Kapitel 2 Sun Cluster und RBAC

Dieses Kapitel beschreibt die RBAC (Role-Based Access Control, rollenbasierte Zugriffskontrolle) im Zusammenhang mit Sun Cluster. Folgende Themen werden behandelt:

• Konfigurieren und Verwenden von RBAC mit Sun Cluster,

• Sun Cluster-RBAC-Rechteprofile,

• Erstellen und Zuweisen einer RBAC-Rolle mit einem Sun Cluster-Verwaltungs-Rechteprofil,

• Ändern der RBAC-Eigenschaften eines Benutzers.

Konfigurieren und Verwenden von RBAC mit Sun Cluster

In der nachstehenden Tabelle finden Sie die Dokumentation, in der Sie sich über das Konfigurieren und Verwenden der RBAC informieren können. Spezifische Schritte bei der Einstellung und Verwendung von RBAC mit Sun Cluster werden später in diesem Kapitel vorgestellt.

Sun Cluster-RBAC-Rechteprofile

SunPlex-Manager und bestimmte, über die Befehlszeile eingegebene Sun Cluster-Befehle und -Optionen verwenden RBAC zur Authentisierung. Sun Cluster enthält mehrere RBAC-Rechteprofile. Sie können diese Rechteprofile Benutzern oder Rollen zuweisen und ihnen so auf verschiedenen Ebenen Zugriff auf Sun Cluster gewähren. Sun stellt die folgenden Rechteprofile mit der Sun Cluster-Software zur Verfügung.

Erstellen und Zuweisen einer RBAC-Rolle mit einem Sun Cluster-Verwaltungs-Rechteprofil

Zum Erstellen einer Rolle müssen Sie entweder eine Rolle übernehmen, der das Rechteprofil “Primärverwalter” zugewiesen ist, oder Sie müssen sich als root-Benutzer anmelden.

So erstellen Sie eine Rolle mithilfe des Tools “Administrative Roles”

1. Starten Sie das Tool “Administrative Roles”.

   Führen Sie das Tool “Administrative Roles” aus, und starten Sie die Solaris-Verwaltungskonsole wie unter “How to Assume a Role in the Console Tools” in System Administration Guide: Security Services beschrieben. Dann öffnen Sie “User Tool Collection”, und klicken Sie auf das Symbol “Administrative Roles”.

2. Starten Sie den Assistenten zum Hinzufügen von Verwaltungsrollen.

   Wählen Sie im Menü “Action” den Befehl “Add Administrative Role” aus, um den Assistenten zum Hinzufügen von Verwaltungsrollen zum Konfigurieren von Rollen zu starten.

3. Konfigurieren Sie eine Rolle, der das Rechteprofil “Cluster-Verwaltung” zugewiesen ist.

   Mit den Schaltflächen “Next” und “Back” können Sie zwischen den Dialogfeldern navigieren. Beachten Sie, dass die Schaltfläche “Next” erst verfügbar ist, wenn Sie alle erforderlichen Felder ausgefüllt haben. Im letzten Dialogfeld können Sie die eingegebenen Daten überprüfen; an dieser Stelle können Sie zurückgehen, um Eingaben zu ändern, oder Sie klicken auf “Finish”, um die neue Rolle zu speichern. Tabelle 2–1 fasst die Dialogfelder zusammen.

   ---

   Hinweis –

   Sie müssen dieses Profil an die erste Stelle in der Liste der Profile setzen, die der Rolle zugewiesen sind.

   ---

4. Fügen Sie die Benutzer, die SunPlex-Manager-Funktionen oder Sun Cluster-Befehle benötigen, der neu erstellten Rolle hinzu.

   Mit dem useradd(1M)-Befehl fügen Sie dem System ein Benutzerkonto hinzu. Die Option -P weist einem Benutzerkonto eine Rolle zu.

5. Wenn Sie fertig sind, klicken Sie auf “Finish”.

6. Öffnen Sie ein Terminalfenster, melden Sie sich als root an, und starten und stoppen Sie den Namensdienst-Cache-Dämon.

   Die neue Rolle ist erst nach einem Neustart des Namensdienst-Cache-Dämons verfügbar. Nachdem Sie sich als root angemeldet haben, geben Sie Folgendes ein:

   # /etc/init.d/nscd stop # /etc/init.d/nscd start

So erstellen Sie eine Rolle mit der Befehlszeile

1. Melden Sie sich als Superbenutzer an oder übernehmen Sie eine Rolle, mit der Sie weitere Rollen erstellen können.

2. Wählen Sie eine Methode zur Erstellung einer Rolle aus:

   • Für Rollen im lokalen Geltungsbereich verwenden Sie den roleadd(1M)-Befehl, um eine neue lokale Rolle mit den dazugehörigen Attributen anzugeben.

   • Alternativ dazu können Sie für Rollen im lokalen Geltungsbereich die user_attr(4 )-Datei bearbeiten und mit type=role Benutzer hinzufügen.

     Diese Methode wird nur für den Notfall empfohlen, weil beim Eingeben leicht Fehler entstehen.

   • Für Rollen in einem Namensdienst verwenden Sie den smrole(1M)-Befehl, um die neue Rolle und die dazugehörigen Attribute anzugeben.

