Sécurisation des utilisateurs et des processus dans Oracle® Solaris 11.2

Quitter la vue de l'impression

 
Mis à jour : Juillet 2014
 
 

Droits Restriction des utilisateurs "

Les exemples de cette limite de la section, les droits ou enlever des utilisateurs standard de certains droits d'administration de la part d'un administrateur. Elles indiquent comment modifier des utilisateurs, rôles et les profils de droits. Pour plus d'informations à propos des droit, reportez-vous au Chapter 1, A propos de l'utilisation de droits pour contrôle Users and Processes.

  • A partir d'un enlever les privilèges limites -21 utilisateur-Exemple 3 Example 3–21

  • Enlever les privilèges d'un utilisateur de base-Exemple 3 -22 Example 3–22

  • Enlever les privilèges de base à partir de votre propre -23 du processus de shell-Exemple 3 Example 3–23

  • Pour créer un système -24 à usage limité - Exemple 3 Example 3–24

  • Limiter un administrateur aux droits affectés de manière explicite -25 droits-Exemple 3 Example 3–25

  • Suppression des droits à partir de tous les utilisateurs d'un système, Exemple-Exemple 3 -28 -24 3 Example 3–24Example 3–28

  • Empêcher les applications d'-26 la création de sous-processus-Exemple 3 Example 3–26

  • La génération dynamique d'empêcher les processus utilisateur des -27 les sous-processus-Exemple 3 Example 3–27

  • Créer une liste restreinte-Exemple 3 éditeur -27 pour les invités Example 3–27

  • Editeur affecter limitant l'accès à un -28 système public-Exemple 3 Example 3–28

  • Supprimer des privilèges du jeu limite d'un profil de droits -6 : Example 5 Example 5–6

  • Création d'un profil de droits pour l'exemple 5 Sun Ray -6 Users (Utilisateurs) : Example 5–6

  • Suppression des droits d'un profil de droits, Exemple : Example -9 -6 5 5 Example 5–6Example 5–9

  • Supprimer une autorisation de l'Example 5 -10 par l'utilisateur Example 5–10

  • Supprimer un rôle d'affectation -13 : Example 5 Example 5–13

Exemple 3-21  Suppression de privilèges du jeu limite d'un utilisateur

Dans l'exemple suivant, toutes les sessions qui proviennent de la connexion initiale de jdoe sont empêchées d'utiliser le privilège sys_linkdir. L'utilisateur ne peut pas créer de liens physiques vers les répertoires ou rompre un lien vers des répertoires, même une fois que l'exécution de la commande. su

# usermod -K 'limitpriv=all,!sys_linkdir' jdoe
# userattr limitpriv jdoe
all,!sys_linkdir
Exemple 3-22  Suppression d'un privilège de base d'un profil de droits

Dans l'exemple suivant, après des tests approfondis, l'administrateur de la sécurité supprime un autre privilège de base du profil de droits Sun Ray Users (utilisateurs Sun Ray). Lorsque l'administrateur a créé le profil de l'Example 5–6-6, l'administrateur a supprimé un privilège du jeu limite. Cette fois-ci , l'administrateur supprime deux privilèges de base. Les utilisateurs auxquels ce profil est affecté ne peuvent examiner aucun processus hors de leur session en cours, ni ajouter une autre session.

# profiles -p "Sun Ray Users"
profiles:Sun Ray Users> set defaultpriv="basic,!proc_session,!proc_info"
profiles:Sun Ray Users> end
profiles:Sun Ray Users> exit
Exemple 3-23  Suppression d'un privilège de base d'vous-même

Dans l'exemple suivant, un utilisateur standard modifie proc_info de privilèges de base pour supprimer le. .bash_profile Et la sortie de contenirps que des programmes comme propresprstat processus, de l'utilisateur qui peut mettent en évidence des informations utiles.

##  .bash_profile
## Remove proc_info privilege from my shell
##
ppriv -s EI-proc_info $$

pprivsupprime le privilège proc_info la ligne à partir d' effectif de l'utilisateur (EE et des jeux de privilèges héritable -) dans le processus de shell ($$) en cours.

