Solaris のシステム管理 (セキュリティサービス)

RBAC コマンド

この節では、RBAC の管理に使用するコマンドを一覧します。承認を使用してアクセス権を制御できるコマンドについても説明します。

RBAC を管理するコマンド行アプリケーション

RBAC データベースを直接編集するほかに、次のコマンドを使用して RBAC のタスクへのアクセスを管理できます。

表 20–7 RBAC 管理コマンド

コマンド 

説明 

auths(1)

ユーザーに対する承認を表示する

makedbm(1M)

dbm ファイルを作成する

nscd(1M)

ネームサービスキャッシュデーモン。 user_attrprof_attr、および exec_attr データベースをキャッシュするときに使用する

pam_role_auth(5)

PAM 用の役割アカウント管理モジュール。役割になる承認があるかを検査する

pfexec(1)

プロファイルシェルによって使用される。exec_attr データベースに指定されている属性を使用してコマンドを実行する

policy.conf(4)

セキュリティポリシーの構成ファイル。与えられている承認を一覧表示

profiles(1)

指定したユーザーの権利プロファイルを表示する

roles(1)

ユーザーに与えられている役割を表示する

roleadd(1M)

役割をシステムに追加する

roledel(1M)

役割をシステムから削除する

rolemod(1M)

システム上の役割のプロパティを変更する

smattrpop(1M)

2 つのセキュリティ属性データベースをマージする。ローカルデータベースをネームサービスにマージするとき、および変換スクリプトを使用しないでアップグレードするときに使用する

smexec(1M)

exec_attr データベースのエントリを管理する。認証を必要とする

smmultiuser(1M)

ユーザーアカウントの一括操作を管理する。認証を必要とする

smuser(1M)

ユーザーエントリを管理する。認証を必要とする

smprofile(1M)

prof_attr および exec_attr データベースの権利プロファイルを管理する。認証を必要とする

smrole(1M)

役割アカウントの役割とユーザーを管理する。認証を必要とする

useradd(1M)

ユーザーアカウントをシステムに追加する。ユーザーのアカウントに役割を割り当てるには、-P オプションを使用する

userdel(1M)

ユーザーのログインをシステムから削除する

usermod(1M)

システム上のユーザーのアカウントプロパティを変更する

承認を必要とするコマンド

次の表では、承認を使用して Solaris 環境のコマンドオプションを制限する方法を示します。承認も参照してください。

表 20–8 コマンドおよび関連する承認

コマンド 

承認の要件 

at(1)

solaris.jobs.user がすべてのオプションで必要 (at.allow ファイルおよび at.deny ファイルがない場合)

atq(1)

solaris.jobs.admin がすべてのオプションで必要

crontab(1)

ジョブを送信するオプションの場合は、solaris.jobs.user が必要 (crontab.allow および crontab.deny ファイルがない場合)

ほかのユーザーの crontab ファイルを表示または変更する場合は、solaris.jobs.admin が必要

allocate(1) (BSM が有効な場合のみ)

デバイスを割り当てる場合は、solaris.device.allocate (または、device_allocate(4) に指定されている承認) が必要

ほかのユーザーにデバイスを割り当てる場合 (-F オプション) は、solaris.device.revoke (または、device_allocate ファイルに指定されている別承認) が必要

deallocate(1) (BSM が有効な場合のみ)

ほかのユーザーのデバイスの割り当てを解除する場合は、solaris.device.allocate (または device_allocate(1) に指定されている承認) が必要

指定したデバイス (-F オプション) またはすべてのデバイス (-I オプション) の割り当てを強制的に解除する場合は、solaris.device.revoke (または、device_allocate に指定されている承認) が必要

list_devices(1) (BSM が有効な場合のみ)

ほかのユーザーのデバイスを表示する場合 (-U オプション) は、solaris.device.revoke が必要