Ignorer les liens de navigation | |
Quitter l'aperu | |
Guide d'administration système : Services de sécurité |
Partie I Présentation de la sécurité
1. Services de sécurité (présentation)
Partie II Sécurité du système, des fichiers et des périphériques
2. Gestion de la sécurité de la machine (présentation)
3. Contrôle de l'accès aux systèmes (tâches)
4. Contrôle de l'accès aux périphériques (tâches)
5. Utilisation de l'outil de génération de rapports d'audit de base (tâches)
6. Contrôle de l'accès aux fichiers (tâches)
7. Utilisation d'Automated Security Enhancement Tool (Tâches)
Partie III Rôles, profils de droits et privilèges
8. Utilisation des rôles et des privilèges (présentation)
9. Utilisation du contrôle d'accès basé sur les rôles (tâches)
Utilisation de RBAC (liste des tâches)
Configuration de RBAC (liste des tâches)
Procédure de planification de votre implémentation RBAC
Procédure de création et d'attribution d'un rôle à l'aide de l'interface graphique
Procédure de création d'un rôle à partir de la ligne de commande
Utilisation des rôles (liste des tâches)
Procédure d'endossement d'un rôle dans une fenêtre de terminal
Procédure d'endossement d'un rôle dans la console de gestion Solaris
Gestion de RBAC (liste des tâches)
Procédure de modification du mot de passe d'un rôle
Procédure de modification des propriétés d'un rôle
Procédure de création ou de modification d'un profil de droits
Procédure de modification des propriétés RBAC d'un utilisateur
Procédure d'ajout de propriétés RBAC aux anciennes applications
10. Contrôle d'accès basé sur les rôles (référence)
Partie IV Services cryptographiques
13. Structure cryptographique Oracle Solaris (présentation)
14. Structure cryptographique Oracle Solaris (tâches)
15. Structure de gestion des clés Oracle Solaris
Partie V Services d'authentification et communication sécurisée
16. Utilisation des services d'authentification (tâches)
19. Utilisation d'Oracle Solaris Secure Shell (tâches)
20. Oracle Solaris Secure Shell (référence)
21. Introduction au service Kerberos
22. Planification du service Kerberos
23. Configuration du service Kerberos (tâches)
24. Messages d'erreur et dépannage de Kerberos
25. Administration des principaux et des stratégies Kerberos (tâches)
26. Utilisation des applications Kerberos (tâches)
27. Service Kerberos (référence)
Partie VII Audit Oracle Solaris
28. Audit Oracle Solaris (présentation)
29. Planification de l'audit Oracle Solaris
30. Gestion de l'audit Oracle Solaris (tâches)
RBAC peut être configuré à l'aide des utilitaires suivants :
Interface graphique de la console de gestion Solaris : la méthode recommandée pour l'exécution des tâches liées à RBAC est l'utilisation de l'interface graphique. Les outils de la console pour gérer les éléments RBAC sont contenus dans la collection d'outils des utilisateurs.
Commandes de la console de gestion Solaris : grâce aux interfaces de ligne de commande de la console de gestion Solaris, telles que smrole, vous pouvez travailler sur n'importe quel service de noms. Les commandes de la console de gestion Solaris nécessitent une authentification pour se connecter au serveur. Par conséquent, ces commandes ne sont pas pratiques à utiliser dans des scripts.
Commandes locales : grâce au jeu d'interfaces de ligne de commande user* et role*, telles que useradd, vous pouvez travailler sur les fichiers locaux uniquement. Les commandes permettant d'agir sur les fichiers locaux doivent être exécutées par un superutilisateur ou par un rôle doté des privilèges appropriés.
RBAC peut faire partie intégrante de la façon dont une entreprise gère ses sources d'informations. La planification requiert une connaissance approfondie des fonctionnalités de RBAC et des exigences en matière de sécurité de votre organisation.
Lisez la section Contrôle d'accès basé sur les rôles (présentation) . L'utilisation de RBAC pour administrer un système est très différente de l'utilisation des pratiques administratives UNIX conventionnelles. Vous devez vous familiariser avec les concepts RBAC avant de commencer l'implémentation. Pour plus de détails, reportez-vous au Chapitre 10Contrôle d'accès basé sur les rôles (référence).
