登录和口令的安全
如何显示用户的登录状态
如何显示没有口令的用户
如何临时禁止用户登录
如何监视失败的登录尝试
如何监视所有失败的登录尝试
如何创建拨号口令
如何临时禁用拨号登录
更改口令算法(任务列表)
更改口令加密的缺省算法
如何指定口令加密算法
如何为 NIS 域指定新的口令算法
如何为 NIS+ 域指定新的口令算法
如何为 LDAP 域指定新的口令算法
如何安装第三方的口令加密模块
监视和限制超级用户(任务列表)
监视和限制超级用户
如何监视正在使用 su 命令的用户
如何限制和监视超级用户登录
SPARC: 控制对系统硬件的访问(任务列表)
控制对系统硬件的访问
如何要求硬件访问口令
如何禁用系统的中止序列
第 4 章 控制对设备的访问(任务)
配置设备(任务列表)
配置设备策略(任务列表)
配置设备策略
如何查看设备策略
如何更改现有设备上的设备策略
如何审计设备策略中的更改
如何从 /dev/* 设备检索 IP MIB-II 信息
管理设备分配(任务列表)
管理设备分配
如何使设备可分配
如何授权用户来分配设备
如何查看有关设备的分配信息
强制分配设备
强制解除设备分配
如何更改可以分配的设备
如何审计设备分配
分配设备(任务列表)
分配设备
如何分配设备
如何挂载已分配的设备
如何解除设备分配
设备保护(参考)
设备策略命令
设备分配
设备分配的组成
设备分配命令
分配命令授权
分配错误状态
device_maps 文件
device_allocate 文件
设备清理脚本
磁带的设备清理脚本
软盘驱动器和 CD-ROM 驱动器的设备清理脚本
音频的设备清理脚本
编写新的设备清理脚本
第 5 章 使用基本审计报告工具(任务)
基本审计报告工具(概述)
BART 功能
BART 组件
BART 清单
BART 报告
BART Rules 文件
使用 BART(任务列表)
使用 BART(任务)
BART 安全注意事项
如何创建清单
如何自定义清单
如何比较同一系统在一段时间内的清单
如何比较不同系统的清单与控制系统的清单
如何通过指定文件属性自定义 BART 报告
如何通过使用 Rules 文件自定义 BART 报告
BART 清单、Rules 文件和报告(参考)
BART 清单文件格式
BART Rules 文件格式
Rules 文件属性
引用语法
BART 报告
BART 输出
第 6 章 控制对文件的访问(任务)
使用 UNIX 权限保护文件
用于查看和保证文件安全的命令
文件和目录的拥有权
UNIX 文件权限
特殊文件权限(setuid、setgid 和 Sticky 位)
setuid 权限
setgid 权限
Sticky 位
缺省 umask 值
文件权限模式
使用访问控制列表保护文件
文件的 ACL 项
目录的 ACL 项
用于管理 ACL 的命令
防止可执行文件危及安全
保护文件(任务列表)
使用 UNIX 权限保护文件(任务列表)
如何显示文件信息
如何更改文件的属主
如何更改文件的组拥有权
如何在符号模式下更改文件权限
如何在绝对模式下更改文件权限
如何在绝对模式下更改特殊文件权限
使用 ACL 保护文件(任务列表)
如何检查文件是否具有 ACL
如何将 ACL 项添加到文件
如何复制 ACL
如何更改文件的 ACL 项
如何删除文件的 ACL 项
如何显示文件的 ACL 项
防止程序受到安全风险(任务列表)
如何使用特殊文件权限查找文件
如何禁止程序使用可执行栈
第 7 章 使用自动安全性增强工具(任务)
自动安全性增强工具 (Automated Security Enhancement Tool, ASET)
ASET 安全级别
ASET 任务列表
系统文件权限调优
系统文件检查
用户和组检查
系统配置文件检查
环境变量检查
eeprom 检查
防火墙设置
ASET 执行日志
ASET 执行日志文件的示例
ASET 报告
ASET 报告文件的格式
检查 ASET 报告文件
比较 ASET 报告文件
ASET 主文件
调优文件
uid_aliases 文件
核对表文件
ASET 环境文件 (asetenv)
配置 ASET
修改环境文件 (asetenv )
选择要运行的任务: TASKS
指定系统文件检查任务的目录: CKLISTPATH
安排 ASET 执行: PERIODIC_SCHEDULE
指定别名文件: UID_ALIASES
将检查扩展到 NIS+ 表: YPCHECK
修改调优文件
恢复 ASET 修改的系统文件
使用 NFS 系统进行网络操作
为每种安全级别提供全局配置