     Zur Ausführung dieses Befehls benötigen Sie eine Authentisierung als Superbenutzer oder eine Rolle, die andere Rollen erstellen kann. Sie können smrole auf alle Namensdienste anwenden. Dieser Befehl wird als Client des Solaris Management Console-Servers ausgeführt.

3. Starten und Stoppen Sie den Namensdienst-Cache-Dämon.

   Neue Rollen sind erst nach einem Neustart des Namensdienst-Cache-Dämons wirksam. Als root geben Sie Folgendes ein:

   # /etc/init.d/nscd stop # /etc/init.d/nscd start

Beispiel 2–1 Erstellen einer benutzerdefinierten Rolle “Bediener” mit dem smrole-Befehl

Die nachstehende Sequenz zeigt die Erstellung einer Rolle mit dem smrole-Befehl. In diesem Beispiel wird eine neue Version der Rolle “Bediener” erstellt, dem das Standard-Rechteprofil “Bediener” und das Rechteprofil “Medienwiederherstellung” zugewiesen ist.

% su primaryadmin
# /usr/sadm/bin/smrole add -H myHost -- -c “Custom Operator” -n oper2 -a johnDoe \
-d /export/home/oper2 -F “Backup/Restore Operator” -p “Operator” -p “Media Restore”
Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password ::<type oper2 password>

# /etc/init.d/nscd stop
# /etc/init.d/nscd start

Verwenden Sie smrole mit der >list-Option wie folgt, um die neu erstellte Rolle (und jede andere Rolle) anzuzeigen:

# /usr/sadm/bin/smrole list --
Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type  primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.
root                    0               Super-User
primaryadmin            100             Most powerful role
sysadmin                101             Performs non-security admin tasks
oper2                   102             Custom Operator

Ändern der RBAC-Eigenschaften eines Benutzers

Sie müssen entweder “User Tool Collection” als root-Benutzer ausführen oder eine Rolle übernehmen, der das Rechteprofil “Primärverwalter” zugewiesen ist, um Benutzereigenschaften ändern zu können.

So ändern Sie die RBAC-Eigenschaften eines Benutzers mit dem Tool “User Accounts”

1. Starten Sie das Tool “User Accounts”.

   Sie müssen Solaris Management Console wie unter “How to Assume a Role in the Console Tools” in System Administration Guide: Security Services beschrieben starten, um das Tool “User Accounts” auszuführen. Dann öffnen Sie “User Tool Collection” und klicken auf das Symbol “User Accounts”.

   Nach dem Start des Tools “User Accounts” werden die Symbole für die vorhandenen Benutzerkonten im Anzeigebereich angezeigt.

2. Klicken Sie auf das Symbol des zu ändernden Benutzerkontos, und wählen Sie im Menü “Action” den Befehl “Properties” aus (oder doppelklicken Sie einfach auf das Benutzerkontosymbol).

3. Klicken Sie auf die entsprechende Registerkarte im Dialogfeld für die zu ändernde Eigenschaft. Gehen Sie wie folgt vor:

   • Klicken Sie auf die Registerkarte “Roles”, um die dem Benutzer zugewiesenen Rollen zu ändern, und verschieben Sie die zu ändernde Rollenzuweisung in die entsprechende Spalte: “Available Roles” oder “Assigned Roles”.

   • Klicken Sie auf die Registerkarte “Rights”, um die dem Benutzer zugewiesenen Rechteprofile zu ändern, und verschieben Sie diese in die entsprechende Spalte: “Available Rights” oder “Assigned Rights”.

     ---

     Hinweis –

     Es ist nicht empfehlenswert, den Benutzern direkt Rechteprofile zuzuweisen. Der beste Weg besteht darin, die Benutzer zur Übernahme von Rollen zu zwingen, wenn sie Anwendungen mit Privilegien ausführen müssen. Mit dieser Strategie wird ein Missbrauch von Privilegien durch normale Benutzer verhindert.

     ---

So ändern Sie die RBAC-Eigenschaften eines Benutzers mit der Befehlszeile

1. Melden Sie sich als Superbenutzer an oder übernehmen Sie eine Rolle, mit der Sie Benutzerdateien ändern können.

2. Verwenden Sie den entsprechenden Befehl:

   • Verwenden Sie den usermod(1M)-Befehl, um Autorisierungen, Rollen oder Rechteprofile zu ändern, die einem im lokalen Geltungsbereich definierten Benutzer zugewiesen sind.

   • Alternativ dazu können Sie die user_attr-Datei bearbeiten, um Autorisierungen, Rollen oder Rechteprofile zu ändern, die einem im lokalen Geltungsbereich definierten Benutzer zugewiesen sind.

     Diese Methode wird nur für den Notfall empfohlen, weil beim Eingeben leicht ein Fehler entsteht.

   • Verwenden Sie den smuser(1M)-Befehl, um Autorisierungen, Rollen oder Rechteprofile zu ändern, die einem in einem Namensdienst definierten Benutzer zugewiesen sind.

     Für diesen Befehl benötigen Sie eine Authentisierung als Superbenutzer oder eine Rolle, die Benutzerdateien ändern kann. Sie können smuser auf alle Namensdienste anwenden. smuser wird als Client des Solaris Management Console-Servers ausgeführt.