La stratégie de sécurité de votre entreprise doit détailler les menaces potentielles pour votre système, mesurer les risques de chaque menace et disposer d'une stratégie pour les contrer. L'isolation des tâches liées à la sécurité par le biais de RBAC peut être une partie de la stratégie. Bien que vous puissiez installer les rôles recommandés et leurs configurations en l'état, vous pouvez être amené à personnaliser votre configuration RBAC pour adhérer à la stratégie de sécurité en vigueur.
En fonction de vos besoins en matière de sécurité, vous pouvez utiliser différents degrés de RBAC, comme suit :
Pas de RBAC : vous pouvez effectuer toutes les tâches en tant qu'utilisateur root. Dans cette configuration, vous devez vous connecter en tant que vous-même. Puis, vous entrez root comme utilisateur lorsque vous sélectionnez un outil de la console de gestion Solaris.
Rôle unique seulement : cette méthode ajoute un rôle. Le rôle unique se voit attribuer le profil de droits de l'administrateur principal. Cette méthode est similaire au modèle du superutilisateur, car le rôle dispose de capacités de superutilisateur. Cependant, cette méthode vous permet de suivre l'utilisateur qui a endossé le rôle.
Rôles recommandés : cette méthode crée trois rôles basés sur les profils de droits suivants : administrateur principal, administrateur système et opérateur. Les rôles sont bien adaptés pour les organisations ayant des administrateurs à différents niveaux de responsabilité.
Rôles personnalisés : vous pouvez créer vos propres rôles pour répondre aux exigences de sécurité de votre organisation. Les nouveaux rôles peuvent être basés sur des profils de droits existants ou personnalisés. Pour personnaliser des profils de droits permettant d'appliquer la séparation des tâches, reportez-vous à la section Création de rôles et d’utilisateurs dans Trusted Extensions du Guide de configuration d’Oracle Solaris Trusted Extensions.
Utilisateur root en tant que rôle : cette méthode empêche tout utilisateur de se connecter en tant que root. Au lieu de cela, les utilisateurs doivent se connecter en tant qu'utilisateurs standard avant d'endosser le rôle root. Pour plus de détails, reportez-vous à la section Procédure de changement d'un utilisateur root en rôle.
Passez en revue les capacités des rôles recommandés et des profils de droits par défaut. Les profils de droits par défaut permettent aux administrateurs de configurer un rôle recommandé en utilisant un seul profil.
Trois profils de droits par défaut sont disponibles pour la configuration des rôles recommandés :
Profil de droits de l'administrateur principal : pour configurer un rôle pouvant effectuer toutes les tâches d'administration, accorder des droits à d'autres personnes et modifier des droits associés à des rôles d'administration. Un utilisateur de ce rôle peut attribuer ce rôle et accorder des droits à d'autres utilisateurs.
Profil de droits de l'administrateur système : pour configurer un rôle pouvant effectuer la plupart des tâches d'administration qui ne sont pas liées à la sécurité. Par exemple, l'administrateur système peut ajouter de nouveaux comptes utilisateur, mais ne peut pas définir les mots de passe ou accorder des droits à d'autres utilisateurs.
Profil de droits de l'opérateur : pour configurer un rôle pouvant effectuer des tâches d'administration simples, telles que la sauvegarde de supports ou la maintenance d'imprimantes.
Pour examiner de manière plus approfondie les profils de droits, lisez l'un des textes suivants :
Dans le répertoire /etc/security, lisez le contenu de la base de données prof_attr et la base de données exec_attr.
Dans la console de gestion Solaris, utilisez l'outil de droits pour afficher le contenu d'un profil de droits.
Dans ce manuel, reportez-vous à la section Contenu des profils de droits pour obtenir le résumé de certains profils de droits habituels.
Recherchez d'autres applications ou familles d'applications sur votre site susceptibles de bénéficier d'un accès limité. Les applications affectant la sécurité, pouvant entraîner des problèmes de déni de service ou nécessitant une formation d'administrateur système particulière constituent de bons candidats pour RBAC. Vous pouvez personnaliser des rôles et des profils de droits pour gérer les exigences de sécurité de votre organisation.
