Configuración de RBAC para el acceso de la consola huésped

El daemon vntsd ofrece una propiedad de dispositivo de administración de servicios (SMF) denominada vntsd/authorization. Esta propiedad puede configurarse para habilitar la comprobación de autorización de usuarios y funciones para una consola de dominio o un grupo de consola. Para habilitar la comprobación de autorización, use el comando svccfg para fijar el valor de esta propiedad en true. Mientras esta opción está habilitada, vntsd escucha y acepta conexiones sólo en localhost. Si la propiedad listen_addr especifica una dirección IP alternativa cuando vntsd/authorization está habilitado, vntsd ignora las direcciones IP alternativas y continúa escuchando sólo en localhost.

---

Precaución - No configure el servicio vntsd para usar un host que no sea localhost. Si especifica un host que no sea localhost, ya no se le impedirá conectarse a las consolas de dominio huésped desde el dominio de control. Si utiliza el comando telnet para conectarse remotamente a un dominio huésped, las credenciales de inicio de sesión se transferirán como texto no cifrado por la red.

---

De modo predeterminado, en la base de datos auth_attr local hay una autorización para acceder a todas las consolas huésped.

solaris.vntsd.consoles:::Access All LDoms Guest Consoles::

Utilice el comando usermod para asignar las autorizaciones necesarias a otros usuarios o funciones en los archivos locales. Esto permite que sólo el usuario o función que tienen las autorizaciones necesarias puedan acceder a una consola de dominio o un grupo de consolas específicos. Para asignar autorizaciones a otros usuarios o funciones en un servicio de asignación de nombres, consulte System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) .

En el ejemplo siguiente se otorga al usuario terry la autorización para acceder a todas las consolas de dominio actualizando los archivos locales:

# usermod -A "solaris.vntsd.consoles" terry

Adición de una autorización para una consola de dominio

Este procedimiento muestra cómo añadir una autorización nueva a una consola de dominio específica y cómo asignar dicha autorización a un usuario mediante el uso de archivos locales. Para administrar las autorizaciones y los usuarios de un servicio de asignación de nombres, consulte System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) .

Para más información sobre autorizaciones y RBAC, véase Guía de administración del sistema: servicios de seguridad.

1. Añada una entrada de autorización al archivo auth_attr local para un dominio.

   solaris.vntsd.console-domain-name:::Access domain-name Guest Console::

2. Asigne la nueva autorización a un usuario.

   # usermod -A "solaris.vntsd.console-domain-name" username

Ejemplo 3-2 Adición de una autorización para una consola de dominio

El ejemplo siguiente agrega una nueva autorización para una consola de dominio específica con el nombre ldg1 y asigna dicha autorización al usuario sam.

La siguiente entrada de autorización se agrega al archivo auth_attr local para el dominio ldg1:

solaris.vntsd.console-ldg1:::Access ldg1 Guest Console::

El comando siguiente asigna la nueva autorización al usuario sam:

# usermod -A "solaris.vntsd.console-ldg1" sam