收集 ASET 报告
ASET 环境变量
ASETDIR 环境变量
ASETSECLEVEL 环境变量
PERIODIC_SCHEDULE 环境变量
TASKS 环境变量
UID_ALIASES 环境变量
YPCHECK 环境变量
CKLISTPATH_level 环境变量
ASET 文件示例
调优文件示例
别名文件示例
运行 ASET(任务列表)
如何交互运行 ASET
如何定期运行 ASET
如何停止定期运行 ASET
如何在服务器上收集 ASET 报告
解决 ASET 问题
ASET 错误消息
第 3 部分 角色、权限配置文件和权限
第 8 章 使用角色和权限(概述)
基于角色的访问控制(概述)
RBAC:超级用户模型的替代项
Solaris RBAC 元素和基本概念
RBAC 授权
授权和权限
特权应用程序和 RBAC
检查 UID 和 GID 的应用程序
检查权限的应用程序
检查授权的应用程序
RBAC 权限配置文件
RBAC 角色
RBAC 中的配置文件 Shell
名称服务范围和 RBAC
直接指定安全属性时的安全注意事项
权限(概述)
权限保护内核进程
权限说明
具有权限的系统的管理差别
如何实现权限
进程如何获取权限
指定权限
扩展用户或角色的权限
限制用户或角色的权限
向脚本指定权限
权限和设备
权限和调试
第 9 章 使用基于角色的访问控制(任务)
使用 RBAC(任务列表)
配置 RBAC(任务列表)
配置 RBAC
如何规划 RBAC 实现
如何使用 GUI 创建和指定角色
如何通过命令行创建角色
如何将角色指定给本地用户
如何审计角色
如何使 root 用户成为角色
使用角色(任务列表)
使用角色
如何在终端窗口中承担角色
如何在 Solaris Management Console 中承担角色
管理 RBAC(任务列表)
管理 RBAC
如何更改角色的属性
如何创建或更改权限配置文件
如何更改用户的 RBAC 属性
如何为传统应用程序添加 RBAC 属性
第 10 章 基于角色的访问控制(参考)
权限配置文件的内容
主管理员权限配置文件
系统管理员权限配置文件
操作员权限配置文件
打印机管理权限配置文件
基本 Solaris 用户权限配置文件
所有权限配置文件
权限配置文件的顺序
查看权限配置文件的内容
授权命名和委托
授权命名约定
授权粒度示例
授权中的授权委托
支持 RBAC 的数据库
RBAC 数据库关系
RBAC 数据库和名称服务
user_attr 数据库
auth_attr 数据库
prof_attr 数据库
exec_attr 数据库
policy.conf 文件
RBAC 命令
管理 RBAC 的命令
要求授权的命令
第 11 章 权限(任务)
管理和使用权限(任务列表)
管理权限(任务列表)
管理权限
如何确定进程的权限
如何确定程序所需的权限
如何为命令添加权限
如何将权限指定给用户或角色
如何限制用户或角色的权限
如何运行具有特权命令的 Shell 脚本
确定权限(任务列表)
确定已指定的权限
如何确定已直接指定给您的权限
如何确定可以运行的特权命令
如何确定角色可以运行的特权命令
第 12 章 权限(参考)
用于处理权限的管理命令
包含权限信息的文件
权限和审计
防止权限升级
传统应用程序和权限模型
第 4 部分 Solaris 加密服务
第 13 章 Solaris 加密框架(概述)
Solaris 加密框架的新增功能
Solaris 加密框架
Solaris 加密框架术语
Solaris 加密框架的范围
Solaris 加密框架中的管理命令
Solaris 加密框架中的用户级命令
第三方软件的二进制文件签名
Solaris 加密框架插件
加密服务和区域
第 14 章 Solaris 加密框架(任务)
使用加密框架(任务列表)
使用 Solaris 加密框架保护文件(任务列表)
使用 Solaris 加密框架保护文件
如何生成对称密钥
如何计算文件摘要
如何计算文件的 MAC
如何加密和解密文件
管理加密框架(任务列表)
管理加密框架
如何列出可用提供器
如何添加软件提供器
如何禁止使用用户级机制
如何禁止使用内核软件提供器
如何列出硬件提供器
如何禁用硬件提供器机制和功能
如何刷新或重新启动所有加密服务
第 5 部分 验证服务和安全通信
第 15 章 使用验证服务(任务)
安全 RPC 概述
NFS 服务和安全 RPC
使用安全 NFS 的 DES 加密
Kerberos 验证
Diffie-Hellman 验证
Diffie-Hellman 验证的实现