Vérifiez si un profil de droits existant peut traiter cette tâche ou si un autre profil de droits doit être créé.
Choisissez si le profil de droits pour cette tâche doit être attribué à un rôle existant ou si un nouveau rôle doit être créé. Si vous utilisez un rôle existant, assurez-vous que les autres profils de droits sont appropriés pour les utilisateurs affectés à ce rôle.
Selon le principe du moindre privilège, vous devez affecter des utilisateurs à des rôles adaptés à leur niveau de confiance. Lorsque vous empêchez les utilisateurs d'accéder à des tâches qu'ils n'ont pas besoin d'effectuer, vous réduisez les problèmes potentiels.
Pour créer un nouveau rôle, vous pouvez être connecté en tant que superutilisateur ou vous pouvez utiliser le rôle d'administrateur principal. Dans cette procédure, le créateur du nouveau rôle a endossé le rôle d'administrateur principal.
Avant de commencer
Vous avez déjà créé des utilisateurs pouvant endosser un rôle sur votre site. Si les utilisateurs ne sont pas encore créés, créez-les en suivant les instructions de la section Utilisation des outils de gestion Solaris avec RBAC (liste des tâches) du Guide d’administration système : administration de base.
Le rôle d'administrateur principal vous a été attribué en suivant les procédures de la section Utilisation des outils de gestion Solaris avec RBAC (liste des tâches) du Guide d’administration système : administration de base.
# /usr/sbin/smc &
Pour plus d'instructions sur la connexion, reportez-vous à la section Procédure d'endossement d'un rôle dans la console de gestion Solaris.
Pour les rôles disponibles, reportez-vous aux Exemple 9-1 à Exemple 9-4.
Astuce - Tous les outils de la console de gestion Solaris affichent des informations dans la section inférieure de la page ou dans la partie gauche d'un panneau de l'assistant. Sélectionnez Help (Aide) à tout moment pour trouver des informations supplémentaires sur l'exécution de tâches dans cette interface.
Astuce - Après avoir rempli les propriétés du rôle, la dernière boîte de dialogue vous invite à sélectionner un utilisateur pour le rôle.
# svcadm restart system/name-service-cache
Pour plus d'informations, reportez-vous aux pages de manuel svcadm(1M) et nscd(1M).
Exemple 9-1 Création d'un rôle pour le profil de droits de l'administrateur système
Dans cet exemple, le nouveau rôle peut effectuer des tâches d'administration système qui ne sont pas liées à la sécurité. Le rôle est créé en effectuant la procédure précédente avec les paramètres suivants :
Nom de rôle : sysadmin
Nom de rôle complet : System Administrator
Description du rôle : Performs non-security admin tasks
Profil de droits : System Administrator
Ce profil de droits s'affiche en haut de la liste des profils inclus dans le rôle.
Exemple 9-2 Création d'un rôle pour le profil de droits de l'opérateur
Le profil de droits de l'opérateur peut gérer les imprimantes et sauvegarder le système sur un support hors ligne. Vous pouvez souhaiter attribuer le rôle à un utilisateur de chaque équipe. Pour ce faire, vous devez sélectionner l'option de liste de diffusion du rôle dans la boîte de dialogue Step 1: Enter a Role Name (Étape 1 : entrez un nom de rôle). Le rôle est créé en effectuant la procédure précédente avec les paramètres suivants :
Nom de rôle : operadm
Nom de rôle complet : Operator
Description du rôle : Backup operator
Profil de droits : Operator
Ce profil de droits doit s'afficher en haut de la liste des profils inclus dans le rôle.
Exemple 9-3 Création d'un rôle pour le profil de droits liés à la sécurité
Par défaut, le seul profil de droits contenant des commandes et des droits liés à la sécurité est le profil d'administrateur principal. Si vous souhaitez un rôle qui ne soit pas aussi puissant que l'administrateur principal, mais qui puisse gérer certaines tâches liées à la sécurité, vous devez créer ce rôle.
