Solaris OS용 Sun Cluster 시스템 관리 안내서

2장 Sun Cluster 및 RBAC

이 장에서는 Sun Cluster와 관련한 역할 기반 액세스 제어(RBAC)에 대해 설명합니다. 주요 내용은 다음과 같습니다.

Sun Cluster에 대해 RBAC 설정 및 사용

다음 표에는 RBAC 설정 및 사용 방법에 관한 참조 문서가 나열되어 있습니다. Sun Cluster와 함께 RBAC를 설정 및 사용하기 위해 수행할 특정 단계는 이 장 후반부에서 설명합니다.

목적	참조
RBAC에 대한 자세한 내용	System Administration Guide: Security Services의 “Role-Based Access Control (Overview)”
RBAC의 요소 설정 및 관리와 RBAC 사용	System Administration Guide: Security Services의 “Role-Based Access Control (Tasks)”
RBAC 요소과 도구에 대한 자세한 내용	System Administration Guide: Security Services의 “Role-Based Access Control (Reference)”

Sun Cluster RBAC 권한 프로필

SunPlex Manager 및 사용자가 명령줄에서 실행하는 Sun Cluster 명령과 옵션은 인증을 위해 RBAC를 사용합니다. Sun Cluster에는 몇 가지 RBAC 권한 프로필이 포함되어 있습니다. 이 권한 프로필을 사용자나 역할에 할당하여 Sun Cluster에 대한 서로 다른 수준의 액세스를 제공할 수 있습니다. Sun에서는 Sun Cluster 소프트웨어에 다음과 같은 권한 프로필을 제공합니다.

권한 프로필	포함된 인증	이 인증을 통해 역할 ID가 수행할 수 있는 작업
Sun Cluster 명령	없음. 그러나 `euid=0`으로 실행되는 Sun Cluster 명령 목록이 포함되어 있습니다.	다음을 비롯하여 클러스터를 구성 및 관리하기 위해 선택한 Sun Cluster 명령 실행 scgdevs(1M) scswitch(1M) (선택한 옵션) scha_control(1HA) scha_resource_get(1HA) scha_resource_setstatus(1HA) scha_resourcegroup_get(1HA) scha_resourcetype_get(1HA)
기본 Solaris 사용자	이 기존 Solaris 권한 프로필에는 다음을 비롯하여 Solaris 인증이 포함되어 있습니다.	다음을 비롯하여 기본 Solaris 사용자 역할 ID가 수행할 수 있는 동일한 작업 수행
	`solaris.cluster.device.read`	장치 그룹에 대한 정보 읽기
	`solaris.cluster.gui`	SunPlex Manager 액세스
	`solaris.cluster.network.read`	IPMP (IP Network Multipathing)에 대한 정보 읽기 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.node.read`	노드 속성에 대한 정보 읽기
	`solaris.cluster.quorum.read`	쿼럼 장치 및 쿼럼 상태에 대한 정보 읽기
	`solaris.cluster.resource.read`	자원 및 자원 그룹에 대한 정보 읽기
	`solaris.cluster.system.read`	클러스터 상태 읽기
	`solaris.cluster.transport.read`	전송에 대한 정보 읽기
클러스터 작업	`solaris.cluster.appinstall`	클러스터된 응용 프로그램 설치
	`solaris.cluster.device.admin`	장치 그룹 속성에 대한 관리 작업 수행
	`solaris.cluster.device.read`	장치 그룹에 대한 정보 읽기
	`solaris.cluster.gui`	SunPlex Manager 액세스
	`solaris.cluster.install`	클러스터링 소프트웨어 설치 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.network.admin`	IPMP (IP Network Multipathing) 속성에 대한 관리 작업 수행 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.network.read`	IPMP (IP Network Multipathing)에 대한 정보 읽기 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.node.admin`	노드 속성에 대한 관리 작업 수행
	`solaris.cluster.node.read`	노드 속성에 대한 정보 읽기
	`solaris.cluster.quorum.admin`	쿼럼 장치 및 쿼럼 상태 속성에 대한 관리 작업 수행
	`solaris.cluster.quorum.read`	쿼럼 장치 및 쿼럼 상태에 대한 정보 읽기
	`solaris.cluster.resource.admin`	자원 속성 및 자원 그룹 속성에 대한 관리 작업 수행
	`solaris.cluster.resource.read`	자원 및 자원 그룹에 대한 정보 읽기
	`solaris.cluster.system.admin`	시스템 관리 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.system.read`	클러스터 상태 읽기
	`solaris.cluster.transport.admin`	전송 속성에 대한 관리 작업 수행
	`solaris.cluster.transport.read`	전송에 대한 정보 읽기
시스템 관리자	이 기존 Solaris 권한 프로필에는 클러스터 관리 프로필에 포함되어 있는 것과 동일한 인증이 포함되어 있습니다.	다른 시스템 관리 작업 외에 클러스터 관리 역할 ID가 수행할 수 있는 동일한 작업을 수행합니다.
클러스터 관리	이 권한 프로필에는 다음 인증뿐 아니라 클러스터 작업 프로필에 포함되어 있는 것과 동일한 인증이 포함되어 있습니다.	다음을 비롯하여 클러스터 작업 역할 ID가 수행할 수 있는 것과 동일한 작업을 수행합니다.
	`solaris.cluster.device.modify`	장치 그룹 속성 수정
	`solaris.cluster.gui`	SunPlex Manager 액세스
	`solaris.cluster.network.modify`	IPMP (IP Network Multipathing) 속성 수정 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.node.modify`	노드 속성 수정 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.quorum.modify`	쿼럼 장치 및 쿼럼 상태 속성 수정
	`solaris.cluster.resource.modify`	자원 속성 및 자원 그룹 속성 수정
	`solaris.cluster.system.modify`	시스템 속성 수정 주 – 이 인증은 SunPlex Manager에 적용되지 않습니다.
	`solaris.cluster.transport.modify`	전송 속성 수정

