Gestion des comptes utilisateur

Dans cette version, vous pouvez créer et gérer les comptes utilisateur à partir de la ligne de commande ou de l'interface graphique du Gestionnaire d'utilisateurs. L'interface graphique remplace certaines des fonctionnalités de Solaris Management Console et de la ligne de commande associée. Pour plus d'informations, reportez-vous à la section Gestion des compte et environnements utilisateur dans Oracle Solaris 11.1.

Modifications apportées à la gestion des comptes utilisateur

Les fonctions suivantes ont été ajoutées ou modifiées dans cette version :

• Ajout de l'interface graphique du Gestionnaire d'utilisateurs : l'interface graphique du Gestionnaire d'utilisateurs fait partie du projet Visual Panels et est accessible à partir du bureau. L'interface graphique remplace certaines des fonctionnalités de Solaris Management Console. Reportez-vous au Chapitre 3, Gestion des comptes utilisateur dans l’interface graphique du Gestionnaire d’utilisateurs (tâches) du manuel Gestion des compte et environnements utilisateur dans Oracle Solaris 11.1.

• Création de comptes utilisateur : la création de comptes utilisateur a été modifiée, comme suit :

  • Dans Oracle Solaris 11, les comptes utilisateur sont créés sous forme de systèmes de fichiers ZFS individuels, ce qui permet aux utilisateurs de disposer de leur propre système de fichiers et de leur propre ensemble de données ZFS. Chaque répertoire personnel d'utilisateur créé avec les commandes useradd et roleadd est placé dans /export/home en tant que système de fichiers ZFS individuel.

  • La commande useradd compte sur le service de montage automatique, svc:/system/filesystem/autofs, pour monter les répertoires personnels. Ce service ne doit jamais être désactivé. Chaque entrée de répertoire personnel d'un utilisateur dans la base de données passwd est au format /home/username, ce qui constitue un déclencheur autofs résolu par l'agent de montage automatique à l'aide de la carte auto_home.

  • La commande useradd crée automatiquement des entrées dans la carte auto_home qui correspondent au nom de chemin d'accès spécifié par l'option -d de cette commande. Si le chemin d'accès comporte une spécification d'hôte distant, foobar:/export/home/jdoe par exemple, le répertoire personnel de jdoe doit être créé sur le système foobar. Le chemin par défaut est localhost:/export/home/ user. Comme /export/home est le point de montage d'un jeu de données ZFS, le répertoire personnel de l'utilisateur est créé sous forme d'un jeu de données ZFS enfant, la permission ZFS de prendre des instantanés étant déléguée à l'utilisateur. Si le nom de chemin d'accès spécifié ne correspond pas à un jeu de données ZFS, un répertoire normal est créé. Si l'option -S ldap est spécifiée, l'entrée de carte auto_home est mise à jour sur le serveur LDAP et non sur la carte auto_home locale.

• Modification de comptes utilisateur : dans Oracle Solaris 11, la commande usermod fonctionne avec LDAP et les fichiers. Il est possible d'assigner tous les attributs de sécurité à un utilisateur par le biais de ce mécanisme. Par exemple, l'administrateur peut ajouter un rôle au compte d'un utilisateur en exécutant la commande usermod.

  # roleadd -K roleauth=user -P "Network Management" netmgt
  # usermod -R +netmgt jdoe

  Reportez-vous à la page de manuel usermod(1M) pour consulter d'autres exemples.

• Création et gestion des groupes : un administrateur qui dispose de l'autorisation solaris.group.manage peut créer un groupe. Au moment de la création d'un groupe, le système attribue l'autorisation solaris.group.assign/groupname à l'administrateur, ce qui lui permet d'exercer un contrôle total sur ce groupe. L'administrateur peut ensuite modifier ou supprimer ce groupname, selon les besoins. Reportez-vous aux pages de manuel groupadd(1M) et groupmod(1M).

• Création et gestion des rôles : les rôles peuvent être créés localement et dans un référentiel LDAP. Pour créer un rôle et lui assigner un mot de passe initial, vous devez disposer du profil de droits User Management. Pour obtenir des instructions sur la création d'un rôle, reportez-vous à la section Création d’un rôle du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Modifications apportées au mot de passe et au nom de connexion de l'utilisateur

La gestion du mot de passe utilisateur et des informations de connexion ont été modifiées, comme suit :

• Améliorations de la définition de propriété pour la commande password : cette modification clarifie les comptes utilisateur qui peuvent ou non être verrouillés. Les principales modifications affectent les définitions de propriétés LK et NL, comme suit :

  LK

  Le compte est verrouillé pour l'authentification UNIX. La commande passwd -l a été exécutée ou le compte a été automatiquement verrouillé car le nombre d'échecs d'authentification maximal a été atteint. Reportez-vous aux pages de manuel policy.conf(4) et user_attr(4).