Dans l'exemple suivant, le rôle protège les périphériques. Le rôle est créé en effectuant la procédure précédente avec les paramètres suivants :
Nom de rôle complet : Device Security
Description du rôle : Configures Devices
Profil de droits : Device Security
Dans l'exemple suivant, le rôle protège les systèmes et les hôtes sur le réseau. Le rôle est créé en effectuant la procédure précédente avec les paramètres suivants :
Nom de rôle complet : Network Security
Description du rôle : Handles IPsec, IKE, and SSH
Profil de droits : Network Security
Exemple 9-4 Création d'un rôle pour un profil de droits de portée limitée
Un certain nombre de profils de droits ont une portée limitée. Dans cet exemple, l'unique tâche du rôle est de gérer DHCP. Le rôle est créé en effectuant la procédure précédente avec les paramètres suivants :
Nom de rôle : dhcpmgt
Nom de complet : DHCP Management
Description du rôle : Manages Dynamic Host Config Protocol
Profil de droits : DHCP Management
Exemple 9-5 Modification de l'attribution d'un rôle à un utilisateur
Dans cet exemple, un rôle est ajouté à un utilisateur existant. L'attribution d'un rôle à l'utilisateur est modifiée en cliquant sur l'icône des comptes utilisateur dans l'outil des utilisateurs de la console de gestion Solaris, en double-cliquant sur l'utilisateur et en suivant l'aide en ligne pour ajouter un rôle aux capacités de l'utilisateur.
Erreurs fréquentes
Vérifiez ce qui suit si le rôle ne dispose pas des capacités attendues :
Les profils de droits du rôle s'affichent-ils dans l'interface graphique du plus puissant au moins puissant ?
Par exemple, si le profil de droits All s'affiche en haut de la liste, aucune commande n'est exécutée avec les attributs de sécurité. Un profil contenant des commandes avec des attributs de sécurité doit précéder le profil de droits All dans la liste.
Les commandes des profils de droits du rôle disposent-elles des attributs de sécurité appropriés ?
Par exemple, lorsque la stratégie est suser, certaines commandes requièrent uid=0 plutôt que euid=0.
Le profil de droits est-il défini dans le champ d'application du service de noms approprié ? Le rôle est-il utilisé dans le champ d'application du service de noms où le profil de droits est défini ?
Le cache de service de noms, svc:/system/name-service-cache, a-t-il été redémarré ?
Le démon nscd peut avoir un long intervalle de durée de vie. En redémarrant le démon, vous mettez à jour le service de noms avec les données en cours.
L'interface graphique de la console de gestion Solaris est la méthode recommandée pour la gestion de RBAC. Pour utiliser l'interface graphique, reportez-vous à la section Procédure de création et d'attribution d'un rôle à l'aide de l'interface graphique. Vous pouvez également utiliser les interfaces de ligne de commande, de la manière décrite dans cette procédure.
Remarque - Ne tentez pas d'administrer RBAC à l'aide de la ligne de commande et de l'interface graphique en même temps. Des modifications conflictuelles pourraient être apportées à la configuration et le comportement du système serait imprévisible. Vous pouvez utiliser ces deux outils pour administrer RBAC, mais pas simultanément.
Avant de commencer
Pour créer un rôle, vous devez soit endosser un rôle incluant le profil de droits d'administrateur principal, soit vous connectez en tant qu'utilisateur root.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.
Remarque - La commande roleadd est plus limitée que l'interface graphique de la console de gestion Solaris ou les interfaces de ligne de commande. Après avoir exécuté la commande roleadd, vous devez exécuter la commande usermod pour attribuer le rôle à un utilisateur. Ainsi, l'utilisateur doit ensuite définir le mot de passe pour le rôle, tel qu'illustré dans la section Procédure d'attribution d'un rôle à un utilisateur local.
# roleadd -c comment \ -g group -m homedir -u UID -s shell \ -P profile rolename
Commentaire décrivant rolename.
Affectation du groupe pour rolename.
Chemin d'accès au répertoire personnel pour rolename.
UID pour rolename.
Shell de connexion pour rolename. Ce shell doit être un shell de profil.
Un ou plusieurs profils de droits pour rolename.
Nom du nouveau rôle local.
Cette commande crée un rôle dans un DNS, tel que NIS, NIS+ ou LDAP. Cette commande s'exécute en tant que client du serveur de la console de gestion Solaris.
$ /usr/sadm/bin/smrole -D domain-name \ -r admin-role -l <Type admin-role password> \ add -- -n rolename -a rolename -d directory\ -F full-description -p profile
Nom du domaine que vous souhaitez gérer.
