test

系统管理指南：安全性服务

权限配置文件的内容

本节介绍了一些典型的权限配置文件。权限配置文件可以包括授权、带有安全属性的命令，以及补充权限配置文件。权限配置文件根据功能的强弱从高到低列出。有关如何将权限配置文件分配给站点中角色的建议，请参见如何规划 RBAC 实现。

每个权限配置文件都具有关联的帮助文件。帮助文件以 HTML 形式提供，是可自定义的。这些文件驻留在 /usr/lib/help/auths/locale/C 目录中。

主管理员权限配置文件

将主管理员权限配置文件指定给系统上功能最强的角色。拥有主管理员权限配置文件的角色具有超级用户功能。

如有必要，可以为站点自定义帮助文件 RtPriAdmin.html。帮助文件存储在 /usr/lib/help/auths/locale/C 目录中。

另请注意，如果主管理员权限配置文件与站点的安全策略不一致，则可以修改配置文件或者根本就不指定配置文件。但是，需要在一个或多个其他权限配置文件中处理主管理员权限配置文件中的安全功能。然后将这些权限配置文件指定给角色。

表 10–1 主管理员权限配置文件的内容

目的 

内容 

执行所有管理任务 

命令： *:uid=0;gid=0

授权：solaris.*、solaris.grant

帮助文件： RtPriAdmin.html

系统管理员权限配置文件

系统管理员权限配置文件适用于系统管理员角色。由于系统管理员不具有主管理员具有的广泛功能，因此不使用通配符。相反，此配置文件是一组不涉及安全性的独立的补充管理权限配置文件。显示其中一个补充权限配置文件中带有安全属性的命令。

请注意，将在补充权限配置文件列表的末尾指定所有权限配置文件。

表 10–2 系统管理员权限配置文件的内容

目的 

内容 

执行大多数非安全性的管理任务 

补充权限配置文件：审计查看、打印机管理、计时程序管理、设备管理、文件系统管理、邮件管理、维护和修复、介质备份、介质恢复、名称服务管理、网络管理、对象访问管理、进程管理、软件安装、用户管理、所有

帮助文件： RtSysAdmin.html

补充配置文件之一中的命令 

对象访问管理权限配置文件，solaris 策略： /usr/bin/chgrp:privs=file_chown、 /usr/bin/chmod:privs=file_chown、/usr/bin/chown:privs=file_chown 、/usr/bin/setfacl:privs=file_chown

suser 策略： /usr/bin/chgrp:euid=0、/usr/bin/chmod:euid=0、/usr/bin/chown:euid=0、 /usr/bin/getfacl:euid=0、/usr/bin/setfacl:euid=0

操作员权限配置文件

操作员权限配置文件是一个功能较弱的配置文件，提供执行备份和打印机维护的功能。恢复文件的功能与安全性相关更密切。因此，在此配置文件中，缺省值将不包括恢复文件的功能。

表 10–3 操作员权限配置文件的内容

目的 

内容 

执行简单的管理任务 

补充权限配置文件：打印机管理、介质备份、所有

帮助文件： RtOperator.html

打印机管理权限配置文件

打印机管理是适用于特定任务区域的典型权限配置文件。此配置文件包括授权和命令。下表显示了部分命令列表。

表 10–4 打印机管理权限配置文件的内容

目的 

内容 

管理打印机、守护进程和假脱机 

授权：solaris.admin.printer.delete、solaris.admin.printer.modify、solaris.admin.printer.read

命令： /usr/bin/cancel:euid=lp;uid=lp , /usr/bin/lpset:egid=14, /usr/bin/lpstat:euid=0 , /usr/lib/lp/local/lpadmin:uid=lp;gid=8, /usr/lib/lp/lpsched:uid=0 , /usr/sbin/lpadmin:egid=14;uid=lp;gid=8, /usr/sbin/lpfilter:euid=lp;uid=lp, /usr/ucb/lprm:euid=0

帮助文件： RtPrntMngmnt.html

基本 Solaris 用户权限配置文件

缺省情况下，会通过 policy.conf 文件将基本 Solaris 用户权限配置文件自动指定给所有用户。此配置文件提供了正常操作中有用的基本授权。请注意，基本 Solaris 用户权限配置文件提供的便利必须与站点的安全要求平衡。需要更严格安全性的站点可能希望从 policy.conf 文件中删除此配置文件。

表 10–5 基本 Solaris 用户权限配置文件的内容

目的 

内容 

自动将权限指定给所有用户 

授权：solaris.profmgr.read、solaris.jobs.users、solaris.mail.mailq、solaris.admin.usermgr.read、solaris.admin.logsvc.read、solaris.admin.fsmgr.read、solaris.admin.serialmgr.read、solaris.admin.diskmgr.read、solaris.admin.procmgr.user、solaris.compsys.read、solaris.admin.printer.read、solaris.admin.prodreg.read、solaris.admin.dcmgr.read、solaris.snmp.read、solaris.project.read、solaris.admin.patchmg.read、solaris.network.hosts.read、solaris.compsys.read、solaris.admin.volmgr.read

补充权限配置文件：所有

帮助文件： RtDefault.html

所有权限配置文件

所有权限配置文件使用通配符包括所有命令。此配置文件提供了可访问未在其他权限配置文件中显式指定的所有命令的角色。如果没有所有权限配置文件或使用通配符的其他权限配置文件，则角色只能访问显式指定的命令。如此有限的命令集不是很实用。

所有权限配置文件（如果使用）应该是指定的最终权限配置文件。此最后一个位置可确保不会意外覆盖其他权限配置文件中的显式安全属性指定。

表 10–6 所有权限配置文件的内容

目的 

内容 

以用户或角色的身份执行任何命令 

命令： *

帮助文件： RtAll.html

权限配置文件的顺序

权限配置文件中的命令按顺序进行解释。第一次出现的命令版本是用于此角色或用户的命令的唯一版本。不同的权限配置文件可以包括相同命令。因此，配置文件列表中权限配置文件的顺序至关重要。应该首先列出具有最多功能的权限配置文件。

权限配置文件在 Solaris Management Console GUI 和 prof_attr 文件中列出。在 Solaris Management Console GUI 中，具有最多功能的权限配置文件应该是指定权限配置文件列表中最顶部的配置文件。在 prof_attr 文件中，具有最多功能的权限配置文件应该是补充配置文件列表中的第一个配置文件。此放置方法可确保带有安全属性的命令列在不带安全属性的相同命令之前。

查看权限配置文件的内容

Solaris Management Console 权限工具提供了一种检查权限配置文件内容的方法。

prof_attr 和 exec_attr 文件提供了划分更细的视图。prof_attr 文件包含在系统上定义的每个权限配置文件的名称。此文件还包括每个配置文件的授权和补充权限配置文件。 exec_attr 文件包含权限配置文件的名称及其带有安全属性的命令。