  NL

  Le compte est un compte no login. La commande passwd -N a été exécutée.

• Notification relative au nombre d'échecs de connexion : le système informe désormais les utilisateurs des échecs d'authentification, même si le compte utilisateur n'est pas configuré pour appliquer les tentatives de connexion ayant échoué. Les utilisateurs qui ne parviennent pas à s'authentifier correctement reçoivent un message semblable au suivant lors d'une authentification réussie :

  Warning: 2 failed authentication attempts since last successful
  authentication. The latest at Thu May 24 12:02 2012.

  Pour supprimer ces notifications, créez un fichier ~/.hushlogin.

• Algorithme de hachage de mot de passe par défaut : l'algorithme de hachage de mot de passe par défaut est désormais SHA256. Le résultat du hachage du mot de passe est similaire à ce qui suit :

  $5$cgQk2iUy$AhHtVGx5Qd0.W3NCKjikb8.KhOiA4DpxsW55sP0UnYD

  Par ailleurs, la longueur d'un mot de passe utilisateur n'est plus limitée à huit caractères. La limitation de huit caractères s'applique uniquement aux mots de passe qui utilisent l'ancien algorithme crypts_unix(5), lequel a été conservé à des fins de compatibilité avec les éventuelles entrées de fichier passwd et cartes NIS existantes. A partir d'Oracle Solaris 11, l'algorithme crypt_sha256 est celui par défaut

  Les mots de passe sont codés au moyen de l'un des autres algorithmes crypt(3c), notamment SHA256, qui est l'algorithme par défaut dans le fichier policy.conf. Par conséquent, les mots de passe peuvent désormais comporter bien plus de huit caractères. Reportez-vous à la page de manuel policy.conf(4).

Partage de répertoires personnels créés en tant que systèmes de fichiers ZFS

Un partage NFS ou SMB d'un système de fichiers ZFS est créé, puis partagé, comme suit :

• Oracle Solaris 11 : le partage du système de fichiers est créé à l'aide de la commande zfs set share. Des propriétés de partage spécifiques peuvent être définies à ce moment. Si une propriété de partage n'est pas définie, sa valeur par défaut est utilisée.

  Le partage NFS ou SMB est publié par le biais de la définition de la propriété sharenfs ou sharesmb. Le partage est publié durablement jusqu'à ce que la propriété soit définie sur off.

• Oracle Solaris 11.1 : les fonctions de partage suivantes sont fournies sur la version 34 du pool de stockage ZFS :

  • La propriété share.nfs remplace la propriété sharenfs des versions précédentes pour définir et publier un partage NFS.

  • La propriété share.smb remplace la propriété sharesmb des versions précédentes pour définir et publier un partage SMB.

  • L'administration du partage ZFS est simplifiée en exploitant l'héritage des propriétés ZFS. Si vous voulez partager le système de fichiers tank/home, utilisez une syntaxe similaire à la suivante :

    # zfs set share.nfs=on tank/home

    La valeur de propriété share.nfs est héritée par tous les systèmes de fichiers descendants.

    # zfs create tank/home/userA
    # zfs create tank/home/userB

Reportez-vous à la section Partage de répertoires personnels créés en tant que systèmes de fichiers ZFS du manuel Gestion des compte et environnements utilisateur dans Oracle Solaris 11.1.

Montage des répertoires personnels sous Oracle Solaris

Comme les répertoires personnels sont créés sous Oracle Solaris 11 en tant que systèmes de fichiers ZFS, il est généralement inutile de les monter manuellement. Un répertoire personnel est monté automatiquement lors de sa création et aussi, lors de l'initialisation, par le service du système de fichiers local SMF. Pour obtenir des instructions sur le montage manuel du répertoire personnel d'un utilisateur, reportez-vous à la section Montage manuel du répertoire personnel d’un utilisateur du manuel Gestion des compte et environnements utilisateur dans Oracle Solaris 11.1.