RBAC (Role-Based Access Control)

RBAC (Role-Based Access Control - rollenbasierte Zugriffssteuerung) wurde in Solaris 8 1/01 aktualisiert. RBAC-Datenbanken lassen sich jetzt über die grafische Benutzeroberfläche des User-Tools von Solaris Management Console verwalten. Aufgrund einer Terminologieänderung ist der Begriff Ausführungsprofile veraltet. Dieser Begriff wurde durch Rechteprofile ersetzt. Diese werden in der grafischen Benutzeroberfläche auch als Rechte und in der Befehlszeilenschnittstelle und in Dateien auch als Profile bezeichnet.

Zusätzlich zu Autorisierungen und Befehlen mit Sicherheitsattributen kann ein Rechteprofil jetzt andere Rechteprofile enthalten. Wenn derselbe Befehl in mehr als einem untergeordnetem Rechteprofil auftritt, hat das erste Auftreten in der Datei Vorrang.

Die Datei policy.conf(4) erkennt jetzt das Schlüsselwort PROFS_GRANTED, mit dem Sie Rechteprofile standardmäßig zuweisen können.

Die folgende Abbildung zeigt, wie die erweiterten Benutzerattribute dem Benutzer zugewiesen werden.

Abbildung 5-1 Erweiterte Attributdatenbanken

Die Datenbank user_attr enthält die aufgeführten Attribute, einschließlich einer kommaseparierte Liste von Profilnamen. Der Inhalt der Profile wird auf die Datei prof_attr und die Datei exec_attr aufgeteilt. Die Datei prof_attr enthält Identifizierungsinformationen zu Rechteprofilen, Autorisierungen, die Rechteprofilen zugewiesen sind, und verschachtelte Rechteprofile. Die Datei exec_attr identifiziert die Richtlinien und enthält Befehle sowie die den Befehlen zugewiesenen Sicherheitsattribute. Die Datei auth_attr liefert Autorisierungsinformationen für die Solaris Management Console-Tools.

Sie können Benutzern über user_attr Autorisierungen direkt zuweisen, doch dies ist nicht empfehlenswert.

Die Datei policy.conf stellt Standardattribute zur Verfügung, die auf alle Benutzer angewendet werden. Wenn zum Beispiel das Printer Management-Rechteprofil einem Benutzer oder einer Rolle zugewiesen wird, enthält der user_attr-Eintrag für diesen Benutzer bzw. diese Rolle das folgende Schlüsselwort/Wert-Paar: profiles=Printer Management. In der Datei prof_attr ist das Profil definiert und außerdem werden die Hilfedatei und die Autorisierungen festlegt, und zwar mit der folgenden Zeile:

Printer Management:::Manage printers, daemons, 
spooling:help=RtPrntAdmin.html;auths=solaris.admin.printer, 
/ solaris.admin.printer.modify,solaris.admion.printer.delete

In der Datei exec_attr wird mit der folgenden Zeile dem Befehl /usr/sbin/accept im Printer Management-Profil die effektive Benutzer-ID = lp zugewiesen:

Printer Management:suser:cmd:::/usr/sbin/accept:euid=lp

In der folgenden Tabelle sind Befehle aufgeführt, die mit Autorisierungen arbeiten.

Weitere Informationen zu Solaris Management Console finden Sie unter "Systemadministrationstools".