生成公钥和密钥
运行 keylogin 命令
生成对话密钥
初始联系服务器
解密对话密钥
在服务器上存储信息
将检验器返回到客户机
验证服务器
处理事务
管理安全 RPC(任务列表)
使用安全 RPC 管理验证
如何重新启动安全 RPC Keyserver
如何为 NIS+ 主机设置 Diffie-Hellman 密钥
如何为 NIS+ 用户设置 Diffie-Hellman 密钥
如何为 NIS 主机设置 Diffie-Hellman 密钥
如何为 NIS 用户设置 Diffie-Hellman 密钥
如何通过 Diffie-Hellman 验证共享 NFS 文件
第 16 章 使用 PAM
PAM(概述)
使用 PAM 的益处
PAM 组件
PAM 框架
Solaris 10 发行版对 PAM 所做的更改
PAM(任务)
PAM(任务列表)
规划 PAM 实现
如何添加 PAM 模块
如何使用 PAM 防止从远程系统进行 Rhost 样式的访问
如何记录 PAM 错误报告
PAM 配置文件(参考)
PAM 配置文件语法
PAM 的服务名称
PAM 模块类型
PAM 控制标志
PAM 模块
通用 pam.conf 文件的示例
第 17 章 使用 SASL
SASL(概述)
SASL(参考)
SASL 插件
SASL 环境变量
SASL 选项
第 18 章 使用 Solaris 安全 Shell(任务)
Solaris 安全 Shell(概述)
Solaris 安全 Shell 验证
企业中的 Solaris 安全 Shell
Solaris 10 发行版中 Solaris 安全 Shell 的增强功能
Solaris 安全 Shell(任务列表)
配置 Solaris 安全 Shell(任务列表)
配置 Solaris 安全 Shell
如何为 Solaris 安全 Shell 设置基于主机的验证
如何启用 Solaris 安全 Shell v1
如何在 Solaris 安全 Shell 中配置端口转发
使用 Solaris 安全 Shell(任务列表)
使用 Solaris 安全 Shell
如何生成用于 Solaris 安全 Shell 的公钥/私钥对
如何更改 Solaris 安全 Shell 私钥的口令短语
如何使用 Solaris 安全 Shell 登录到远程主机
如何减少 Solaris 安全 Shell 中的口令提示
如何将 ssh-agent 命令设置为自动运行
如何在 Solaris 安全 Shell 中使用端口转发
如何使用 Solaris 安全 Shell 复制文件
如何设置到防火墙外部主机的缺省连接
第 19 章 Solaris 安全 Shell(参考)
典型的 Solaris 安全 Shell 会话
Solaris 安全 Shell 中会话的特征
Solaris 安全 Shell 中的验证和密钥交换
获取 Solaris 安全 Shell 中的 GSS 凭证
Solaris 安全 Shell 中的命令执行和数据转发
Solaris 安全 Shell 中的客户机和服务器配置
Solaris 安全 Shell 中的客户机配置
Solaris 安全 Shell 中的服务器配置
Solaris 安全 Shell 中的关键字
Solaris 安全 Shell 中的主机特定参数
Solaris 安全 Shell 和登录环境变量
维护 Solaris 安全 Shell 中的已知主机
Solaris 安全 Shell 软件包和初始化
Solaris 安全 Shell 文件
Solaris 安全 Shell 命令
第 6 部分 Kerberos 服务
第 20 章 Kerberos 服务介绍
什么是 Kerberos 服务?
Kerberos 服务的工作方式
初始验证:票证授予票证
后续 Kerberos 验证
Kerberos 远程应用程序
Kerberos 主体
Kerberos 领域
Kerberos 领域和服务器
Kerberos 安全服务
各种 Kerberos 发行版的组件
Kerberos 组件
Solaris 10 发行版中的 Kerberos 增强功能
Solaris 10 6/06 发行版的 Kerberos 新增功能
Solaris 9 发行版中的 Kerberos 组件
SEAM 1.0.2 组件
Solaris 8 发行版中的 Kerberos 组件
SEAM 1.0.1 组件
SEAM 1.0 组件
第 21 章 规划 Kerberos 服务
为什么要规划 Kerberos 部署?
