Contrôle de l'accès à la commande crontab

Vous pouvez contrôler l'accès à la commande crontab en utilisant deux fichiers du répertoire /etc/cron.d : cron.deny et cron.allow. Ces fichiers permettent uniquement aux utilisateurs spécifiés d'exécuter les tâches de commande crontab telles que la création, la modification, l'affichage ou la suppression de leurs propres fichiers crontab.

Les fichiers cron.deny et cron.allow contiennent une liste de noms d'utilisateur, chaque ligne comportant un seul nom.

Ces fichiers de contrôle d'accès fonctionnent comme suit :

• Si cron.allow existe, seuls les utilisateurs figurant dans ce fichier peuvent créer, modifier, afficher ou supprimer des fichiers crontab.

• Si cron.allow n'existe pas, tous les utilisateurs peuvent soumettre des fichiers crontab, à l'exception de ceux qui figurent dans cron.deny.

• Si ni cron.allow ni cron.deny n'existent, les privilèges de superutilisateur sont requis pour exécuter la commande crontab .

Les privilèges de superutilisateur sont requis pour modifier ou créer les fichiers cron.deny et cron.allow.

Le fichier cron.deny, qui est créé pendant l'installation du logiciel SunOS, contient les noms d'utilisateur suivants :

$ cat /etc/cron.d/cron.deny
daemon
bin
smtp
nuucp
listen
nobody
noaccess

Aucun des noms d'utilisateur du fichier cron.deny par défaut ne peut accéder à la commande crontab. Vous pouvez modifier ce fichier afin d'ajouter d'autres noms d'utilisateur qui n'auront pas accès à la commande crontab.

Aucun fichier cron.allow n'est fourni par défaut. Par conséquent, une fois le logiciel Oracle Solaris installé, tous les utilisateurs (à l'exception de ceux qui figurent dans le fichier cron.deny par défaut) peuvent accéder à la commande crontab. Si vous créez un fichier cron.allow, seuls ces utilisateurs peuvent accéder à la commande crontab.

Refus d'accès à la commande crontab

1. Connectez-vous en tant que superutilisateur ou prenez un rôle équivalent.

   Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.

2. Modifiez le fichier /etc/cron.d/cron.deny et ajoutez des noms d'utilisateur, un par ligne. Ajoutez les utilisateurs qui n'auront pas accès aux commandes crontab.

   daemon
   bin
   smtp
   nuucp
   listen
   nobody
   noaccess
   username1
   username2
   username3
   .
   .
   .

3. Vérifiez que le fichier /etc/cron.d/cron.deny contient les nouvelles entrées.

   # cat /etc/cron.d/cron.deny
   daemon
   bin
   nuucp
   listen
   nobody
   noaccess

Restriction de l'accès à la commande crontab aux utilisateurs spécifiés

1. Connectez-vous en tant que superutilisateur ou prenez un rôle équivalent.

   Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du System Administration Guide: Security Services.

2. Créez le fichier /etc/cron.d/cron.allow.
3. Ajoutez le nom d'utilisateur root au fichier cron.allow.

   Si vous n'ajoutez pas root au fichier, l'accès superutilisateur aux commandes crontab sera refusé.

4. Ajoutez les noms d'utilisateur, un par ligne.

   Ajoutez les utilisateurs qui seront autorisés à utiliser la commande crontab.

   root
   username1
   username2
   username3
   .
   .
   .

Exemple 8-6 Restriction de l'accès à la commande crontab aux utilisateurs spécifiés

L'exemple suivant illustre un fichier cron.deny qui empêche les noms d'utilisateur jones, temp et visitor d'accéder à la commande crontab.

$ cat /etc/cron.d/cron.deny
daemon
bin
smtp
nuucp
listen
nobody
noaccess
jones
temp
visitor

L'exemple suivant illustre un fichier cron.allow. Les utilisateurs root, jones, lp et smith sont les seuls à pouvoir accéder à la commande crontab.

$ cat /etc/cron.d/cron.allow
root
jones
lp
smith

Vérification de l'accès restreint à la commande crontab

Pour vérifier si un utilisateur spécifique peut accéder à la commande crontab, utilisez la commande crontab -l lorsque vous êtes connecté au compte d'utilisateur.

$ crontab -l

Si l'utilisateur peut accéder à la commande crontab et s'il a déjà créé un fichier crontab, le fichier s'affiche. Dans le cas contraire, si l'utilisateur peut accéder à la commande crontab, mais si aucun fichier crontab n'existe, un message similaire à celui ci-dessous s'affiche :

crontab: can't open your crontab file

Soit l'utilisateur est répertorié dans le fichier cron.allow (si ce fichier existe), soit il n'est pas répertorié dans le fichier cron.deny.

Si l'utilisateur ne peut pas accéder à la commande crontab, le message suivant s'affiche, qu'un fichier crontab antérieur existe ou non :

crontab: you are not authorized to use cron. Sorry.

Ce message signifie que l'utilisateur ne figure pas dans le fichier cron.allow (si ce fichier existe) ou qu'il figure dans le fichier cron.deny .