test

Guide de l'utilisateur de Sun Management Center 3.5

Chapitre 18 Sun Management Center et la sécurité

Ce chapitre examine les fonctionnalités de sécurité, les utilisateurs, les groupes et leurs privilèges. Elle présente les rubriques suivantes :

Concepts de sécurité de Sun Management Center

La sécurité dans le logiciel Sun Management Center est basée sur les classes de sécurité JavaTM et sur les normes de sécurité SNMPv2 usec (SNMP version 2, modèle de sécurité basé sur l'utilisateur).

Le logiciel offre les couches de sécurité suivantes :

Catégories de contrôle d'accès

Le logiciel propose les catégories de contrôle d'accès suivantes :

Pour comprendre ces catégories ACL, vous devez commencer par comprendre les concepts d'utilisateur et de groupe dans Sun Management Center. Les sections qui suivent expliquent ces concepts.

Utilisateurs de Sun Management Center

Les utilisateurs de Sun Management Center sont des utilisateurs UNIX valides sur l'hôte du serveur. Ainsi, l'administrateur système doit ajouter les utilisateurs valides au fichier suivant : /var/opt/SUNWsymon/cfg/esusers . Si le nom d'un utilisateur ne figure pas dans ce fichier, cet utilisateur ne pourra pas se connecter au logiciel Sun Management Center.

Utilisateurs génériques

L'administrateur doit ajouter la liste des ID d'utilisateur de tous les utilisateurs qui ont besoin de se connecter au logiciel Sun Management Center. Tous les utilisateurs qui figurent dans ce fichier ont par défaut des privilèges d'accès génériques, à moins d'avoir reçu des privilèges supplémentaires dans le cadre des procédures décrites dans Octroi de privilèges esadm, esops ou esdomadm.

Tout utilisateur figurant dans le fichier esusers est un utilisateur générique. Les utilisateurs génériques de Sun Management Center peuvent, par défaut, accomplir les actions suivantes :

Super-utilisateur de Sun Management Center

Le super-utilisateur de Sun Management Center appartient automatiquement à tous les groupes décrits dans les sections suivantes. Le super-utilisateur de Sun Management Center a les privilèges d'administrateur décrits dans Administrateurs de Sun Management Center ou esadm.

Groupes de Sun Management Center

Les groupes suivants sont créés par défaut sur l'hôte du serveur lors de la configuration du serveur de Sun Management Center :

De plus, tous les utilisateurs de Sun Management Center appartiennent à un groupe hypothétique appelé ANYGROUP.

Les groupes listés doivent être définis sur la machine où tourne la couche serveur de Sun Management Center. Il est inutile de les définir sur d'autres machines. Ces groupes sont décrits plus en détails dans les sections qui suivent.

Remarque :

Les groupes listés sont définis dans le fichier /etc/group.

Opérateurs de Sun Management Center ou esops

Les utilisateurs du logiciel Sun Management Center qui appartiennent au groupe esops sont habituellement des utilisateurs de type opérateur. Ces opérateurs peuvent exécuter, surveiller et dans une certaine mesure, configurer des paramètres sur les systèmes gérés. Les utilisateurs esops peuvent effectuer de nombreuses opérations dont certaines de celles permises aux utilisateurs génériques :

Administrateurs de Sun Management Center ou esadm

Les utilisateurs du logiciel qui appartiennent au groupe esadm peuvent effectuer les opérations d'administrateur. Ces opérations sont un sur-ensemble de celles pouvant être effectuées par les utilisateurs de type Opérateur comme décrit dans Opérateurs de Sun Management Center ou esops. En plus de toutes les opérations pouvant être effectuées par les utilisateurs opérateurs (esops), les utilisateurs administrateurs (esadm) peuvent effectuer les opérations suivantes :

Administrateurs de domaines de Sun Management Center ou esdomadm

Les utilisateurs qui appartiennent au groupe esdomadm peuvent effectuer les opérations d'administrateur de domaines suivantes :

Remarque :

En dehors des privilèges répertoriés ci-dessus, un utilisateur appartenant au groupe esdomadm est un simple utilisateur générique, sauf configuration autre.

Fonctions Administrateur, Opérateur et Générique

Le tableau suivant contient les différents types de fonctions que peuvent effectuer par défaut les utilisateurs. La présence d'une croix dans une cellule indique que l'utilisateur peut effectuer la fonction listée.

Ce tableau s'applique à tous les modules. Certains modules peuvent présenter des restrictions spécifiques, qui sont sous le contrôle du module.