Kerberos 领域
领域名称
领域数
领域分层结构
将主机名映射到领域
客户机名称和服务主体名称
KDC 端口和管理服务端口
从 KDC 数
将 GSS 凭证映射到 UNIX 凭证
自动将用户迁移到 Kerberos 领域
要使用的数据库传播系统
领域内的时钟同步
客户机安装选项
Kerberos 加密类型
SEAM Administration Tool 中的联机帮助 URL
第 22 章 配置 Kerberos 服务(任务)
配置 Kerberos 服务(任务列表)
配置其他 Kerberos 服务(任务列表)
配置 KDC 服务器
如何配置主 KDC
如何配置从 KDC
配置跨领域验证
如何建立分层跨领域验证
如何建立直接跨领域验证
配置 Kerberos 网络应用程序服务器
如何配置 Kerberos 网络应用程序服务器
配置 Kerberos NFS 服务器
如何配置 Kerberos NFS 服务器
如何创建凭证表
如何向凭证表中添加单个项
如何提供各领域之间的凭证映射
如何使用多种 Kerberos 安全模式设置安全的 NFS 环境
配置 Kerberos 客户机
配置 Kerberos 客户机(任务列表)
如何创建 Kerberos 客户机安装配置文件
如何自动配置 Kerberos 客户机
如何交互配置 Kerberos 客户机
如何手动配置 Kerberos 客户机
如何以 root 用户身份访问受 Kerberos 保护的 NFS 文件系统
在 Kerberos 领域中配置用户自动迁移
同步 KDC 和 Kerberos 客户机的时钟
交换主 KDC 和从 KDC
如何配置可交换的从 KDC
如何交换主 KDC 和从 KDC
管理 Kerberos 数据库
备份和传播 Kerberos 数据库
kpropd.acl 文件
kprop_script 命令
如何备份 Kerberos 数据库
如何恢复 Kerberos 数据库
如何重新装入 Kerberos 数据库
如何重新配置主 KDC 以使用增量传播
如何重新配置从 KDC 以使用增量传播
如何配置从 KDC 以使用完全传播
如何验证 KDC 服务器是否已同步
如何手动将 Kerberos 数据库传播到从 KDC
设置并行传播
设置并行传播的配置步骤
管理存储文件
如何删除存储文件
增强 Kerberos 服务器的安全性
如何仅启用基于 Kerberos 的应用程序
如何限制对 KDC 服务器的访问
第 23 章 Kerberos 错误消息和疑难解答
Kerberos 错误消息
SEAM Administration Tool 错误消息
常见的 Kerberos 错误消息 (A-M)
常见的 Kerberos 错误消息 (N-Z)
Kerberos 疑难解答
krb5.conf 文件的格式存在问题
传播 Kerberos 数据库时出现问题
挂载基于 Kerberos 的 NFS 文件系统时出现问题
以 root 身份进行验证时出现问题
观察从 GSS 凭证到 UNIX 凭证的映射
第 24 章 管理 Kerberos 主体和策略(任务)
管理 Kerberos 主体和策略的方法
SEAM Administration Tool
SEAM Tool 的等效命令行
SEAM Tool 修改的唯一文件
SEAM Tool 的打印和联机帮助功能
在 SEAM Tool 中处理大型列表
如何启动 SEAM Tool
管理 Kerberos 主体
管理 Kerberos 主体(任务列表)
自动创建新的 Kerberos 主体
如何查看 Kerberos 主体列表
如何查看 Kerberos 主体属性
如何创建新的 Kerberos 主体
如何复制 Kerberos 主体
如何修改 Kerberos 主体
如何删除 Kerberos 主体
如何设置缺省值以创建新的 Kerberos 主体
如何修改 Kerberos 管理权限
管理 Kerberos 策略
管理 Kerberos 策略(任务列表)
如何查看 Kerberos 策略列表
如何查看 Kerberos 策略属性
如何创建新的 Kerberos 策略
如何复制 Kerberos 策略
如何修改 Kerberos 策略
如何删除 Kerberos 策略
SEAM Tool 参考
SEAM Tool 面板说明
以受限 Kerberos 管理权限使用 SEAM Tool
管理密钥表文件
管理密钥表文件(任务列表)
如何将 Kerberos 服务主体添加至密钥表文件
如何从密钥表文件中删除服务主体
如何显示密钥表文件中的密钥列表(主体)
如何临时禁用对主机上的服务的验证
第 25 章 使用 Kerberos 应用程序(任务)
Kerberos 票证管理
是否需要担心票证?