Nom du rôle d'administration pouvant modifier le rôle. Le rôle d'administration doit disposer de l'autorisation solaris.role.assign. Si vous modifiez un rôle que vous avez endossé, il doit avoir l'autorisation solaris.role.delegate.
Invite pour le mot de passe de admin-role.
Séparateur requis entre les options d'authentification et les options de sous-commande.
Nom du nouveau rôle.
Commentaire qui décrit les capacités du rôle.
Nom de l'utilisateur qui peut endosser rolename.
Répertoire personnel pour rolename.
Description complète de rolename. Cette description s'affiche dans l'interface graphique de la console de gestion Solaris.
Profil de droits qui est inclus dans les capacités de rolename. Cette option donne des commandes avec des capacités d'administration au rôle. Vous pouvez spécifier plusieurs options -p profile.
Exemple 9-6 Création d'un rôle d'opérateur personnalisé à l'aide de la commande smrole
La commande smrole spécifie un nouveau rôle et ses attributs dans un service de noms. Dans l'exemple suivant, l'administrateur principal crée une nouvelle version du rôle de sauvegarde des supports. Le rôle inclut le profil de droits de sauvegarde des supports standard ainsi que le profil de droits de gestion FTP. Notez que la commande vous invite à saisir un mot de passe pour le nouveau rôle.
% su - primaryadm Password: <Type primaryadm password> $ /usr/sadm/bin/smrole add -H myHost -- -c "FTP and Backup Operator" \ -n operadm2 -a janedoe -d /export/home/operadm \ -F "Backup/FTP Operator" -p "Media Backup" -p "FTP Management" Authenticating as user: primaryadm Type /? for help, pressing <enter> accepts the default denoted by [ ] Please enter a string value for: password :: <Type primaryadm password> Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost Login to myHost as user primaryadm was successful. Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful. Type /? for help, pressing <enter> accepts the default denoted by [ ] Please enter a string value for: password ::<Type operadm2 password> $ svcadm restart system/name-service-cache
La commande smrole avec la sous-commande list est utilisée pour afficher le nouveau rôle :
$ /usr/sadm/bin/smrole list -- Authenticating as user: primaryadm Type /? for help, pressing <enter> accepts the default denoted by [ ] Please enter a string value for: password :: <Type primaryadm password> Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost Login to myHost as user primaryadm was successful. Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful. root 0 Superuser primaryadm 100 Most powerful role sysadmin 101 Performs non-security admin tasks operadm 102 Backup Operator operadm2 103 Backup/FTP Operator
Notez que les profils de droits qui incluent la sauvegarde des supports ou la restauration des supports fournissent un rôle disposant d'un accès à l'intégralité du système de fichiers root. Par conséquent, l'administrateur doit attribuer ces profils de droits aux utilisateurs de confiance. L'administrateur peut également choisir de ne pas attribuer ces profils de droits. Dans ce cas, seul le superutilisateur peut procéder à la sauvegarde et la restauration.
Cette procédure permet d'attribuer un rôle local à un utilisateur local, redémarre le démon cache du nom, puis affiche la manière dont l'utilisateur peut endosser le rôle.
Pour attribuer un rôle à un utilisateur dans un DNS, reportez-vous aux sections Procédure de création d'un rôle à partir de la ligne de commande et Procédure de modification des propriétés d'un rôle.
Avant de commencer
Vous avez ajouté un rôle local, comme indiqué à la section Procédure de création d'un rôle à partir de la ligne de commande. Vous devez soit endosser un rôle incluant le profil de droits de l'administrateur principal, soit devenir l'utilisateur root.
Si vous avez ajouté un rôle local avec la commande roleadd, cette étape est obligatoire. Cette étape est facultative lorsque vous utilisez la commande smrole et la console de gestion Solaris pour créer un rôle.
# usermod -u UID -R rolename login-name
UID de l'utilisateur.
Rôle qui est attribué à l'utilisateur.
Nom de connexion de l'utilisateur.
# svcadm restart system/name-service-cache
Si vous avez ajouté un rôle à l'aide d'une interface de la console de gestion Solaris, reportez-vous à la section Utilisation des rôles (liste des tâches). Dans le cas contraire, passez à l'étape suivante.