Tableau 18–1 Fonctions Admin domaine, Admin, Opérateur et Générique

Fonction  

Admin domaine 

Admin 

Opérateur 

Générique 

Charger des modules  

 

x 

 

 

Décharger des modules 

 

x 

 

 

Créer des domaines administratifs 

x 

 

 

 

Créer des groupes au sein des domaines administratifs 

x 

 

 

 

Ajouter des objets aux groupes ou domaines administratifs 

x 

 

 

 

Afficher les domaines administratifs, les hôtes ou les modules 

x 

x 

x 

x 

Définir les utilisateurs ou les groupes ACL 

 

x 

 

 

Désactiver ou activer des modules 

 

x 

x 

 

Définir la fenêtre de temps d'activité 

 

x 

 

 

Définir les limites d'alarme 

 

x 

x 

 

Définir les paramètres des règles 

 

x 

x 

 

Exécuter les actions à entreprendre en cas d'alarme 

 

x 

x 

 

Exécuter des commandes ad hoc 

 

x 

x 

 

Définir l'intervalle de rafraîchissement 

 

x 

x 

 

Déclencher manuellement un rafraîchissement 

x 

x 

x 

x 

Activer ou désactiver l'enregistrement de l'historique 

 

x 

x 

 

Définir les paramètres pour l'historique 

 

x 

x 

 

Reconnaître, supprimer ou corriger des événements 

 

x 

x 

 

Afficher les événements  

 

x 

x 

x 

Dans le logiciel Sun Management Center, les catégories ci-dessus maintiennent des relations inclusives. Cela signifie que par défaut, un utilisateur qui a des privilèges esadm peut faire tout ce qu'un utilisateur ayant des privilèges esops peut faire. Un administrateur a la possibilité de changer les permissions par défaut pour permettre par exemple à un utilisateur ayant des privilèges esops de faire plus de choses qu'un utilisateur esadm. Le qualificatif « inclusive » associé au mot relation indique que rien dans le logiciel ne rend l'un de ces trois groupes esops , esadm et esdomadm, plus puissant que les autres.

Pour plus d'informations sur comment contourner les privilèges par défaut, reportez-vous à Remplacement des privilèges par défaut.

Privilèges par défaut

Les domaines administratifs sont manipulés par le Gestionnaire de topologie. Cette section illustre les privilèges par défaut pour le Gestionnaire de topologie, pour d'autres agents et pour d'autres modules.

Privilèges par défaut du Gestionnaire de topologie

Les privilèges par défaut du Gestionnaire de topologie, qui maintient les domaines administratifs, sont répertoriés dans le tableau ci-après :

Tableau 18–2 Privilèges par défaut du Gestionnaire de topologie

Gestionnaire de topologie 

Privilèges par défaut  

Liste des utilisateurs Admin 

 

Liste des utilisateurs Opérateur 

 

Liste des utilisateurs Générique 

 

Liste des communautés SNMP Admin 

 

Liste des communautés SNMP Opérateur 

 

Liste des communautés SNMP Générique 

public

Liste des groupes Admin 

esdomadm

Liste des groupes Opérateur 

esops

Liste des groupes Générique 

ANYGROUP

Privilèges par défaut des autres modules et composants de Sun Management Center

Les privilèges par défaut de tous les autres composants ou modules qui ne figurent pas dans le Gestionnaire de topologie sont listés dans le tableau suivant.

Tableau 18–3 Privilèges par défaut des composants et modules de Sun Management Center

Composants et modules 

Privilèges par défaut  

Liste des utilisateurs Admin 

 

Liste des utilisateurs Opérateur 

 

Liste des utilisateurs Générique 

 

Liste des groupes Admin 

esadm

Liste des groupes Opérateur 

esops

Liste des groupes Générique 

ANYGROUP

Liste des communautés SNMP Admin 

 

Liste des communautés SNMP Opérateur 

 

Liste des communautés SNMP Générique 

public

Le mot clé ANYGROUP n'est pas un vrai groupe UNIX mais un mot clé spécial qui signifie que tout utilisateur pouvant se connecter au logiciel Sun Management Center se voit attribuer un accès générique aux objets.

