Solaris 8 作業環境的新功能

安全性增強功能

本節詳細說明了 Solaris 8 作業環境中會影響系統安全、檔案系統和目錄所有權的新功能。

Solaris Smart Cards

「Solaris Smart Card」功能執行了 Open Card Framework (OCF) 1.1 標準。安全性管理員可使用這個技術，藉由要求使用者使用 Smart Card 來驗證它們自己的身份，以保護電腦桌上管理系統或個人應用程式。要受「Solaris Smart Card」保護的每一個主機需要一個讀卡器。若要取得安全桌面或應用程式的存取，使用者必須先將他們的 Smart Card 插入讀卡器中，然後鍵入他們 Smart Card 的 PIN。主機會使用 PIN 及內嵌在他們卡上的密碼，來驗證使用者是否有權存取。

「Solaris Smart Card」支援兩個外部讀卡器：Sun Smart Card Reader I 及 iButton Reader。此外，也支援三個 Smart Card：Java 型 iButton 與 Cyberflex 卡，以及 Payflex Samrt Card。

Solaris Smart Cards Administration Guide會告訴安全性管理員如何為他們的網站設立 Smart Card。它也會將 Smart Card 技術介紹給使用者。

預設檔案系統及目錄許可權

Solaris 8 發行版本中的許多系統檔案及目錄具有與前版不同的預設所有權，以及更嚴格的許可權。預設的所有權及許可權變更如下：

預設檔案系統及目錄許可權已從bin 變更至 root
先前具有775之預設許可權的檔案和目錄現在具備了755的預設許可權
先前具有664之預設許可權的檔案和目錄現在具備了 644的預設許可權
系統的預設 umask是022

建立要新增到執行 Solaris 8 發行版本之系統上的套裝軟體時，請注意下列事項：

所有檔案及目錄都必須具有 root 作為預設的所有者
目錄及可執行檔必須具有 555 或 755 的預設許可權
一般檔案必須具有 644 或 444 的預設許可權
所有者無法寫入 set-uid 及 set-gid 檔案，除非所有者是 root

這些變更不會套用到此發行版本中此所有檔案和目錄。例如，有些變更並不適用於 OpenWindows 或 CDE 檔案和目錄。

角色型存取控制 (Role-Based Access Control, RBAC)

傳統超級使用者型系統會將完整的超級使用者權力，授與任何一個可以成為超級使用者的人。有了 Solaris 8 作業環境中的角色型存取控制 (RBAC)，管理員可指定有限的管理功能給一般使用者。這是透過 3 個新功能儲存的：

授權 - 使用者權力，授與受限功能的存取權
執行設定檔 - 連結機制，來以特殊的屬性 (一般為超級使用者 ID) 分組授權及指令
角色 - 特殊類型的使用者帳戶傾向於執行一組管理工作

針對特殊的工作或一組工作，管理員會建立含有授權及特權指令的執行設定檔。該設定檔可直接指定給一個使用者或角色。角色會輪流指定給使用者。若要取得角色的存取權，具有指定角色的使用者可執行 su 指令。角色勝過共用帳戶，在個人責任變更時不需要更新。下列新的檔案支援 RBAC：

/etc/user_attr - 會儲存與使用者及角色有關的延伸安全性屬性
/etc/security/auth_attr - 會列出及說明授權
/etc/security/prof_attr - 會列出執行設定檔及相關的授權
/etc/security/exec_attr - 會將執行屬性與執行設定檔連結
/etc/security/policy.conf - 提供安全性策略配置給使用者層次屬性

如需詳細資訊，請參閱 System Administration Guide, Volume 2

集中管理使用者稽核事件

現在，在名稱交換器中，支援為使用者及角色儲存稽核預選類別的檔案 /etc/security/audit_user。您不再需要在使用者可存取的每一個系統上為使用者設定稽核事件。

Sun Enterprise Authentication Mechanism (Kerberos V5) 用戶端支援

此功能提供 Kerberos V5 用戶端公共建設、Pluggable Authentication Module (PAM) 的新增，以及可用來保護 RPC 型應用程式 (像是 NFS 服務) 的公用程式。Kerberos 提供可選取的加強型使用者或伺服器層次的認證、完整性或私密性支援。Kerberos 用戶端可與 Sun Enterprise Authentication Mechanism (SEAM) (SEAS 3.0 5 的一部份) 或其它 Kerberos V5 軟體 (例如，MIT 分配) 一起用來建立完整的單一網路登入解決方案。

如需詳細資訊，請參閱 System Administration Guide, Volume 2.