Configuration de RBAC pour l'accès à la console invité

Le démon vntsd fournit la propriété SMF (Service Management Facility, utilitaire de gestion des services) appelée vntsd/authorization. Cette propriété peut être configurée pour activer le contrôle d'autorisation pour les utilisateurs et les rôles pour une console de domaine ou un groupe de consoles. Pour activer le contrôle d'autorisation, utilisez la commande svccfg pour définir la valeur de cette propriété sur true. Lorsque cette option est activée, vntsd écoute et accepte les connexions uniquement sur localhost. Si la propriété listen_addr indique une autre adresse IP lorsque vntsd/authorization est activé, vntsd ignore l'autre adresse IP et continue à écouter uniquement sur localhost.

---

Attention - Ne configurez pas le service vntsd pour utiliser un hôte autre que localhost. Si vous spécifiez un hôte différent de localhost, vous n'êtes plus empêché de vous connecter aux consoles de domaine invitées à partir du domaine de contrôle. Si vous vous connectez à distance à un domaine invité à l'aide de la commande telnet, les informations d'identification de connexion sont transmises en texte clair sur le réseau.

---

Par défaut, une autorisation d'accès à toutes les consoles invitées est présente dans la base de données auth_attr locale.

solaris.vntsd.consoles:::Access All LDoms Guest Consoles::

Exécutez la commande usermod pour affecter les autorisations requises à d'autres utilisateurs ou rôles dans des fichiers locaux. Ainsi, seul l'utilisateur ou le rôle qui possède les autorisations requises peut accéder à une console ou un groupe de consoles de domaine en particulier. Pour affecter des autorisations à d'autres utilisateurs ou rôles dans un service de nommage, reportez-vous au System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) .

L'exemple suivant donne à l'utilisateur terry l'autorisation d'accéder à toutes les consoles de domaine en mettant à jour les fichiers locaux :

# usermod -A "solaris.vntsd.consoles" terry

Ajout d'une autorisation à une console de domaine

Cette procédure indique la manière d'ajouter une autorisation pour une console de domaine particulière et d'assigner cette autorisation à un utilisateur via des fichiers locaux. Pour gérer les autorisations et les utilisateurs dans un service de nommage, reportez-vous au System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) .

Pour plus d'informations sur les autorisations et le RBAC, reportez-vous au System Administration Guide: Security Services.

1. Ajoutez une entrée d'autorisation au fichier auth_attr local pour un domaine.

   solaris.vntsd.console-domain-name:::Access domain-name Guest Console::

2. Affectez la nouvelle autorisation à un utilisateur.

   # usermod -A "solaris.vntsd.console-domain-name" username

Exemple 3-2 Ajout d'une autorisation à une console de domaine

L'exemple suivant illustre l'ajout d'une nouvelle autorisation pour une console de domaine spécifique avec le nom ldg1 et l'assignation de cette autorisation à l'utilisateur sam.

L'entrée d'autorisation suivante est ajoutée au fichier auth_attr local pour le domaine ldg1 :

solaris.vntsd.console-ldg1:::Access ldg1 Guest Console::

La commande suivante assigne la nouvelle autorisation à l'utilisateur sam :

# usermod -A "solaris.vntsd.console-ldg1" sam