Définitions et limites du contrôle d'accès

Le groupe esadm peut spécifier des fonctionnalités ACL pour les utilisateurs et les groupes pour les éléments suivants :

Accès Admin, Opérateur et Générique

Une spécification ACL consiste en l'établissement ou la définition d'un ou plusieurs des paramètres suivants :

Accès à un serveur Sun Management Center distant

Les utilisateurs peuvent accéder aux données et les afficher depuis des sessions ouvertes sur des serveurs Sun Management Center distants. Lorsqu'un utilisateur essaye d'accéder à ces informations, il se voit attribuer l'accès en tant qu'utilisateur générique avec des privilèges de lecture seule. Le comportement des sessions Sun Management Center tournant sur différents serveurs est défini en fonction du contexte serveur de chaque session. Pour plus amples informations, reportez-vous à Contextes serveurs Sun Management Center et sécurité.

En tant qu'utilisateur, vous pouvez accéder à un contexte serveur différent et le configurer pour plusieurs raisons, notamment pour :

En vous reliant à un autre contexte serveur, vous pouvez afficher le statut de niveau supérieur des objets qui se trouvent dans ce contexte serveur.

Contextes serveurs Sun Management Center et sécurité

Un contexte serveur est une collection d'agents de Sun Management Center et la couche serveur particulière à laquelle les agents sont connectés. Les agents et les hôtes d'un contexte serveur partagent l'ensemble de composants centraux suivant :

Chaque composant ou agent de Sun Management Center est configuré au moment de l'installation pour connaître l'emplacement de ses Gestionnaires de trappes et de ses Gestionnaires d'événements. Le logiciel Sun Management Center identifie ces gestionnaires par leurs adresses IP ou de port. Ainsi, pour savoir si vous vous trouvez dans votre contexte serveur, vous devez connaître les adresses IP ou de port respectives des serveurs auxquels vous accédez. Des contextes serveurs différents auront des numéros de port différents.

Un contexte serveur distant fait référence à une collection d'agents distants et à la couche serveur particulière à laquelle ces agents distants sont associés.

Un agent obtient sa configuration de sécurité de la couche serveur. Ces informations permettent à l'agent d'authentifier la requête de gestion qui lui est envoyée. L'agent peut ensuite effectuer le contrôle d'accès sur les opérations demandées dans le cadre de la requête de gestion.

Limites de la communication entre serveurs

Certaines restrictions de sécurité s'appliquent lorsqu'un utilisateur essaye de communiquer d'un contexte serveur à un autre.

Dans l'environnement Sun Management Center courant, vous pouvez accéder aux informations depuis un autre serveur sous réserve des limites suivantes :

Remarque :

Dans la console, il n'est pas évident de savoir si vous êtes en train d'accéder à un autre contexte serveur. Pour le déterminer, contrôlez le numéro de port ou l'adresse IP du serveur dans l'onglet Infos de la fenêtre Détails.

Utilisation du contrôle d'accès

Les sections suivantes décrivent comment effectuer les fonctions ACL clés suivantes :

Ajout d'utilisateurs de Sun Management Center

  1. Connectez-vous en tant que super-utilisateur sur l'hôte du serveur de Sun Management Center.


    % su -

  2. Editez le fichier /var/opt/SUNWsymon/cfg/esusers.

  3. Ajoutez le nom d'utilisateur sur une nouvelle ligne.

    Assurez-vous que le nom d'utilisateur ajouté est valide sous UNIX.

  4. Enregistrez le fichier et quittez l'éditeur.

    Les utilisateurs qui sont ajoutés à la liste ont des privilèges par défaut. Pour plus d'informations, reportez-vous à Privilèges par défaut et Remplacement des privilèges par défaut.

Contrôle de l'accès à un module

  1. Accédez à l'Editeur d'attributs de l'une des façons suivantes :

    • Cliquez avec le bouton trois de la souris sur l'objet sélectionné et choisissez Editeur d'attributs dans le menu contextuel.

    • Choisissez Editeur d'attributs dans le menu Outils de la fenêtre console principale.

    L'Editeur d'attributs s'affiche. Les boutons du bas de la fenêtre sont grisés à l'exception des boutons Annuler et Aide. Les boutons restants deviennent actifs si vous modifiez un champ quelconque de la fenêtre.

  2. Sélectionnez l'onglet Sécurité dans la fenêtre Editeur d'attributs.

  3. Changez les valeurs comme nécessaire.

    La liste qui suit explique les données de chaque champ et indique des exemples.

    Utilisateurs Administrateur

    Liste d'utilisateurs. pascal est un utilisateur qui peut effectuer les opérations de type Administrateur.

