Présentation de la sécurité NWAM

La sécurité pour NWAM est conçue pour englober les composants suivants :

• CLI (commandes netcfg et netadm)

• Interface graphique NWAM

• Démon du référentiel de profils NWAM (netcfgd)

• Démon de moteur de stratégie (nwamd)

• Bibliothèque NWAM (libnwam)

Le démon netcfgd contrôle le référentiel où toutes les informations de configuration du réseau sont stockées. La commande netcfg, l'interface graphique NWAM et le démon nwamd envoient des demandes au démon netcfgd pour accéder au référentiel. Ces composants fonctionnels adressent des demandes par le biais de la bibliothèque NWAM libnwam.

Le démon nwamd est le moteur de stratégie qui reçoit les événements système, configure le réseau et lit les informations de configuration du réseau. L'interface graphique NWAM et la commande netcfg sont des outils de configuration qui peuvent être utilisés pour afficher et modifier la configuration du réseau. Ces composants sont également utilisés pour actualiser le service NWAM lorsqu'une nouvelle configuration doit être appliquée au système.

Autorisations et profils liés à NWAM

La mise en oeuvre NWAM actuelle utilise les autorisations suivantes afin d'effectuer des tâches spécifiques :

• solaris.network.autoconf.read : permet la lecture des données de configuration NWAM, vérifiées par le démon netcfgd

• solaris.network.autoconf.write : permet l'écriture des données de configuration NWAM, vérifiées par le démon netcfgd

• solaris.network.autoconf.select : permet l'application de nouvelles données de configuration, vérifiées par le démon nwamd

• solaris.network.autconf.wlan : permet l'écriture des données de configuration de WLAN connus

Ces autorisations sont enregistrées dans la base de données auth_attr. Pour plus d'informations, reportez-vous à la page de manuel auth_attr(4).

Deux profils de sécurité sont fournis : Network Autoconf User et Network Autoconf Admin. Le profil User dispose des autorisations read, select et wlan. Le profil Admin ajoute l'autorisation write. Le profil Network Autoconf User est affecté au profil Console User. Par conséquent, par défaut, toute personne qui s'est connectée à la console peut afficher, activer et désactiver les profils. Dans la mesure où Console User ne dispose pas de l'autorisation solaris.network.autoconf.write, l'utilisateur ne peut pas créer ni modifier les NCP, les NCU, les emplacements ni les ENM. Toutefois, le profil Console User permet d'afficher, de créer et de modifier les WLAN.

Autorisations nécessaires pour utiliser les interfaces utilisateur NWAM

Les commandes NWAM, netcfg et netadm, peuvent être utilisées pour afficher et activer les profils NWAM par tous ceux qui possèdent les privilèges Console User . Ces privilèges sont automatiquement affectés à un utilisateur qui est connecté au système à partir de /dev/console.

Pour modifier les profils NWAM à l'aide de la commande netcfg, vous avez besoin de l'autorisation solaris.network.autoconf.write ou du profil Network Autoconf Admin.

Vous pouvez déterminer les privilèges associés à un profil de droits en utilisant la commande profiles avec le nom du profil. Pour plus d'informations, reportez-vous à la page de manuel profiles(1).

Par exemple, pour déterminer les privilèges associés au profil de droits Console User, utilisez la commande suivante.

$ profiles -p "Console User" info
Found profile in files repository.
    name=Console User
    desc=Manage System as the Console User
    auths=solaris.system.shutdown,solaris.device.cdrw,solaris.smf.manage.vbiosd,
    solaris.smf.value.vbiosd
    profiles=Suspend To RAM,Suspend To Disk,Brightness,CPU Power Management,
    Network Autoconf User,Desktop Removable Media User
    help=RtConsUser.html

L'interface graphique NWAM comprend trois composants, qui ne sont pas privilégiés. Ces composants se voient octroyer des autorisations, en fonction de la manière dont ils ont été lancés et des tâches qu'ils doivent exécuter :

• Présence du panneau spécifique à NWAM

  Ce composant est l'applet de panneau sur le bureau qui permet à un utilisateur d'interagir avec NWAM. Le panneau peut être exécuté par n'importe quel utilisateur pour surveiller la configuration automatique du système et gérer les notifications d'événement. Le panneau peut également être utilisé pour effectuer certaines tâches de configuration réseau de base, par exemple, la sélection d'un réseau Wi-Fi ou la commutation manuelle des emplacements. Pour effectuer ces types de tâches, le profil de droits Network Autoconf User est requis. Ce profil de droits est disponible dans la configuration par défaut, car le panneau s'exécute avec les autorisations de l'utilisateur qui est connecté à partir de /dev/console et qui dispose par conséquent du profil Console User.

• Interface graphique NWAM

  L'interface graphique NWAM est le principal moyen d'interaction avec NWAM à partir de l'ordinateur de bureau. L'interface utilisateur est utilisée pour afficher l'état du réseau, pour créer et modifier des NCP et des profils d'emplacement, et pour démarrer et arrêter des ENM configurés. L'interaction avec l'interface graphique requiert quatre des autorisations solaris.network.autoconf ou le profil Network Autoconf Admin. Par défaut, le profil Console User possède les autorisations suffisantes pour afficher l'état et les profils du réseau à l'aide de l'interface graphique. En outre, il vous faut l'autorisation solaris.network.autoconf.write ou le profil Network Autoconf Admin pour modifier les profils à l'aide de l'interface graphique.

Vous pouvez obtenir d'autres autorisations de l'une des façons suivantes :

• Affectez le profil Network Autoconf Admin à un utilisateur spécifique.

  Vous pouvez affecter des autorisations appropriées, ou des profils de droits, directement à un utilisateur donné en modifiant le fichier /etc/user_attr de cet utilisateur.

• Affectez le profil Network Autoconf Admin à Console User.

  Vous pouvez affecter ce profil à Console User au lieu du profil Network Autoconf User, qui est affecté par défaut. Pour affecter ce profil, modifiez l'entrée dans le fichier /etc/security/prof_attr.