Denominación y delegación de autorizaciones

Una autorización RBAC es un derecho perfectamente definido que se puede otorgar a un rol o a un usuario. Las aplicaciones compatibles con RBAC comprueban las autorizaciones antes de que un usuario obtenga acceso a la aplicación u operaciones específicas dentro de la aplicación. Esta comprobación reemplaza las pruebas en las aplicaciones UNIX convencionales para UID=0.

Convenciones de denominación de autorizaciones

Una autorización tiene un nombre que se utiliza internamente y en archivos. Por ejemplo, solaris.admin.usermgr.pswd es el nombre de una autorización. Una autorización tiene una descripción breve, que aparece en las interfaces gráficas de usuario (GUI). Por ejemplo, Change Passwords es la descripción de la autorización solaris.admin.usermgr.pswd.

Por convención, todos los nombres de autorizaciones constan del orden inverso del nombre del proveedor en Internet, el área temática, las subáreas y la función. Las partes del nombre de la autorización están separados por puntos. Un ejemplo sería com.xyzcorp.dispositivo.acceso. Las excepciones a esta convención son las autorizaciones de Sun Microsystems, Inc., que utilizan el prefijo solaris en lugar de un nombres de Internet. La convención de denominación permite a los administradores aplicar autorizaciones de un modo jerárquico. Un carácter comodín (*) puede representar cualquier cadena a la derecha de un punto.

Ejemplo de granularidad de autorizaciones

Como ejemplo de la manera en que se utilizan las autorizaciones, tenga en cuenta lo siguiente: Un usuario en el rol de operador puede estar limitado a la autorización solaris.admin.usermgr.read, la cual proporciona acceso de lectura, pero no de escritura en los archivos de configuración de usuario. El rol de administrador del sistema tiene lógicamente las autorizaciones solaris.admin.usermgr.read y solaris.admin.usermgr.write para efectuar cambios en archivos de usuario. Sin embargo, sin la autorización solaris.admin.usermgr.pswd, el administrador del sistema no puede cambiar contraseñas. El administrador principal tiene todas estas tres autorizaciones.

La autorización solaris.admin.usermgr.pswd se requiere para realizar cambios de contraseña en la herramienta Users de Solaris Management Console. Esta autorización también se necesita para usar las opciones de modificación de contraseñas en los comandos smuser, smmultiuser y smrole.

Autoridad de delegación en autorizaciones

Una autorización que finaliza con el sufijo grant permite a un usuario o rol delegar a otros usuarios las autorizaciones asignadas que comienzan con el mismo prefijo.

Por ejemplo, un rol con las autorizaciones solaris.admin.usermgr.grant y solaris.admin.usermgr.read puede delegar la autorización solaris.admin.usermgr.read a otro usuario. Un rol con las autorizaciones solaris.admin.usermgr.grant y solaris.admin.usermgr.* puede delegar cualquiera de las autorizaciones con el prefijo solaris.admin.usermgr a otros usuarios.