Sistema de seguridad y permisos de Solaris
Existe la posibilidad de controlar el acceso de los usuario a los archivos y directorios de los sistemas SunLink Server protegiendo éstos mediante permisos.
Cada permiso definido especifica el acceso que un grupo o un usuario puede tener al directorio o al archivo. Por ejemplo, si establece el permiso de lectura (R) para el grupo denominado Grupotrabajo sobre el archivo MIS_IDEAS.DOC, los usuarios de ese grupo podrán ver los datos y atributos del archivo, pero no modificarlo ni suprimirlo.
El programa SunLink Server proporciona los siguientes permisos que pueden tener los usuarios y grupos sobre directorios y archivos:
-
Lectura (R) - Permite a los individuos o grupos ver el contenido de una carpeta o un archivo, pero no editarlo, eliminarlo o ejecutarlo.
Nota -En el entorno operativo Solaris, el permiso de lectura es mucho más restrictivo que el permiso del mismo nombre en el entorno Windows NT. En éste, el permiso de lectura es meramente indicativo, es decir, un cliente Windows NT puede seguir modificando un archivo designado como de "sólo lectura". En el entorno Solaris, en el que se encuentran almacenados y se administran los archivos y directorios de SunLink Server, el usuario no podría editar un archivo de sólo lectura. En cualquier caso, es posible anular los permisos más restrictivos de Solaris para hacerlos totalmente compatibles con los de Windows NT. Consulte "Definición de las directivas de integración de los sistemas de archivos" para obtener más información.
-
Escritura (W) - Permite a los individuos o grupos ver y modificar un archivo o el contenido de una carpeta.
-
Ejecución (X) - Permite a los individuos o grupos ejecutar programas, pero no ver ni editar su código.
-
Acceso total (RWX) - Permite a los individuos o grupos ver, editar y ejecutar archivos, directorios o programas ejecutables.
-
Sin acceso (NoAccess) - Deniega cualquier tipo de acceso (se obtiene si no se define ninguno de los permisos anteriores).
Los permisos se establecen sobre los archivos y directorios, pero quienes disfrutan de ellos son los usuarios de los equipos. El entorno operativo Solaris hace distinciones entre los sujetos que poseen los permisos:
-
Usuario - Si un usuario es propietario de un archivo o un directorio del sistema Solaris, ese usuario puede definir los permisos de acceso a ese archivo o directorio. Por ejemplo, para impedir que usuarios no autorizados ejecuten un programa, puede establecer el permiso de ejecución sólo para sí mismo.
-
Grupo - Este valor, en el contexto del programa SunLink Server no equivale a los permisos de grupo del entorno operativo Solaris. En el sistema de archivos Solaris, los permisos de grupo otorgan a otros miembros del grupo Solaris al que pertenece un usuario acceso a los archivos y directorios que son propiedad de ese usuario. En el entorno de SunLink Server, se crean grupos de Windows NT (no grupos Solaris) y los permisos de grupos Solaris no tienen ningún efecto sobre ellos.
-
Otros - Un usuario puede asignar permisos de acceso a los archivos y directorios de su propiedad para todos los usuarios del sistema Solaris excepto él mismo y los usuarios de su grupo. En función de las necesidades, puede permitir a esos otros usuarios leer o cambiar sus archivos y directorios o no permitírselo. La restricción del acceso a otros grupos no afecta a su propio acceso a sus archivos y directorios.
Los permisos estándar son combinaciones de los permisos individuales que dependen de la naturaleza de los archivos y directorios, y de la composición de los grupos. Para trabajar adecuadamente con la seguridad de archivos y directorios de SunLink Server, tenga presentes las siguientes consideraciones sobre el establecimiento de permisos:
-
Los usuarios no pueden utilizar un directorio o archivo a menos que tengan permiso para hacerlo o pertenezcan a un grupo que dispone de ese permiso.
-
Los permisos son acumulables, excepto en el caso del permiso NoAccess (establecido al no indicar permiso de lectura, escritura o ejecución sobre un archivo o un directorio), que prevalece sobre todos los demás permisos. Por ejemplo, si el grupo Grupotrabajo posee permiso de escritura sobre un archivo, el grupo Finanzas sólo tiene permiso de escritura, y Juan es miembro de ambos grupos, tendrá permisos de lectura y escritura. Pero si se suprime el único permiso del grupo Finanzas sobre el archivo, de forma que queda sin permisos de acceso, Juan no podrá utilizar el archivo, aunque sea miembro de un grupo que tiene permiso de acceso.
-
Al crear archivos y subdirectorios en un directorio de SunLink Server, éstos heredan los permisos del directorio. Por ejemplo, si agrega un archivo a un directorio que proporciona a los miembros del grupo Grupotrabajo permiso de escritura y a los del grupo Finanzas permiso de lectura, esos mismos permisos se aplican al archivo.
-
El usuario que crea un archivo o directorio es habitualmente su propietario (aunque este valor predeterminado puede cambiarse). El propietario puede controlar el acceso al archivo o al directorio cambiando los permisos que tienen definidos.
-
La forma más sencilla de administrar la seguridad es definir los permisos para grupos, no para cada usuario en particular. Normalmente, un usuario necesita acceder a muchos archivos. Si ese usuario es miembro de un grupo que posee acceso a esos archivos, es más fácil suprimir tal acceso eliminando al usuario de ese grupo en lugar de cambiar los permisos de cada archivo. Recuerde que definir un permiso para un usuario en particular, no sustituye el acceso que recibe ese usuario a través de los grupos a los que pertenece.