Dans la sortie suivante à partir de, les prstattotaux pour l'opération de réduction des trois processus suivants : 74

## With all basic privileges
Total: 74 processes, 527 lwps, load averages: 0.01, 0.00, 0.00

## With proc_info removed from the effective and inheritable set
Total: 3 processes, 3 lwps, load averages: 0.00, 0.00, 0.00
Exemple 3-24  Modification d'un système pour limiter les droits disponibles pour ses utilisateurs

Dans cet exemple, l'administrateur crée un système qui n'est utile que pour administrer le réseau. L'administrateur supprime le profil de droits Basic Solaris User (utilisateur de base Solaris) et toutes les autorisations du fichier policy.conf. Le profil de droits Console User (utilisateur de la console) n'est pas supprimé. Les lignes concernées dans le fichier policy.conf résultant sont les suivantes :

...
##AUTHS_GRANTED=
##AUTH_PROFS_GRANTED=
##PROFS_GRANTED=Basic Solaris User
CONSOLE_USER=Console User
...

Seul un utilisateur auquel des autorisations, commandes ou profils de droits sont explicitement affectés est capable d'utiliser ce système. Après la connexion, l'utilisateur autorisé peut effectuer des tâches d'administration. Si l'utilisateur autorisé se trouve devant la console système, il dispose des droits de l'utilisateur de la console.

Exemple 3-25  Limitation d'un administrateur aux droits affectés de manière explicite

    Vous pouvez limiter un rôle ou un utilisateur à un nombre restreint d'actions d'administration de deux manières.

  • Affectez le profil de droits Stop (arrêt) comme dernier profil dans la liste des profils de l'utilisateur.

    Ce profil constitue le moyen le plus simple de créer un shell limité. Les autorisations et les profils de droits dans le fichier ne sont pas affectés à l'utilisateur ou au rôle. policy.conf

  • Vous pouvez modifier le fichier policy.conf sur un système et exiger que le rôle ou l'utilisateur utilisent ce système pour les tâches d'administration. Reportez-vous à la section Example 3–24.

La commande suivante permet de limiter le rôle auditrev aux révisions d'audit uniquement. 

# rolemod -P "Audit Review,Stop" auditrev

Etant donné que le rôle auditrev ne dispose pas du profil de droits Console User (utilisateur de la console), l'auditeur ne peut pas arrêter le système. Etant donné que ce rôle ne dispose pas de l'autorisation solaris.device.cdrw, l'auditeur ne peut pas lire ou écrire sur l'unité de CD-ROM. Etant donné que ce rôle ne dispose pas du profil de droits de l'utilisateur Solaris de base des commandes à partir de ce profil, il n'y a pas de peut être exécutée dans ce rôle. Dans la mesure où le profil de droits Tous n'est pas affecté, la commande ls ne sera pas exécuté. Le rôle utilise le navigateur de fichiers pour sélectionner les fichiers d'audit à des fins de consultation.

Pour plus d'informations, reportez-vous à laOrdre de recherche pour Assigned RightsProfils de droits Reference (disponible en anglais uniquement)

Exemple 3-26  Lancement dynamique empêchant sélectionnés les nouveaux processus des applications à partir de

Dans cet exemple, l'administrateur crée un profil de droits pour les sous-processus des applications qui n'ont pas besoin pour fonctionner correctement. Pour plus de commodité, l'administrateur crée un répertoire dans lequel stocker ces fichiers exécutables. Lorsque de nouvelles applications sont ajoutés, qui n'ont pas besoin de la version actuelle, les sous-processus peuvent être ajoutés à ce répertoire. Ou, si l'exécutable doit se trouver dans un répertoire spécifique, l'administrateur peut la lier à partir de app-exécutable . /opt/local/noex/ 

# profiles -p "Prevent App Subprocess"
profiles:Prevent App Subprocess> set desc="Keep apps from execing processes"
profiles:Prevent App Subprocess> add cmd=/opt/local/noex/mkmod
... Subprocess:mkmod> set limitprivs=all,!proc_exec
... Subprocess:mkmod> end
... Subprocess> add cmd=/opt/local/noex/gomap
... Subprocess:gomap> set limitprivs=all,!proc_exec
... Subprocess:gomap> end
... Subprocess> commit
... Subprocess> exit
Exemple 3-27  Les invités à partir de lancement dynamique de l'éditeur, évitant ainsi que le sous-processus

