本节介绍了一些典型的权限配置文件。权限配置文件可以包括授权、带有安全属性的命令,以及补充权限配置文件。权限配置文件根据功能的强弱从高到低列出。有关如何将权限配置文件分配给站点中角色的建议,请参见如何规划 RBAC 实现。
主管理员权限配置文件-在一个配置文件中提供了超级用户的功能。
系统管理员权限配置文件-提供可以执行与安全性无关的大多数任务的配置文件。此配置文件包括一些其他配置文件以创建功能强大的角色。
操作员权限配置文件-提供有限的功能以管理文件和脱机介质。此配置文件包括用于创建简单角色的补充权限配置文件。
打印机管理权限配置文件-提供有限数量的命令和授权以处理打印。此配置文件是涉及单个管理区域的数个配置文件之一。
基本 Solaris 用户权限配置文件-使用此配置文件,用户可以在安全策略的限定范围内使用系统。缺省情况下,会在 policy.conf 文件中列出此配置文件。
所有权限配置文件-为角色提供访问不具有安全属性的命令的权限。
每个权限配置文件都具有关联的帮助文件。帮助文件以 HTML 形式提供,是可自定义的。这些文件驻留在 /usr/lib/help/auths/locale/C 目录中。
将主管理员权限配置文件指定给系统上功能最强的角色。拥有主管理员权限配置文件的角色具有超级用户功能。
solaris.* 授权有效地指定由 Solaris 软件提供的所有授权。
通过 solaris.grant 授权,角色可以为任何权限配置文件、角色或用户指定任何授权。
命令指定 *:uid=0;gid=0 提供了使用 UID=0 和 GID=0 运行任何命令的功能。
如有必要,可以为站点自定义帮助文件 RtPriAdmin.html。帮助文件存储在 /usr/lib/help/auths/locale/C 目录中。
另请注意,如果主管理员权限配置文件与站点的安全策略不一致,则可以修改配置文件或者根本就不指定配置文件。但是,需要在一个或多个其他权限配置文件中处理主管理员权限配置文件中的安全功能。然后将这些权限配置文件指定给角色。
表 10–1 主管理员权限配置文件的内容
目的 |
内容 |
---|---|
执行所有管理任务 |
命令: *:uid=0;gid=0 授权:solaris.*、solaris.grant 帮助文件: RtPriAdmin.html |
系统管理员权限配置文件适用于系统管理员角色。由于系统管理员不具有主管理员具有的广泛功能,因此不使用通配符。相反,此配置文件是一组不涉及安全性的独立的补充管理权限配置文件。显示其中一个补充权限配置文件中带有安全属性的命令。
请注意,将在补充权限配置文件列表的末尾指定所有权限配置文件。
表 10–2 系统管理员权限配置文件的内容
目的 |
内容 |
---|---|
执行大多数非安全性的管理任务 |
补充权限配置文件:审计查看、打印机管理、计时程序管理、设备管理、文件系统管理、邮件管理、维护和修复、介质备份、介质恢复、名称服务管理、网络管理、对象访问管理、进程管理、软件安装、用户管理、所有 帮助文件: RtSysAdmin.html |
补充配置文件之一中的命令 |
对象访问管理权限配置文件,solaris 策略: /usr/bin/chgrp:privs=file_chown、 /usr/bin/chmod:privs=file_chown、/usr/bin/chown:privs=file_chown 、/usr/bin/setfacl:privs=file_chown suser 策略: /usr/bin/chgrp:euid=0、/usr/bin/chmod:euid=0、/usr/bin/chown:euid=0、 /usr/bin/getfacl:euid=0、/usr/bin/setfacl:euid=0 |
操作员权限配置文件是一个功能较弱的配置文件,提供执行备份和打印机维护的功能。恢复文件的功能与安全性相关更密切。因此,在此配置文件中,缺省值将不包括恢复文件的功能。
表 10–3 操作员权限配置文件的内容
目的 |
内容 |
---|---|
执行简单的管理任务 |
补充权限配置文件:打印机管理、介质备份、所有 帮助文件: RtOperator.html |
打印机管理是适用于特定任务区域的典型权限配置文件。此配置文件包括授权和命令。下表显示了部分命令列表。
表 10–4 打印机管理权限配置文件的内容
目的 |