创建 Kerberos 票证
示例-创建 Kerberos 票证
查看 Kerberos 票证
示例-查看 Kerberos 票证
销毁 Kerberos 票证
Kerberos 口令管理
口令选择建议
更改口令
示例-更改口令
授予对帐户的访问权限
示例-使用 .k5login 文件授予对帐户的访问权限
Kerberos 用户命令
基于 Kerberos 的命令概述
转发 Kerberos 票证
示例-使用基于 Kerberos 的命令
示例-将 -a、-f 和 -x 选项用于 telnet
示例-使用带有 -F 选项的 rlogin
示例-在 ftp 中设置保护级别
第 26 章 Kerberos 服务(参考)
Kerberos 文件
Kerberos 命令
Kerberos 守护进程
Kerberos 术语
特定于 Kerberos 的术语
特定于验证的术语
票证类型
票证生命周期
Kerberos 主体名称
Kerberos 验证系统的工作方式
使用 Kerberos 获取服务访问权限
获取用于票证授予服务的凭证
获取用于服务器的凭证
获取对特定服务的访问权限
使用 Kerberos 加密类型
使用 gsscred 表
Solaris Kerberos 和 MIT Kerberos 之间的显著差异
第 7 部分 Solaris 审计
第 27 章 Solaris 审计(概述)
什么是审计?
审计如何工作?
审计如何与安全相关?
审计术语和概念
审计事件
审计类和预选
审计记录和审计标记
审计文件
审计存储
检查审计跟踪
Solaris 10 发行版中的 Solaris 审计增强功能
第 28 章 规划 Solaris 审计
规划 Solaris 审计(任务列表)
规划 Solaris 审计(任务)
如何在区域中规划审计
如何规划审计记录的存储
如何规划要审计的对象及内容
确定审计策略
控制审计成本
延长审计数据的处理时间带来的成本
分析审计数据的成本
存储审计数据的成本
有效审计
第 29 章 管理 Solaris 审计(任务)
Solaris 审计(任务列表)
配置审计文件(任务列表)
配置审计文件
如何修改 audit_control 文件
如何配置 syslog 审计日志
如何更改用户审计特征
如何添加审计类
如何更改审计事件的类成员关系
配置和启用审计服务(任务列表)
配置和启用审计服务
如何创建审计文件的分区
如何配置 audit_warn 电子邮件别名
如何配置审计策略
如何启用审计
如何禁用审计
如何更新审计服务
管理审计记录(任务列表)
管理审计记录
如何显示审计记录格式
如何合并审计跟踪中的审计文件
如何从审计跟踪中选择审计事件
如何查看二进制审计文件的内容
如何清除 not_terminated 审计文件
如何防止审计跟踪溢出
第 30 章 Solaris 审计(参考)
审计命令
auditd 守护进程
audit 命令
bsmrecord 命令
auditreduce 命令
praudit 命令
auditconfig 命令
在审计服务中使用的文件
system 文件
syslog.conf 文件
audit_class 文件
audit_control 文件
audit_event 文件
audit_startup 脚本
audit_user 数据库
audit_warn 脚本
bsmconv 脚本
用于管理审计的权限配置文件
审计和 Solaris Zones
审计类
审计类的定义
审计类语法
审计策略
进程审计特征
审计跟踪
二进制审计文件名称约定
二进制审计文件名称
二进制审计文件时间标记
审计记录结构
审计记录分析
审计标记格式
acl 标记
arbitrary 标记(已过时)
arg 标记
attribute 标记
cmd 标记
exec_args 标记
exec_env 标记
exit 标记(已过时)
file 标记
group 标记(已过时)
groups 标记
header 标记
in_addr 标记
ip 标记(已过时)
ipc 标记
ipc_perm 标记
iport 标记
opaque 标记(已过时)
path 标记
path_attr 标记
privilege 标记
process 标记
return 标记
sequence 标记
socket 标记
subject 标记
text 标记
trailer 标记
uauth 标记
zonename 标记
词汇表
© 2010, Oracle Corporation and/or its affiliates