Si vous avez ajouté un rôle local avec la commande roleadd, cette étape est obligatoire.
% su - rolename Password: <Type rolename password> Confirm Password: <Retype rolename password> $
Exemple 9-7 Création et attribution d'un rôle local à partir de la ligne de commande
Dans cet exemple, un rôle est créé pour l'administration de la structure cryptographique Oracle Solaris. Le profil de droits de gestion de la cryptographie contient la commande cryptoadm pour l'administration des services cryptographiques matériels et logiciels sur un système local.
# roleadd -c "Cryptographic Services manager" \ -g 14 -m /export/home/cryptoadm -u 104 -s pfksh \ -P "Crypto Management" cryptomgt # usermod -u 1111 -R cryptomgt # svcadm restart system/name-service-cache % su - cryptomgt Password: <Type cryptomgt password> Confirm Password: <Retype cryptomgt password> $ /usr/ucb/whoami cryptomgt $
Pour plus d'informations sur la structure cryptographique Oracle Solaris, reportez-vous au Chapitre 13Structure cryptographique Oracle Solaris (présentation). Pour l'administration de la structure, reportez-vous à la rubrique Administration de la structure cryptographique (liste des tâches).
Les actions qu'un rôle effectue peuvent faire l'objet d'un audit. Le nom de connexion de l'utilisateur qui endosse le rôle, le nom de rôle, ainsi que l'action que le rôle effectue sont inclus dans l'enregistrement d'audit. L'événement d'audit 6180:AUE_prof_cmd:profile command:ua,as collecte les informations. En présélectionnant la classe as ou la ua, vous pouvez effectuer un audit des actions du rôle.
Pour plus d'informations, reportez-vous à la section Audit Oracle Solaris (liste des tâches) .
## audit_control file flags:lo,as naflags:lo plugin:name=audit_binfile.so; p_dir=/var/audit
Les classes ua et as incluent d'autres événements d'audit. Pour voir les événements d'audit qui sont inclus dans une classe, lisez le fichier audit_event. Vous pouvez également utiliser la commande bsmrecord, tel qu'illustré dans l'Exemple 30-27.
Pour plus d'informations, reportez-vous à la section Configuration et activation du service d'audit (tâches) .
Cette procédure montre la modification d'un utilisateur de connexion root en un rôle root. Lorsque vous effectuez la procédure ci-dessous, vous ne pouvez plus vous connecter directement au système en tant que root, sauf en mode monoutilisateur. Le rôle root doit vous être affecté et su doit être attribué à root.
En modifiant l'utilisateur root en un rôle, vous empêchez toute connexion root anonyme. Étant donné qu'un utilisateur doit se connecter, puis endosser le rôle root, l'ID de connexion de l'utilisateur est fourni au service d'audit et se trouve dans le fichier sulog.
Dans cette procédure, vous créez un utilisateur local et attribuez le rôle root à l'utilisateur. Pour empêcher les utilisateurs d'endosser le rôle, reportez-vous à l'Exemple 9-8.
Avant de commencer
Vous ne pouvez pas effectuer cette procédure lorsque vous êtes directement connecté en tant que root. Vous devez vous connecter en tant que vous-même, puis attribuez su à root.
Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour savoir comment créer le rôle et l'assigner à un utilisateur, reportez-vous à la section Utilisation des outils de gestion Solaris avec RBAC (liste des tâches) du Guide d’administration système : administration de base.
Pour des raisons de sécurité, le rôle root doit être attribué à au moins un utilisateur local.
$ useradd -c comment -u uid -d homedir username
Commentaire décrivant l'utilisateur.
Répertoire personnel de l'utilisateur. Ce répertoire doit se trouver sur le système local.
Numéro d'identification de l'utilisateur.
Nom du nouvel utilisateur local.
