Sécurité et autorisations de configuration réseau

La sécurité de la configuration réseau réactive se compose des éléments suivants :

• CLI (commandes netcfg et netadm)

• Interface graphique d'administration réseau

• Démon de référentiel de profils réseau (netcfgd)

• Démon de gestion réseau (nwamd)

• Bibliothèque de gestion de configuration réseau (libnwam)

Le démon netcfgd contrôle le référentiel où toutes les informations de configuration du réseau sont stockées. La commande netcfg, l'interface graphique d'administration réseau et le démon nwamd envoient des demandes au démon netcfgd afin de pouvoir accéder au référentiel. Ces composants fonctionnels effectuent des demandes par le biais de la bibliothèque de gestion de configuration réseau, libnwam.

Autorisations et profils relatifs à la configuration réseau

L'implémentation de configuration réseau actuelle utilise les autorisations suivantes pour effectuer des tâches données :

• solaris.network.autoconf.read : permet la lecture des données de profil réseau, vérifiées par le démon netcfgd

• solaris.network.autoconf.write : permet l'écriture des données de profil réseau, vérifiées par le démon netcfgd

• solaris.network.autoconf.select : permet l'application de nouvelles données de configuration, vérifiées par le démon nwamd

• solaris.network.autconf.wlan : permet l'écriture des données de configuration de WLAN connus

Ces autorisations sont enregistrées dans la base de données auth_attr. Pour plus d'informations, reportez-vous à la page de manuel auth_attr(4).

L'autorisation solaris.network.autoconf.read est incluse dans le profil de droits Basic Solaris User (utilisateur de base Solaris), qui est assigné par défaut à tous les utilisateurs. Tout utilisateur disposant de cette autorisation est donc en mesure d'afficher l'état actuel du réseau et le contenu de tous les profils réseau.

Deux profils de droits supplémentaires sont fournis : Network Autoconf User et Network Autoconf Admin. Le profil Network Autoconf User dispose des autorisations read, select et wlan. Le profil Network Autoconf Admin ajoute l'autorisation write. Le profil Network Autoconf User est affecté au profil Console User . Par défaut, toute personne qui s'est connectée à la console peut donc afficher, activer et désactiver les profils. Dans la mesure où le profil Console User (utilisateur de la console) ne dispose pas de l'autorisation solaris.network.autoconf.write, tout utilisateur avec cette autorisation ne peut pas créer ou modifier les NCP, les NCU, les emplacements et les ENM. Toutefois, le profil Console User permet d'afficher, de créer et de modifier les WLAN.

Autorisations requises pour utiliser les interfaces utilisateur

Les commandes netcfg et netadm permettent à tout utilisateur disposant du profil de droits Basic Solaris User (utilisateur de base Solaris) d'afficher les profils réseau. Ce profil est affecté à tous les utilisateurs par défaut.

La commande netadm permet également à tout utilisateur disposant du profil Network Autoconf User ou Console User (utilisateur de la console) d'activer les profils réseau. Le profil Console User (utilisateur de la console) est automatiquement assigné à l'utilisateur qui se connecte au système depuis /dev/console.

Pour modifier les profils réseau à l'aide de la commande netcfg, vous avez besoin de l'autorisation solaris.network.autoconf.write ou du profil Network Autoconf Admin.

Vous pouvez déterminer les privilèges associés à un profil de droits en utilisant la commande profiles avec le nom du profil. Pour plus d'informations, reportez-vous à la page de manuel profiles(1).

Par exemple, pour déterminer les privilèges associés au profil de droits Console User (utilisateur de la console), utilisez la commande suivante :

$ profiles -p "Console User" info
Found profile in files repository.
    name=Console User
    desc=Manage System as the Console User
    auths=solaris.system.shutdown,solaris.device.cdrw,solaris.smf.manage.vbiosd,
    solaris.smf.value.vbiosd
    profiles=Suspend To RAM,Suspend To Disk,Brightness,CPU Power Management,
    Network Autoconf User,Desktop Removable Media User
    help=RtConsUser.html

L'interface graphique d'administration réseau comprend les composants suivants, qui ne nécessitent pas de privilèges. Des autorisations sont accordées à ces composants, en fonction de la manière dont ils ont été lancés et des tâches qu'ils doivent exécuter.

• Configuration réseau et présence du panneau d'état

  Ce composant est l'applet de panneau du bureau qui permet à un utilisateur d'interagir avec la configuration réseau. Le panneau peut être exécuté par n'importe quel utilisateur pour surveiller la configuration automatique du système et gérer les notifications d'événements. Le panneau peut également être utilisé pour effectuer certaines tâches de configuration réseau de base, par exemple, la sélection d'un réseau Wi-Fi ou la commutation manuelle des emplacements. Pour effectuer ces types de tâches, le profil de droits Network Autoconf User est requis. Ce profil de droits est disponible dans la configuration par défaut, car le panneau s'exécute avec les autorisations de l'utilisateur qui est connecté à partir de /dev/console et qui dispose par conséquent du profil Console User (utilisateur de la console).

• Interface graphique d'administration réseau

  L'interface graphique d'administration réseau (anciennement nommée interface graphique NWAM) constitue le principal moyen d'interaction avec la configuration réseau à partir du bureau. L'interface utilisateur est utilisée pour afficher l'état du réseau, pour créer et modifier des NCP et des profils d'emplacement, et pour démarrer et arrêter des ENM configurés. L'interaction avec l'interface graphique requiert quatre des autorisations solaris.network.autoconf ou le profil Network Autoconf Admin. Par défaut, le profil Console User possède les autorisations suffisantes pour afficher l'état et les profils du réseau à l'aide de l'interface graphique. En outre, il vous faut l'autorisation solaris.network.autoconf.write ou le profil Network Autoconf Admin pour modifier les profils à l'aide de l'interface graphique.

Vous pouvez obtenir d'autres autorisations de l'une des façons suivantes :

• En affectant le profil Network Autoconf Admin à un utilisateur donné.

  Vous pouvez affecter des autorisations appropriées, ou des profils de droits, directement à un utilisateur donné en modifiant le fichier /etc/user_attr de cet utilisateur.

• En affectant le profil Network Autoconf Admin au profil Console User.

  Vous pouvez affecter ce profil au profil Console User au lieu du profil Network Autoconf User qui lui est affecté par défaut. Pour affecter ce profil, modifiez l'entrée dans le fichier /etc/security/prof_attr.