Nota -Al copiar los archivos o directorios de SunLink Server, no se copian los permisos de seguridad que tienen definidos, ni tampoco la información de propiedad y auditoría. Los archivos heredan un nuevo grupo de permisos del directorio en el que se han copiado. Si el nuevo directorio no especifica permisos para los archivos, sólo el propietario del archivo (la persona que lo ha copiado) tendrá permiso para utilizarlo.
Además de los archivos y directorios, también los recursos compartidos poseen sus propios permisos en el entorno Windows NT. En caso de que exista conflicto de permisos entre archivos, directorios y recursos compartidos, los clientes se atienen a los permisos más restrictivos de los distintos conjuntos que entran conflicto.
Propiedad de los archivos y directorios
Cada archivo y directorio posee un propietario que controla la forma en que se establecen los permisos sobre su archivo o directorio y concede permisos a otros usuarios.
Cuando se crea un archivo o un directorio, la persona que lo crea se convierte automáticamente en su propietario. Es de esperar que la mayoría de los archivos existentes en los servidores de la red sean creados por los administradores, por ejemplo al instalar nuevas aplicaciones. Por tanto, la mayoría de los archivos de un servidor serán propiedad de administradores, a excepción de los archivos de datos creados por los usuarios y de los archivos que éstos poseen en su directorio particular.
La propiedad se puede transferir de las formas siguientes:
-
El propietario actual puede otorgar una propiedad implícita a otros usuarios definiendo el permiso de escritura sobre los archivos o directorios para el Grupo u Otros. Esto permite a otros usuarios copiar el archivo y "heredar" la propiedad del duplicado.
-
Un administrador puede asumir la propiedad de cualquier archivo del sistema en cualquier momento. Por ejemplo, si un empleado deja repentinamente una empresa, el administrador puede tener el control de los archivos de ese empleado, con independencia de los permisos que tuviera definidos.
Nota -Aunque un administrador puede asumir la propiedad, no puede transferirla a otros. Con esta restricción, es posible mantener el control sobre la cuenta del administrador.
El administrador también puede asumir la propiedad de los archivos utilizando el comando net perms. Para obtener más información, escriba net help perms en la línea de comandos de SunLink Server.
Además de los archivos y directorios, los procesos de los equipos también tienen propietario. Un proceso se inicia cada vez que se ejecuta un programa y, al hacerlo, recibe un identificador exclusivo por parte del sistema. En el entorno Solaris, ésto se denomina Identificador de proceso o PID.
Al revés de lo que ocurre con la propiedad de archivos y directorios, la "propiedad" de los procesos cambia cada vez que se ejecuta el programa. Mientras un programa ejecutable (por ejemplo, una hoja de cálculo) es inicialmente propiedad de la persona que lo ha instalado en la red, la propiedad del PID de usuario y grupo cambia con la persona que lo ejecuta. El proceso de la hoja de cálculo que era propiedad del usuario root después de la instalación, ahora será propiedad del usuario y el grupo del usuario que la ejecutan. Dado que este cambio en la propiedad de los procesos tiene sus implicaciones en cuanto a la seguridad, el programa SunLink Server ofrece la posibilidad de regularlo.
El bloqueo de archivos también es un aspecto importante de la seguridad, especialmente en entornos heterogéneos Windows NT y Solaris. Aunque el software de SunLink Server sigue las mismas normas de bloqueo de archivos y directorios de red que Windows NT, las cuentas de equipos Solaris pueden seguir accediendo a los archivos bloqueados. SunLink Server permite impedir esto, aunque no de forma predeterminada, ya que puede degradar el rendimiento global del sistema. Si la red incluye usuarios que accederán a los archivos desde clientes Windows NT y Solaris, debería definir el valor de bloqueo de forma que las cuentas Solaris respeten el bloqueo de archivos de Windows NT. Consulte "Definición de las directivas de integración de los sistemas de archivos".
Nota -
Durante la instalación de SunLink Server, los usuarios y grupos que se asociarán a este programa se agregan a los archivos de grupos y contraseñas locales del sistema. Si la instalación utiliza un servicio de nombres de Solaris del tipo NIS o NIS+ en el entorno Solaris, deberá incluir la información de grupo en los mapas de servicios de nombres. Al crear archivos desde un sistema Windows NT Workstation y escribir en un directorio del sistema Solaris, el propietario es el usuario que ha creado el archivo y el grupo predeterminado es DOS---. Aunque los mapas de servicios de nombres recuperan la información de usuario, la información de grupo sólo se muestra correctamente si la visualización del archivo se efectúa desde el propio sistema SunLink Server (predeterminado: files nis). Si estos archivos se ven desde otro sistema Solaris, el id de grupo no se resolverá correctamente. Poner la información de grupo en los mapas de servicios de nombres posibilita que los archivos del mapa se correspondan con los del sistema local.
Seguridad de SunLink Server Manager
Otras consideraciones relativas a la seguridad se refieren a los privilegios de los usuarios para administrar el programa SunLink Server mediante la herramienta SunLink Server Manager. Puede definir valores que afectarán a la seguridad de las sucesivas sesiones de SunLink Server Manager. La integridad de datos utiliza firmas de clave pública para proteger los datos transmitidos entre el servidor y el cliente. La autentificación tiene lugar como procesos ocultos e implica la comprobación de las credenciales en cada transacción. Consulte "Protección de las transacciones de SunLink Server Manager".
- © 2010, Oracle Corporation and/or its affiliates