Sun Cluster Management 권한 프로필을 사용하여 RBAC 역할 만들기 및 할당

역할을 만들려면 기본 관리자 권한 프로필이 할당된 역할을 맡거나 root 사용자로 실행해야 합니다.

관리 역할 도구를 사용하여 역할을 만드는 방법

관리 역할 도구를 시작합니다.

System Administration Guide: Security Services의 “How to Assume a Role in the Console Tools”에서 설명한 대로 관리 역할 도구를 실행하고, Solaris Management Console을 시작합니다. 그런 다음 사용자 도구 모음을 열고 관리 역할 아이콘을 누릅니다.

관리 역할 추가 마법사를 시작합니다.

작업 메뉴에서 관리 역할 추가를 선택하여 역할을 구성하기 위한 관리 역할 추가 마법사를 시작합니다.

클러스터 관리 권한 프로필이 할당되는 역할을 설정합니다.

다음 및 뒤로 버튼을 사용하여 대화 상자 간에 이동합니다. 모든 필수 필드를 입력할 때까지는 다음 버튼이 활성화되지 않습니다. 마지막 대화 상자에서는 이제까지 입력한 데이터를 검토할 수 있으며, 마지막 대화 상자에서 뒤로 이동하여 입력한 내용을 변경하거나 마침을 눌러 새 역할을 저장할 수 있습니다.표 2–1에 대화 상자가 요약되어 있습니다.

주 –
먼저 역할에 할당된 프로필 목록에 이 프로필을 배치해야 합니다.

SunPlex Manager 기능이나 Sun Cluster 명령을 사용해야 할 사용자를 새로 만든 역할에 추가합니다.

useradd(1M) 명령을 사용하여 사용자 계정을 시스템에 추가합니다. -P 옵션은 역할을 사용자 계정에 할당합니다.

작업을 마쳤으면 마침을 누릅니다.

단말기 창을 열고, 루트로 로그인하여 이름 서비스 캐시 데몬을 시작 및 중지합니다.

이름 서비스 캐시 데몬을 다시 시작할 때까지 새 역할이 적용되지 않습니다. 루트가 된 후 다음을 입력하십시오.
# /etc/init.d/nscd stop # /etc/init.d/nscd start

표 2–1 관리 역할 추가 마법사: 대화 상자 및 필드


대화 상자	필드	필드 설명
단계 1: 역할 이름 입력	역할 이름	역할의 약식 이름입니다.
	전체 이름	이름의 긴 버전입니다.
	설명	역할에 대한 설명입니다.
	역할 ID 번호	역할의 UID이며 자동으로 증가합니다.
	역할 쉘	역할에 사용할 수 있는 프로필 쉘: 관리자의 C, 관리자의 Bourne 또는 관리자의 Korn 쉘입니다.
	역할 메일링 목록 작성	이 역할에 할당된 사용자의 메일링 목록을 작성합니다.
단계 2: 역할 암호 입력	역할 암호	********
	암호 확인	********
단계 3: 역할 권한 선택	사용 가능한 권한 / 부여된 권한	역할의 권한 프로필을 할당 또는 제거합니다. 동일한 명령을 여러 번 입력할 수도 있습니다. 이 경우 권한 프로필의 첫 번째 명령 항목에 할당된 속성이 우선권을 가지며 모든 후속 항목은 무시됩니다. 순서를 변경하려면 위쪽 및 아래쪽 화살표를 사용하십시오.
단계 4: 홈 디렉토리 선택	서버	홈 디렉토리의 서버입니다.
	경로	홈 디렉토리 경로입니다.
단계 5: 사용자를 이 역할에 할당	추가합니다	이 역할을 맡을 수 있는 사용자를 추가합니다. 동일한 범위 내에 있어야 합니다.
	삭제	이 역할에 할당된 사용자를 삭제합니다.

명령줄을 사용하여 역할을 만드는 방법

수퍼유저가 되거나 다른 역할을 만들 수 있는 역할을 맡습니다.

역할을 만들 방법을 선택합니다.
- 로컬 범위의 역할의 경우 roleadd(1M) 명령을 사용하여 새 로컬 역할과 해당하는 속성을 지정하십시오.
- 또는 로컬 범위의 역할의 경우 user_attr(4) 파일에서 type=role을 사용하여 역할을 추가하십시오.
  