# useradd -c "JDoe's local account" -u 123 -d /export/home1 jdoe-local
# passwd -r files jdoe-local New Password: <Type password> Re-enter new Password: <Retype password> passwd: password successfully changed for jdoe-local #
# who jdoe console May 24 13:51 (:0) jdoe pts/5 May 24 13:51 (:0.0) jdoe pts/4 May 24 13:51 (:0.0) jdoe pts/10 May 24 13:51 (:0.0)
# usermod -K type=role root
L'entrée root dans le fichier user_attr doit ressembler à ce qui suit :
# grep root /etc/user_attr root::::type=role;auths=solaris.*,solaris.grant;profiles=...
# usermod -R root jdoe-local
Attention - Si vous n'attribuez pas le rôle root à un utilisateur, personne ne peut devenir superutilisateur, sauf en mode monoutilisateur. Vous devez saisir un mot de passe root pour entrer en mode monoutilisateur. |
% whoami jdoe % su - jdoe-local Enter password: <Type jdoe-local password> % roles root % su - root Enter password: <Type root password> #
Par exemple, les entrées suivantes du fichier nsswitch.conf activent le service de noms à renvoyer.
passwd: files nis [TRYAGAIN=0 UNAVAIL=return NOTFOUND=return] group: files nis [TRYAGAIN=0 UNAVAIL=return NOTFOUND=return]
Pour plus d'informations sur cette procédure, reportez-vous à la section Procédure de modification des propriétés RBAC d'un utilisateur.
Exemple 9-8 Interdiction de l'utilisation du rôle root pour configurer un système
Dans cet exemple, la stratégie de sécurité du site requiert que plusieurs rôles discrets configurent le système. Ces rôles discrets ont été créés et testés. Pour empêcher que le compte root soit utilisé pour configurer le système, l'administrateur de sécurité change root en rôle, mais n'attribue pas le rôle. Le rôle root conserve un mot de passe pour entrer dans le système en mode monoutilisateur.
Tout d'abord, l'administrateur vérifie que root n'est pas un rôle attribué.
% whoami jdoe-local % su - root Password: a!2@3#4$5%6^7 # grep roles /etc/user_attr jdoe-local::::type=normal;roles=secadmin kdoe-local::::type=normal;roles=sysadmin
Toujours dans le compte root, l'administrateur change root en rôle.
# usermod -K type=role root
Ensuite, l'administrateur vérifie le changement dans l'entrée root du fichier user_attr.
# grep root /etc/user_attr root::::type=role;auths=solaris.*,solaris.grant;profiles=...
Exemple 9-9 Retour du rôle root en utilisateur root
Dans cet exemple, l'administrateur désactive un système et souhaite se connecter au bureau en tant que superutilisateur. Le système a été supprimé du réseau.
Tout d'abord, l'administrateur endosse le rôle root pour supprimer toutes les attributions de rôle root.
% whoami jdoe-local % su - root Password: a!2@3#4$5%6^7 # grep roles /etc/user_attr jdoe-local::::type=normal;roles=root kdoe-local::::type=normal;roles=root # usermod -R "" jdoe-local # usermod -R "" kdoe-local # grep roles /etc/user_attr #
Toujours dans le rôle root, l'administrateur change root en utilisateur.
# rolemod -K type=normal root
Ensuite, l'administrateur vérifie le changement dans l'entrée root du fichier user_attr.
# grep root /etc/user_attr root::::type=normal;auths=solaris.*,solaris.grant;profiles=...
Erreurs fréquentes
Dans un environnement de bureau, vous ne pouvez pas vous connecter directement en tant que root lorsque root est un rôle. Un message de diagnostic indique que root est un rôle sur votre système. Si vous ne disposez pas d'un compte local pouvant endosser le rôle root, créez-en un. En tant que root, connectez-vous au système en mode monoutilisateur, créez un compte utilisateur local et attribuez le rôle root au nouveau compte. Ensuite, connectez-vous en tant que nouvel utilisateur et endossez le rôle root.
Personne ne peut devenir superutilisateur si vous modifiez l'utilisateur root en rôle et ne parvenez pas à appliquer l'une des attributions suivantes :
Attribution du rôle root à un utilisateur valide.
Attribution d'un profil de droits équivalent au profil de droits de root à un utilisateur valide. Le profil d'administrateur principal est un profil de droits équivalent pour les capacités de root.
Création d'un rôle possédant les capacités de root et attribution du rôle à un utilisateur valide. Un rôle auquel le profil d'administrateur principal est attribué équivaut au rôle root.