Atributos de seguridad que deben asignarse a los usuarios

El rol de administrador de la seguridad debe especificar algunos atributos de seguridad para los usuarios nuevos, como se muestra en la siguiente tabla. Para obtener información acerca de los archivos que contienen los valores predeterminados, consulte Atributos de seguridad del usuario predeterminados en Trusted Extensions. La siguiente tabla muestra los atributos de seguridad que pueden asignarse a los usuarios y los efectos de cada asignación.

Tabla 6-2 Atributos de seguridad que se asignan después la creación del usuario

Asignación de atributos de seguridad a los usuarios en Trusted Extensions

El rol de administrador de la seguridad asigna los atributos de seguridad a los usuarios en Solaris Management Console una vez que se crean las cuentas de usuario. Si estableció los valores predeterminados correctos, el siguiente paso consiste en asignar los atributos de seguridad únicamente a los usuarios que necesiten excepciones a los valores predeterminados.

Al asignar los atributos de seguridad a los usuarios, el administrador de la seguridad considera la siguiente información:

Asignación de contraseñas

El rol de administrador de la seguridad asigna contraseñas a las cuentas de usuario una vez que se crean las cuentas. Después de esta asignación inicial, los usuarios pueden cambiar sus contraseñas.

Como en el SO Oracle Solaris, se puede obligar a los usuarios a que cambien sus contraseñas periódicamente. Las opciones de caducidad de las contraseñas limitan el período durante el que un intruso capaz de adivinar o robar la contraseña puede acceder al sistema. Además, al establecer que transcurra un período mínimo antes de poder cambiar la contraseña, se impide que el usuario reemplace inmediatamente la contraseña nueva por la contraseña anterior. Para obtener detalles, consulte la página del comando man passwd(1).

---

Nota - Las contraseñas de los usuarios que pueden asumir roles no deben estar sujetas a ninguna limitación por caducidad.

---

Asignación de roles

No es obligatorio que los usuarios tengan roles. Puede asignarse un solo usuario a más de un rol si esto concuerda con la política de seguridad del sitio.

Asignación de autorizaciones

Como en el SO Oracle Solaris, al asignar autorizaciones directamente a un usuario, se agregan autorizaciones nuevas a las existentes. En Trusted Extensions, primero se agregan las autorizaciones a un perfil de derechos y luego se asigna el perfil al usuario.

Asignación de perfiles de derechos

Como en el SO Oracle Solaris, el orden de los perfiles es importante. El mecanismo de los perfiles utiliza la primera instancia del comando o la acción del conjunto de perfiles de la cuenta.

Puede utilizar el orden de clasificación de perfiles para su beneficio. Si desea que un comando se ejecute con atributos de seguridad diferentes de los que se definen para el comando de un perfil existente, cree un perfil nuevo con las asignaciones preferidas para el comando. Luego, inserte ese perfil nuevo antes del perfil existente.

---

Nota - No asigne perfiles de derechos que incluyan acciones o comandos administrativos a un usuario común. Puede que el perfil no funcione porque el usuario común no puede entrar en la zona global.

---

Cambio de valores predeterminados de privilegios

El conjunto de privilegios predeterminado puede ser demasiado liberal para varios sitios. A fin de restringir el conjunto de privilegios para cualquier usuario común en el sistema, cambie la configuración del archivo policy.conf. Para cambiar el conjunto de privilegios de los usuarios individuales, utilice Solaris Management Console. Si desea obtener un ejemplo, consulte Cómo restringir el conjunto de privilegios de un usuario.

Cambio de valores predeterminados de etiquetas

El cambio de los valores predeterminados de una etiqueta del usuario crea una excepción a los valores predeterminados del usuario en el archivo label_encodings.

Cambio de valores predeterminados de auditoría

Como en el SO Oracle Solaris, la asignación de clases de auditoría a un usuario crea excepciones a las clases de auditoría que se asignan en el archivo /etc/security/audit_control del sistema. Para obtener más información sobre auditoría, consulte el Capítulo 18, Auditoría de Trusted Extensions (descripción general).

Archivos .copy_files y .link_files

En Trusted Extensions, los archivos se copian automáticamente del directorio de estructura básica sólo en la zona que contiene la etiqueta mínima de la cuenta. A fin de garantizar que las zonas de las etiquetas superiores puedan usar los archivos de inicio, el usuario o el administrador deben crear los archivos .copy_files y .link_files.

Los archivos .copy_files y .link_files de Trusted Extensions ayudan a automatizar los procedimientos para copiar o enlazar los archivos de inicio en cada etiqueta del directorio principal de una cuenta. Siempre que un usuario crea un espacio de trabajo en una etiqueta nueva, el comando updatehome lee el contenido de .copy_files y .link_files en la etiqueta mínima de la cuenta. A continuación, el comando enlaza o copia cada archivo enumerado en el espacio de trabajo con etiquetas superiores.

El archivo .copy_files resulta útil cuando un usuario quiere que los archivos de inicio sean diferentes en las etiquetas diferentes. Se prefiere copiar, por ejemplo, cuando los usuarios utilizan alias de correo diferentes en etiquetas diferentes. El archivo .link-files resulta útil cuando es necesario que el archivo de inicio sea idéntico en cualquier etiqueta que se invoque. Se prefiere enlazar, por ejemplo, cuando una impresora se utiliza para todos los trabajos de impresión con etiquetas. Para ver archivos de ejemplo, consulte Cómo configurar los archivos de inicio para los usuarios en Trusted Extensions.

La lista siguiente enumera algunos archivos de inicio que quizás quiera que los usuarios puedan enlazar o copiar en etiquetas superiores: