Ignorer les liens de navigation | |
Quitter l'aperu | |
Administration d'Oracle Solaris : services de sécurité Oracle Solaris 11 Information Library (Français) |
Partie I Présentation de la sécurité
1. Services de sécurité (présentation)
Partie II Sécurité du système, des fichiers et des périphériques
2. Gestion de la sécurité de la machine (présentation)
3. Contrôle de l'accès aux systèmes (tâches)
4. Service d'analyse antivirus (tâches)
5. Contrôle de l'accès aux périphériques (tâches)
6. Utilisation de l'outil de génération de rapports d'audit de base (tâches)
7. Contrôle de l'accès aux fichiers (tâches)
Partie III Rôles, profils de droits et privilèges
8. Utilisation des rôles et des privilèges (présentation)
9. Utilisation du contrôle d'accès basé sur les rôles (tâches)
10. Attributs de sécurité dans Oracle Solaris (référence)
Affichage du contenu des profils de droits
Ordre de recherche pour les attributs de sécurité affectés
Conventions de nommage des autorisations
Exemple de granularité d'autorisation
Pouvoir de délégation dans les autorisations
Commandes pour la gestion de RBAC
Commandes sélectionnées nécessitant des autorisations
Commandes d'administration pour la gestion des privilèges
Fichiers disposant d'informations sur les privilèges
Prévention de l'escalade de privilèges
Anciennes applications et modèle de privilège
Partie IV Services cryptographiques
11. Structure cryptographique (présentation)
12. Structure cryptographique (tâches)
13. Structure de gestion des clés
Partie V Services d'authentification et communication sécurisée
14. Authentification des services réseau (tâches)
17. Utilisation de Secure Shell (tâches)
19. Introduction au service Kerberos
20. Planification du service Kerberos
21. Configuration du service Kerberos (tâches)
22. Messages d'erreur et dépannage de Kerberos
23. Administration des principaux et des stratégies Kerberos (tâches)
24. Utilisation des applications Kerberos (tâches)
25. Service Kerberos (référence)
Partie VII Audit dans Oracle Solaris
Les bases de données suivantes stockent les données pour les éléments RBAC :
Base de données d'attributs utilisateur étendus (user_attr) : associe des utilisateurs et des rôles à des autorisations, des privilèges, des mots-clés et des profils de droits.
Base de données d'attributs de profils de droits (prof_attr) : définit les profils de droits, répertorie les autorisations, privilèges et mots-clés affectés aux profils et identifie le fichier d'aide associé.
Base de données d'attributs d'autorisations(auth_attr) : définit les autorisations et leurs attributs, et identifie le fichier d'aide associé.
Base de données d'attributs d'exécution (exec_attr) : identifie les commandes portant des attributs de sécurité attribués à des profils de droits spécifiques.
La base de données policy.conf contient des autorisations, des privilèges et des profils de droits appliqués à tous les utilisateurs. Pour plus d'informations, reportez-vous à la section Fichier policy.conf.
Le champ d'application du service de noms des bases de données RBAC est défini dans le service SMF pour le commutateur du service de noms, svc:/system/name-service/switch. Les propriétés de ce service pour les bases de données RBAC sont auth_attr, password et prof_attr. La propriété password définit la priorité d'un service de noms pour les bases de données passwd et user_attr. La propriété prof_attr définit la priorité d'un service de noms pour les bases de données prof_attr et exec_attr.
Dans la sortie suivante, les entrées auth_attr, password et prof_attr ne sont pas répertoriées. Par conséquent, les bases de données RBAC utilisent le service de noms files.
# svccfg -s name-service/switch listprop config config application config/value_authorization astring solaris.smf.value.name-service.switch config/default astring files config/host astring "files ldap dns" config/printer astring "user files ldap"
La base de données user_attr contient des informations sur l'utilisateur et le rôle qui complètent les bases de données passwd et shadow.
Les attributs de sécurité suivants peuvent être définis à l'aide des commandes roleadd, rolemod, useradd, usermod et profiles :
Dans le cas d'un utilisateur, le mot-clé roles affecte un ou plusieurs rôles définis.
Pour un rôle, la valeur user du mot-clé roleauth permet au rôle de s'authentifier avec le mot de passe utilisateur plutôt qu'avec le mot de passe du rôle. Par défaut, la valeur est role.