Dans cet exemple, l'administrateur empêche les utilisateurs de créer à partir d'une ou plusieurs éditeurs subshells en supprimant le privilège de base proc_exec. a partir de l'éditeur de commande

  1. L'administrateur crée un profil de droits qui supprime proc_exec du jeu limite de privilèges de l'éditeur vim.

    # profiles -p -S ldap "Editor Restrictions"
profiles:Editor Restrictions> set desc="Site Editor Restrictions"
... Restrictions> add cmd=/usr/bin/vim
... Restrictions:vim> set limitprivs=all,!proc_exec
... Restrictions:vim> end
... Restrictions> commit
... Restrictions> exit

  2. D'autres éditeurs de l'administrateur ajoute au profil de droits populaires.

    # profiles -p "Editor Restrictions"
profiles:Editor Restrictions> add cmd=/usr/bin/gedit
... Restrictions:gedit> set limitprivs=all,!proc_exec
... Restrictions:gedit> end
... Restrictions> add cmd=/usr/bin/gconf-editor
... Restrictions:gconf-editor> set limitprivs=all,!proc_exec
... Restrictions:gconf-editor> end
... Restrictions> add cmd=/usr/bin/ed
... Restrictions:ed> set limitprivs=all,!proc_exec
... Restrictions:ed> end
... Restrictions> add cmd=/usr/bin/ex
... Restrictions:ex> set limitprivs=all,!proc_exec
... Restrictions:ex> end
... Restrictions> add cmd=/usr/bin/edit
... Restrictions:edit> set limitprivs=all,!proc_exec
... Restrictions:edit> end
... Restrictions> commit
... Restrictions> exit

  3. Il recherche n'y a pas d'erreur dans le profil de droits, tels que les entrées des erreurs typographiques, les omissions ou les répétitions.

    # profiles -p "Editor Restrictions" info
Found profile in files repository.
name=Editor Restrictions
desc=Site Editor Restrictions
cmd=/usr/bin/vim
limitprivs=all,!proc_exec
...

  4. Restrictions l'administrateur attribue le profil de droits de l'éditeur pour l'utilisateur guest. 

    # usermod -K profiles+="Editor Restrictions" guest

    A l'aide de profils +, l'administrateur ajoute ce profil de droits d'accès au compte en cours de la base de données des profils de droits.

  5. Des privilèges pour vérifier que l'éditeur sont limitées, l'administrateur ouvre l'éditeur et dans une fenêtre distincte, éditeur examine les privilèges associés au processus.

    # ppriv -S $(pgrep vi)
2805:   vi .bash_profile
flags = PRIV_PFEXEC User is running a profile shell
        E: basic,!proc_info proc_info is removed from basic set
        I: basic,!proc_info
        P: basic,!proc_info
        L: all,!proc_exec proc_exec is removed from limit set
Exemple 3-28  Profil de droits de l'affectation de l'Editeur de restrictions à tous les utilisateurs

Dans cet exemple, l'administrateur ajoute le profil de droits à l'Editeur de fichier restrictions. policy.conf L'administrateur s'assure que ce fichier est distribué à tous les systèmes sur lesquels les invités public peuvent se connecter.

# cd /etc/security; cp policy.conf policy.conf.orig
# pfedit /etc/security/policy.conf
...
AUTHS_GRANTED=
AUTH_PROFS_GRANTED=
#PROFS_GRANTED=Basic Solaris User
PROFS_GRANTED=Editor Restrictions,Basic Solaris User

L'administrateur a affecté de la sécurité utilisateur d'un shell de profil pour tous les utilisateurs. La procédure sur la base des motifs et des droits aux utilisateurs de, reportez-vous aux rubriques Affectation. Attribution de droits aux utilisateurs

Copyright © 2002, 2014, Oracle et/ou ses affiliés. Tous droits réservés. Mentions légales
Précédent
Suivant