  입력하는 중에 실수를 할 가능성이 높기 때문에 긴급한 경우에만 이 방법을 사용할 것을 권장합니다.
- 이름 서비스의 역할의 경우 smrole(1M) 명령을 사용하여 새 역할과 해당하는 속성을 지정하십시오.
  
  이 명령을 사용하려면 수퍼유저나 다른 역할을 만들 수 있는 역할의 인증이 필요합니다. 모든 이름 서비스에 smrole을 적용할 수 있습니다. 이 명령은 Solaris Management Console 서버의 클라이언트로 실행됩니다.

이름 서비스 캐시 데몬을 시작 및 중지합니다.

이름 서비스 캐시 데몬을 다시 시작할 때까지 새 역할이 적용되지 않습니다. 루트로 로그인하여 다음과 같이 입력하십시오.
# /etc/init.d/nscd stop # /etc/init.d/nscd start

예 2–1 `smrole` 명령을 사용하여 사용자 정의 운영자 역할 만들기

다음 절차에서는 smrole 명령을 사용하여 역할을 만드는 방법을 보여줍니다. 이 예에서는 표준 운영자 권한 프로필과 매체 복원 권한 프로필이 할당된 새로운 버전의 운영자 역할을 만듭니다.

% su primaryadmin 
# /usr/sadm/bin/smrole add -H myHost -- -c "Custom Operator" -n oper2 -a johnDoe \
-d /export/home/oper2 -F "Backup/Restore Operator" -p "Operator" -p "Media Restore"
Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password ::<type oper2 password>

# /etc/init.d/nscd stop
# /etc/init.d/nscd start

새로 만든 역할 및 다른 역할을 보려면 다음과 같이 list 옵션과 함께 smrole을 사용하십시오.

# /usr/sadm/bin/smrole list --
Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type  primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.
root                    0               Super-User
primaryadmin            100             Most powerful role
sysadmin                101             Performs non-security admin tasks
oper2                   102             Custom Operator

사용자의 RBAC 등록 정보 수정

사용자의 등록 정보를 수정하려면 사용자 도구 모음을 루트 사용자로 실행하거나 기본 관리자 권한 프로필이 할당된 역할을 맡고 있어야 합니다.

사용자 계정 도구를 사용하여 사용자의 RBAC 등록 정보를 수정하는 방법

사용자 계정 도구를 시작합니다.

사용자 계정 도구를 실행하려면 System Administration Guide: Security Services의 “How to Assume a Role in the Console Tools”에서 설명한 대로 Solaris Management Console을 시작해야 합니다. 그런 다음 사용자 도구 모음을 열고 사용자 계정 아이콘을 누르십시오.

사용자 계정 도구를 시작하면 기존 사용자 계정의 아이콘이 보기 창에 표시됩니다.

변경할 사용자 계정 아이콘을 누르고 작업 메뉴에서 등록 정보를 선택하거나 사용자 계정 아이콘을 두 번 누릅니다.

다음과 같이 대화 상자에서 변경할 등록 정보에 해당하는 탭을 누릅니다.
- 사용자에게 할당된 역할을 변경하려면 역할 탭을 누르고 변경할 역할 할당을 사용 가능한 역할 또는 할당된 역할 중 해당하는 열로 이동하십시오.
- 사용자에게 할당된 권한 프로필을 변경하려면 권한 탭을 누르고 사용 가능한 권한 또는 할당된 권한 중 해당하는 열로 이동하십시오.
  
  주 –
  사용자에게 직접 권한 프로필을 할당하는 것은 좋은 방법이 아닙니다. 더 나은 방법은 권한 부여된 응용 프로그램을 수행하기 위한 역할을 사용자가 맡도록 하는 것입니다. 이 방법은 일반 사용자가 권한을 악용할 수 있는 가능성을 방지합니다.

명령줄에서 사용자의 RBAC 등록 정보를 수정하는 방법

수퍼유저가 되거나 사용자 파일을 수정할 수 있는 역할을 맡습니다.

해당하는 명령을 사용합니다.
- 로컬 범위에 정의된 사용자에게 할당된 인증, 역할 또는 권한 프로필을 변경하려면 usermod(1M) 명령을 사용하십시오.
- 또는 로컬 범위에 정의된 사용자에게 할당된 인증, 역할 또는 권한 프로필을 변경하려면 user_attr 파일을 편집하십시오.
  
  입력하는 중에 실수를 할 가능성이 높기 때문에 긴급한 경우에만 이 방법을 사용할 것을 권장합니다.
- 이름 서비스에 정의된 사용자에게 할당된 인증, 역할 또는 권한 프로필을 변경하려면 smuser(1M) 명령을 사용하십시오.
  
  이 명령을 사용하려면 수퍼유저 또는 사용자 파일을 변경할 수 있는 역할과 같은 인증이 필요합니다. 모든 이름 서비스에 smuser를 적용할 수 있습니다. smuser는 Solaris Management Console 서버의 클라이언트로 실행됩니다.