El término “privilegio” indica tradicionalmente un aumento de los derechos. Debido a que cada uno de los procesos en un sistema Oracle Solaris se ejecuta con algunos derechos, puede reducir los derechos en un proceso eliminando los privilegios. En esta versión, también puede utilizar una política de privilegio extendido para eliminar más privilegios, excepto los que están asignados a determinados recursos de manera predeterminada.
Como administrador de la seguridad, es responsable de asignar privilegios. Los perfiles de derechos existentes tienen privilegios ya asignados a los comandos en el perfil. Luego, se asigna el perfil de derechos a un rol o un usuario.
Los privilegios se pueden asignar directamente a un usuario, a un rol o a un perfil de derechos. Si confía en que un subconjunto de usuarios puede utilizar un privilegio de forma responsable a lo largo de sus sesiones, puede asignar el privilegio directamente. Los privilegios que tienen un efecto limitado, como proc_clock_highres, son buenos candidatos para la asignación directa. Los privilegios que tienen efectos amplios, como file_dac_write, son malos candidatos para la asignación directa. Para ver una explicación más detallada, consulte Consideraciones de seguridad al asignar los derechos.
También es posible denegar privilegios a un usuario, rol o proceso. Se debe tener cuidado al eliminar privilegios del conjunto heredable inicial o el conjunto límite de un usuario o un rol.
Los usuarios y roles tienen un conjunto heredable de privilegios. El conjunto sólo se puede reducir, ya que el límite configurado incluye inicialmente todos los privilegios. El conjunto heredable inicial se puede ampliar para usuarios, roles y los procesos mediante la asignación de un privilegio que no se encuentra en el conjunto heredable.
Puede expandir los privilegios que están disponibles de tres maneras:
Un privilegio que no está en el conjunto heredable inicial, pero está en el conjunto límite se puede asignar a los usuarios y los roles. La asignación puede ser indirecta, mediante un comando con privilegios en un perfil de derechos, o puede ser directa.
Un privilegio que no está en el conjunto heredable se puede asignar explícitamente a un proceso, como agregar privilegios a una secuencia de comandos o una aplicación.
Un privilegio que no se encuentra en el conjunto heredable, pero está en el límite configurado se puede asignar explícitamente a un puerto de la red, UID u objeto de archivo. Este uso de privilegio se denomina política de privilegio extendido y también es una forma de restricción de privilegios disponibles. Para obtener más información, consulte Uso de la política de privilegio extendido para restringir el uso de privilegios.
La asignación de un privilegio sólo a la tarea administrativa que requiere el privilegio es la manera más precisa para expandir los privilegios de un usuario o rol. Crear un perfil de derechos que incluye el comando o la secuencia de comandos con los privilegios necesarios. A continuación, se asigna este perfil de derechos a un usuario o rol. Dicha asignación permite al usuario o rol para ejecutar dicho comando con privilegios. De lo contrario, el privilegio no están disponible para el usuario.
Ampliar el conjunto heredable inicial de privilegios para los usuarios o roles es una manera menos deseable de asignar privilegios. Todos los privilegios del conjunto heredable están en el conjunto permitido y vigente. Todos los comandos que el usuario o el rol escriben en un shell puede utilizar los privilegios asignados directamente. Para ver una explicación más detallada, consulte Consideraciones de seguridad al asignar los derechos.
Para reducir la disponibilidad de privilegios innecesaria, puede asignar privilegios extendidos para los puertos de red, los UID y los objetos de archivo. Dicha asignación elimina privilegios que no están en el conjunto de privilegios extendidos para el conjunto vigente. Para ver una explicación, consulte Uso de la política de privilegio extendido para restringir el uso de privilegios.
Los privilegios y los perfiles de derechos también se pueden aplicar a los usuarios que no sean de confianza para restringir sus derechos. Al eliminar privilegios, puede impedir que los usuarios y los roles realicen determinadas tareas. Puede eliminar privilegios del conjunto heredable inicial y del conjunto límite. Debe probar con cuidado la eliminación de privilegios antes de distribuir un conjunto heredable inicial o un conjunto límite que es menor que el conjunto predeterminado. Al eliminar privilegios del conjunto heredable inicial, puede impedir que los usuarios inicien sesión. Cuando se eliminan privilegios del conjunto límite, es posible que se produzca un error en un programa setuid root antiguo porque el programa necesita un privilegio que se eliminó. Para obtener ejemplos de eliminación de privilegios, consulte Example 3–21 y Example 5–6.
Para limitar los privilegios que están disponibles para un identificador de usuario, puerto u objeto de archivo, consulte Uso de la política de privilegio extendido para restringir el uso de privilegios.
Las secuencias de comandos son ejecutables, como los comandos. Por lo tanto, en un perfil de derechos, puede agregar privilegios a una secuencia de comandos del mismo modo que puede agregar privilegios a un comando. La secuencia de comandos se ejecuta con los privilegios agregados cuando un usuario o rol al que se asignó el perfil de derechos ejecuta la secuencia de comandos en un shell de perfil. Si la secuencia de comandos contiene comandos que requieren privilegios, los comandos con privilegios agregados también deben estar en un perfil de derechos asignado. Para ver ejemplos, consulte Asignación de derechos a aplicaciones y secuencias de comandos.
La política de privilegio extendido puede restringir el acceso a puertos, identificadores de usuario u objetos de archivo, excepto para los privilegios básicos y los privilegios que se hayan otorgado explícitamente. Con tan pocos privilegios, el recurso no se puede utilizar fácilmente para un ataque al sistema. De hecho, los usuarios pueden proteger archivos y directorios que son de su propiedad contra el acceso de procesos potencialmente malintencionados. Para ver ejemplos de política de privilegio extendido, consulte Limitación de aplicaciones, secuencias de comandos y recursos a derechos específicos.