Come rimuovere privilegi di base non necessari all'utente

Lingua:

In alcuni casi, alcuni privilegi di base possono essere rimossi da un set di base di un utente regolare o ospite. Ad esempio, è possibile che agli utenti di Sun Ray venga impedito di esaminare lo stato dei processi non di loro proprietà.

Prima di cominciare

È necessario utilizzare il ruolo root. Per ulteriori informazioni, vedere Using Your Assigned Administrative Rights in Securing Users and Processes in Oracle Solaris 11.2 .

Elencare una definizione completa del set di privilegi di base.

I tre privilegi di base riportati di seguito sono probabili candidati per la rimozione.

% ppriv -lv basic
file_link_any
	Allows a process to create hardlinks to files owned by a uid
	different from the process' effective uid.
...
proc_info
	Allows a process to examine the status of processes other
	than those it can send signals to.  Processes which cannot
	be examined cannot be seen in /proc and appear not to exist.
proc_session
	Allows a process to send signals or trace processes outside its
	session.
...

Scegliere l'ambito della rimozione del privilegio.
- Impostare a livello di sistema.
  Questi privilegi vengono negati a tutti gli utenti che tentano di utilizzare il sistema. Questo metodo di rimozione dei privilegi può essere appropriato per un computer disponibile pubblicamente.
```
# pfedit /etc/security/policy.conf
...
#PRIV_DEFAULT=basic
PRIV_DEFAULT=basic,!file_link_any,!proc_info,!proc_session
```
- Rimuovere i privilegi dai singoli utenti.
  - Impedire a un utente di utilizzare il collegamento a un file non di sua proprietà.
```
# usermod -K 'defaultpriv=basic,!file_link_any' user
```
  - Impedire a un utente di esaminare processi non di sua proprietà.
```
# usermod -K 'defaultpriv=basic,!proc_info' user
```
  - Impedire a un utente di avviare una seconda sessione, ad esempio avviandone una ssh dalla sessione corrente.
```
# usermod -K 'defaultpriv=basic,!proc_session' user
```
  - Rimuovere tutti e tre i privilegi da un set di base dell'utente.
```
# usermod -K 'defaultpriv=basic,!file_link_any,!proc_info,!proc_session' user
```
- Creare e assegnare un profilo di diritti.
  Questa protezione si applica a qualsiasi utente o sistema in cui si assegna questo profilo di diritti.
  1. Creare il profilo di diritti.
```
# profiles -p shared-profile -S ldap
shared-profile: set defaultpriv=basic,!file_link_any,!proc_info,!proc_session
...
```
    Per ulteriori informazioni sulla creazione dei profili di diritti, vedere Creating Rights Profiles and Authorizations in Securing Users and Processes in Oracle Solaris 11.2 .
  2. Assegnare il profilo di diritti agli utenti o a livello di sistema.
    In caso di più utenti che condividono un profilo di diritti, ad esempio Sun Ray o utenti remoti, l'impostazione di questo valore in un profilo può rappresentare una soluzione scalabile.
```
# usermod -P shared-profile username
```
    È anche possibile assegnare il profilo in base al sistema nel file policy.conf.
```
# pfedit /etc/security/policy.conf
...
#PROFS_GRANTED=Basic Solaris User
PROFS_GRANTED=shared-profile,Basic Solaris User
```

Vedere anche

Per ulteriori informazioni, vedere Capitolo 1, About Using Rights to Control Users and Processes in Securing Users and Processes in Oracle Solaris 11.2 e consultare la pagina man privileges(5).