Control del acceso al comando crontab

Puede controlar el acceso al comando crontab mediante dos archivos en el directorio /etc/cron.d: cron.deny y cron.allow. Estos archivos permiten que sólo los usuarios especificados realicen tareas del comando crontab, como crear, editar, visualizar o eliminar sus propios archivos crontab.

Los archivos cron.deny y cron.allow constan de una lista de nombres de usuario (un nombre de usuario por línea).

Estos archivos de control de acceso funcionan de manera conjunta como se indica a continuación:

• Si cron.allow existe, sólo los usuarios indicados en este archivo pueden crear, editar, visualizar o eliminar archivos crontab.

• Si cron.allow no existe, todos los usuarios pueden ejecutar archivos crontab, excepto los usuarios indicados en cron.deny.

• Si ni cron.allow ni cron.deny existen, se necesitan privilegios de superusuario para ejecutar el comando crontab.

Los privilegios de superusuario son necesarios para editar o crear los archivos cron.deny y cron.allow.

El archivo cron.deny, creado durante la instalación del software SunOS, contiene los siguientes nombres de usuario:

$ cat /etc/cron.d/cron.deny
daemon
bin
smtp
nuucp
listen
nobody
noaccess

Ninguno de los nombres de usuario del archivo cron.deny predeterminado puede acceder al comando crontab. Puede editar este archivo para agregar otros nombres de usuario a los que se les denegará el acceso al comando crontab.

No se proporcionó un archivo cron.allow de manera predeterminada. Por lo tanto, después de la instalación del software Oracle Solaris, todos los usuarios (excepto los usuarios indicados en el archivo cron.deny predeterminado) pueden acceder al comando crontab. Si crea un archivo cron.allow, sólo estos usuarios podrán acceder al comando crontab.

Cómo denegar el acceso al comando crontab

1. Conviértase en superusuario o asuma una función similar.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

2. Edite el archivo /etc/cron.d/cron.deny y agregue nombres de usuario (un usuario por línea). Incluya a los usuarios a los que se les denegará el acceso a los comandos crontab.

   daemon
   bin
   smtp
   nuucp
   listen
   nobody
   noaccess
   username1
   username2
   username3
   .
   .
   .

3. Verifique que el archivo /etc/cron.d/cron.deny contenga las entradas nuevas.

   # cat /etc/cron.d/cron.deny
   daemon
   bin
   nuucp
   listen
   nobody
   noaccess

Cómo limitar el acceso al comando crontab a los usuarios especificados

1. Conviértase en superusuario o asuma una función similar.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas) de Guía de administración del sistema: servicios de seguridad.

2. Cree el archivo /etc/cron.d/cron.allow.
3. Agregue el nombre de usuario root al archivo cron.allow.

   Si no agrega root al archivo, el acceso de superusuario a los comandos crontab será denegado.

4. Agregue los nombres de usuario (un nombre de usuario por línea).

   Incluya a los usuarios que tendrán permiso para utilizar el comando crontab.

   root
   username1
   username2
   username3
   .
   .
   .

Ejemplo 8-6 Limitación del acceso al comando crontab a los usuarios especificados

El siguiente ejemplo muestra un archivo cron.deny que impide que los nombres de usuario jones, temp y visitor accedan al comando crontab.

$ cat /etc/cron.d/cron.deny
daemon
bin
smtp
nuucp
listen
nobody
noaccess
jones
temp
visitor

El siguiente ejemplo muestra un archivo cron.allow. Los usuarios root, jones, lp y smith son los únicos usuarios que pueden acceder al comando crontab.

$ cat /etc/cron.d/cron.allow
root
jones
lp
smith

Cómo verificar el acceso limitado al comando crontab

Para verificar si un usuario específico puede acceder al comando crontab, utilice el comando crontab -l mientras está conectado en la cuenta de usuario.

$ crontab -l

Si el usuario puede acceder al comando crontab, y ya ha creado un archivo crontab, el archivo se muestra. De lo contrario, si el usuario puede acceder al comando crontab, pero no existe ningún archivo crontab, se muestra un mensaje similar al siguiente:

crontab: can't open your crontab file

Este usuario aparece en el archivo cron.allow (si el archivo existe) o no aparece en el archivo cron.deny.

Si el usuario no puede acceder al comando crontab, aparece el siguiente mensaje, independientemente de que exista un archivo crontab anterior:

crontab: you are not authorized to use cron. Sorry.

Este mensaje significa que el usuario no aparece en el archivo cron.allow (si el archivo existe) o aparece en el archivo cron.deny.