内容 |
---|---|
管理打印机、守护进程和假脱机 |
授权:solaris.admin.printer.delete、solaris.admin.printer.modify、solaris.admin.printer.read 命令: /usr/bin/cancel:euid=lp;uid=lp , /usr/bin/lpset:egid=14, /usr/bin/lpstat:euid=0 , /usr/lib/lp/local/lpadmin:uid=lp;gid=8, /usr/lib/lp/lpsched:uid=0 , /usr/sbin/lpadmin:egid=14;uid=lp;gid=8, /usr/sbin/lpfilter:euid=lp;uid=lp, /usr/ucb/lprm:euid=0 帮助文件: RtPrntMngmnt.html |
缺省情况下,会通过 policy.conf 文件将基本 Solaris 用户权限配置文件自动指定给所有用户。此配置文件提供了正常操作中有用的基本授权。请注意,基本 Solaris 用户权限配置文件提供的便利必须与站点的安全要求平衡。需要更严格安全性的站点可能希望从 policy.conf 文件中删除此配置文件。
表 10–5 基本 Solaris 用户权限配置文件的内容
目的 |
内容 |
---|---|
自动将权限指定给所有用户 |
授权:solaris.profmgr.read、solaris.jobs.users、solaris.mail.mailq、solaris.admin.usermgr.read、solaris.admin.logsvc.read、solaris.admin.fsmgr.read、solaris.admin.serialmgr.read、solaris.admin.diskmgr.read、solaris.admin.procmgr.user、solaris.compsys.read、solaris.admin.printer.read、solaris.admin.prodreg.read、solaris.admin.dcmgr.read、solaris.snmp.read、solaris.project.read、solaris.admin.patchmg.read、solaris.network.hosts.read、solaris.compsys.read、solaris.admin.volmgr.read 补充权限配置文件:所有 帮助文件: RtDefault.html |
所有权限配置文件使用通配符包括所有命令。此配置文件提供了可访问未在其他权限配置文件中显式指定的所有命令的角色。如果没有所有权限配置文件或使用通配符的其他权限配置文件,则角色只能访问显式指定的命令。如此有限的命令集不是很实用。
所有权限配置文件(如果使用)应该是指定的最终权限配置文件。此最后一个位置可确保不会意外覆盖其他权限配置文件中的显式安全属性指定。
表 10–6 所有权限配置文件的内容
目的 |
内容 |
---|---|
以用户或角色的身份执行任何命令 |
命令: * 帮助文件: RtAll.html |
权限配置文件中的命令按顺序进行解释。第一次出现的命令版本是用于此角色或用户的命令的唯一版本。不同的权限配置文件可以包括相同命令。因此,配置文件列表中权限配置文件的顺序至关重要。应该首先列出具有最多功能的权限配置文件。
权限配置文件在 Solaris Management Console GUI 和 prof_attr 文件中列出。在 Solaris Management Console GUI 中,具有最多功能的权限配置文件应该是指定权限配置文件列表中最顶部的配置文件。在 prof_attr 文件中,具有最多功能的权限配置文件应该是补充配置文件列表中的第一个配置文件。此放置方法可确保带有安全属性的命令列在不带安全属性的相同命令之前。
Solaris Management Console 权限工具提供了一种检查权限配置文件内容的方法。
prof_attr 和 exec_attr 文件提供了划分更细的视图。prof_attr 文件包含在系统上定义的每个权限配置文件的名称。此文件还包括每个配置文件的授权和补充权限配置文件。 exec_attr 文件包含权限配置文件的名称及其带有安全属性的命令。