Pour un utilisateur ou un rôle, les attributs suivants peuvent être définis :
mot-clé audit_flags : modifie le masque d'audit. Pour des références, reportez-vous à la page de manuel audit_flags(5).
mot-clé auths : affecte des autorisations. Pour des références, reportez-vous à la page de manuel auths(1).
mot-clé defaultpriv : ajoute des privilèges ou en supprime du jeu de privilèges de base par défaut. Pour des références, reportez-vous à la section Mise en oeuvre des privilèges.
mot-clé limitpriv : ajoute des privilèges ou en supprime du jeu limite de privilèges par défaut. Pour des références, reportez-vous à la section Mise en oeuvre des privilèges.
Ces privilèges sont toujours en vigueur, ils ne sont pas des attributs d'une commande. Pour des références, reportez-vous à la page de manuel privileges(5) et à la section Mise en oeuvre des privilèges.
mot-clé projects : ajoute un projet par défaut. Pour des références, reportez-vous à la page de manuel project(4).
mot-clé lock_after_retries : si la valeur est yes, le système est verrouillé une fois que le nombre de tentatives a atteint le nombre autorisé dans le fichier /etc/default/login.
mot-clé profiles : affecte des profils de droits.
Pour plus d'informations, reportez-vous à la page de manuel user_attr(4). Pour afficher le contenu de cette base de données, utilisez la commande getent user_attr. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Procédure d'affichage de tous les attributs de sécurité définis.
Toutes les autorisations sont stockées dans la base de données auth_attr. Les autorisations peuvent être affectées à des utilisateurs, des rôles ou aux profils de droits. La meilleure méthode consiste à placer les autorisations dans un profil de droits, afin d'inclure le profil dans la liste des profils d'un rôle, puis d'affecter le rôle à un utilisateur.
Pour visualiser le contenu de cette base de données, utilisez la commande getent prof_attr. Pour en savoir plus, reportez-vous à la page de manuel getent(1M) et à la section Procédure d'affichage de tous les attributs de sécurité définis.
La base de données prof_attr contient le nom, la description, l'emplacement du fichier d'aide, les privilèges et les autorisations qui sont affectés à des profils de droits. Les commandes et les attributs de sécurité qui sont affectés à des profils de droits sont stockés dans la base de données exec_attr. Pour plus d'informations, reportez-vous à la section Base de données exec_attr.
Pour plus d'informations, reportez-vous à la page de manuel prof_attr(4). Pour visualiser le contenu de cette base de données, utilisez la commande getent exec_attr. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Procédure d'affichage de tous les attributs de sécurité définis.
La base de données exec_attr définit les commandes nécessitant des attributs de sécurité pour la réussite de l'opération. Les commandes font partie d'un profil de droits. Une commande avec ses attributs de sécurité peut être exécutée par les rôles ou utilisateurs auxquels le profil est attribué.
Pour plus d'informations, reportez-vous à la page de manuel exec_attr(4). Pour visualiser le contenu de cette base de données, utilisez la commande getent. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Procédure d'affichage de tous les attributs de sécurité définis.
Le fichier policy.conf fournit un moyen d'accorder des profils de droits, des autorisations et des privilèges spécifiques à tous les utilisateurs. Les entrées correspondantes dans le fichier sont constitués de paires key=value :
AUTHS_GRANTED=authorizations : fait référence à une ou plusieurs autorisations.
PROFS_GRANTED=rights profiles : fait référence à un ou plusieurs profils de droits.
CONSOLE_USER=Console User : fait référence au profil de droits Console User (utilisateur de la console). Ce profil est fourni avec un ensemble pratique d'autorisations pour l'utilisateur de la console. Vous pouvez personnaliser ce profil. Pour afficher le contenu d'un profil, reportez-vous à la section Profils de droits.
PRIV_DEFAULT=privileges : fait référence à un ou plusieurs privilèges.
PRIV_LIMIT=privileges : fait référence à tous les privilèges.
L'exemple suivant illustre certaines valeurs typiques issues de la base de données policy.conf :
# grep AUTHS /etc/security/policy AUTHS_GRANTED=solaris.device.cdrw # grep PROFS /etc/security/policy PROFS_GRANTED=Basic Solaris User # grep PRIV /etc/security/policy #PRIV_DEFAULT=basic #PRIV_LIMIT=all
Pour plus d'informations sur les privilèges, reportez-vous à la section Privilèges (présentation).