    Utilisateurs Opérateur

    Liste des utilisateurs de type Opérateur. jean et les autres sont des utilisateurs qui peuvent effectuer les opérations de type Opérateur. Vous remarquerez que leurs noms sont séparés par un ou plusieurs espaces.

    Utilisateurs Générique

    Liste des utilisateurs de type Générique. Ici nicolas et richard sont des utilisateurs qui peuvent effectuer des opérations de type Générique.

    Groupes Administrateur

    Tous les utilisateurs qui appartiennent aux groupes d'administrateurs peuvent effectuer des opérations de type Administrateur. Par défaut ces utilisateurs sont esadm ou esdomadm, selon le cas.

    Groupes Opérateur

    Tous les utilisateurs appartenant à esops peuvent effectuer des opérations de type Opérateur.

    Groupes Générique

    ANYGROUP est un groupe hypothétique qui peut effectuer des opérations de type Générique. Tous les utilisateurs de Sun Management Center appartiennent à ce groupe hypothétique.

    Communautés Administrateurs

    Ce champ est vide ce qui indique qu'aucune communauté SNMP ne peut effectuer d'opérations de type Administrateur en utilisant le protocole SNMP.

    Communautés Opérateurs

    Ce champ est vide ce qui indique qu'aucune communauté SNMP ne peut effectuer d'opérations de type Opérateur en utilisant le protocole SNMP.

    Communautés Générique

    Par défaut, public est une communauté SNMP qui peut effectuer des opérations de type Générique en utilisant le protocole SNMP.

    Utilisez des espaces ou des virgules pour séparer les entrées s'il y en a plusieurs, comme illustré dans les entrées relatives à « Opérateur »sous « Utilisateurs ».

    Pour plus d'informations sur les privilèges de sécurité, reportez-vous à Catégories de contrôle d'accès.

Ajout d'un groupe défini par l'utilisateur à une ACL

  1. Connectez-vous en tant que super-utilisateur sur l'hôte du serveur de Sun Management Center.

  2. Utilisez la commande groupadd pour créer un groupe.


    # /usr/sbin/groupadd nom_groupe

  3. Ajoutez des utilisateurs au groupe qui vient d'être créé :

    1. Ajoutez des utilisateurs au groupe dans le fichier /etc/group.

    2. Enregistrez le fichier et quittez l'éditeur.

  4. Ajoutez le nouveau groupe à l'ACL concernée.

    Pour plus d'informations, reportez-vous à Contrôle de l'accès à un module.

Octroi de privilèges esadm, esops ou esdomadm

  1. Connectez-vous en tant que super-utilisateur sur l'hôte du serveur de Sun Management Center.

  2. Si nécessaire, ajoutez le nom d'utilisateur au fichier /var/opt/SUNWsymon/cfg/esusers.

  3. Ajoutez dans le fichier /etc/group l'utilisateur à, selon le cas, l'une ou l'autre des lignes suivantes : esadm, esops ou esdomadm.

  4. Enregistrez le fichier et quittez l'éditeur.

Suppression d'utilisateurs de Sun Management Center

  1. Connectez-vous en tant que super-utilisateur sur l'hôte du serveur de Sun Management Center.

  2. Dans le fichier /var/opt/SUNWsymon/cfg/esusers, supprimez la ligne qui correspond au nom de l'utilisateur que vous voulez supprimer.

  3. Enregistrez le fichier et quittez l'éditeur.

  4. Supprimez les noms d'utilisateurs des autres groupes de Sun Management Center.

    Remarque :

    Après avoir été supprimé de la liste des utilisateurs de Sun Management Center, un utilisateur ne peut plus se connecter au serveur de Sun Management Center. Veillez à supprimer cet utilisateur de toutes les ACL.

Remplacement des privilèges par défaut

Dans le logiciel Sun Management Center, seuls les administrateurs peuvent remplacer les paramètres en modifiant dans l'Editeur d'attributs les listes ACL pour un objet donné.

  1. Accédez à l'Editeur d'attrributs relatif à l'objet géré spécifique sur lequel vous devez modifier les privilèges.

  2. Pour afficher et changer les informations de sécurité, cliquez sur l'onglet Sécurité dans la fenêtre Editeur d'attributs.

  3. Changez les informations selon les besoins.

  4. Pour appliquer les changements de sécurité et fermer la fenêtre Editeur d'attributs, cliquez sur OK.

    Pour laisser la fenêtre Editeur d'attributs ouverte et appliquer les changements de sécurité, cliquez sur Appliquer.