Guia de administração do sistema: gerenciamento de recursos Oracle Solaris Containers e Oracle Solaris Zones

Privilégios em uma região não global

Processos são restritos a um subconjunto de privilégios. A restrição de privilégios impede que uma região execute operações que possam afetar outras regiões. O conjunto de privilégios limita as capacidades de usuários privilegiados dentro da região. Para exibir a lista de privilégios disponíveis dentro de uma região, use o utilitário ppriv.

A tabela abaixo lista todos os privilégios do Solaris e o status de cada privilégio com relação às regiões. Privilégios opcionais não fazem parte do conjunto padrão de privilégios, mas podem ser especificados através da propriedade limitpriv . Privilégios necessários devem ser incluídos no conjunto de privilégios resultante. Privilégios proibidos não podem ser incluídos no conjunto de privilégios resultante.

A propriedade limitpriv está disponível a partir da versão Solaris 10 11/06.

Tabela 27–1 Status de privilégios em regiões


Privilégio	Status	Notas
`cpc_cpu`	Opcional	Acesso a determinados contadores cpc(3CPC)
`dtrace_proc`	Opcional	Provedores `fasttrap` e `pid`; plockstat(1M)
`dtrace_user`	Opcional	Provedores `profile` e `syscall`
`graphics_access`	Opcional	Acesso de ioctl(2) a agpgart_io(7I)
`graphics_map`	Opcional	Acesso de mmap(2) a agpgart_io(7I)
`net_rawaccess`	Opcional em regiões com IP compartilhado. Padrão em regiões com IP exclusivo.	Acesso a pacote básico `PF_INET/PF_INET6`
`proc_clock_highres`	Opcional	Use de temporizadores de alta resolução
`proc_priocntl`	Opcional	Controle de agendamento; priocntl(1)
`sys_ipc_config`	Opcional	Aumento do tamanho do buffer de fila de mensagem de IPC
`sys_time`	Opcional	Manipulação de tempo do sistema; xntp(1M)
`dtrace_kernel`	Proibido	Sem suporte atualmente
`proc_zone`	Proibido	Sem suporte atualmente
`sys_config`	Proibido	Sem suporte atualmente
`sys_devices`	Proibido	Sem suporte atualmente
`sys_linkdir`	Proibido	Sem suporte atualmente
`sys_net_config`	Proibido	Sem suporte atualmente
`sys_res_config`	Proibido	Sem suporte atualmente
`sys_suser_compat`	Proibido	Sem suporte atualmente
`proc_exec`	Necessário, padrão	Usado para iniciar init(1M )
`proc_fork`	Necessário, padrão	Usado para iniciar init(1M )
`sys_mount`	Necessário, padrão	Necessário para montar sistemas de arquivos requeridos
`sys_ip_config`	Necessário, padrão em regiões com IP exclusivo Proibido em regiões com IP compartilhado	Necessário para iniciar região e inicializar conexão à rede IP em região com IP exclusivo
`contract_event`	Padrão	Usado por sistema de arquivos de contrato
`contract_observer`	Padrão	Observação de contrato independentemente de UID
`file_chown`	Padrão	Alterações de posse de arquivo
`file_chown_self`	Padrão	Alterações de proprietário/grupo para arquivos próprios
`file_dac_execute`	Padrão	Executa acesso independentemente de modo/ACL
`file_dac_read`	Padrão	Lê acesso independentemente de modo/ACL
`file_dac_search`	Padrão	Procura acesso independentemente de modo/ACL
`file_dac_write`	Padrão	Grava acesso independentemente de modo/ACL
`file_link_any`	Padrão	Vincula acesso independentemente de proprietário
`file_owner`	Padrão	Outro acesso independentemente de proprietário
`file_setid`	Padrão	Alterações de permissão para os arquivos `setid`, `setgid`, `setuid`
`ipc_dac_read`	Padrão	Acesso de leitura IPC independentemente de modo
`ipc_dac_owner`	Padrão	Acesso de gravação IPC independentemente de modo
`ipc_owner`	Padrão	Outro acesso IPC independentemente de modo
`net_icmpaccess`	Padrão	Acesso de pacote ICMP: ping(1M)
`net_privaddr`	Padrão	Vinculação a portas privilegiadas
`proc_audit`	Padrão	Geração de registros de auditoria
`proc_chroot`	Padrão	Alteração de diretório `root`
`proc_info`	Padrão	Exame de processo
`proc_lock_memory`	Padrão	Bloqueio de memória; shmctl(2)e mlock(3C) Se o administrador de sistema atribuir este privilégio a uma região não global, considere também definir o controle de recurso `zone.max-locked-memory` para impedir que a região bloqueie toda a memória.
`proc_owner`	Padrão	Controle de processo independentemente de proprietário
`proc_session`	Padrão	Controle de processo independentemente de sessão
`proc_setid`	Padrão	Configuração de usuário/grupo à discrição
`proc_taskid`	Padrão	Atribuição de IDs de tarefa a chamador
`sys_acct`	Padrão	Gerenciamento de contabilidade
`sys_admin`	Padrão	Tarefas simples de administração de sistema
`sys_audit`	Padrão	Gerenciamento de auditoria
`sys_nfs`	Padrão	Suporte a cliente NFS
`sys_resource`	Padrão	Manipulação de limite de recursos

A tabela abaixo lista todos os privilégios do Solaris Trusted Extensions e o status de cada privilégio com relação às regiões. Privilégios opcionais não fazem parte do conjunto padrão de privilégios, mas podem ser especificados através da propriedade limitpriv .

Observação –

Esses privilégios são interpretados somente se o sistema está configurado com Solaris Trusted Extensions.

Tabela 27–2 Status dos privilégios do Solaris Trusted Extensions em regiões


Privilégio do Solaris Trusted Extensions	Status	Notas
`file_downgrade_sl`	Opcional	Defina a legenda de sensibilidade do arquivo ou diretório para uma legenda de sensibilidade que não domine a legenda de sensibilidade existente
`file_upgrade_sl`	Opcional	Defina a legenda de sensibilidade do arquivo ou diretório para uma legenda de sensibilidade que domine a legenda de sensibilidade existente
`sys_trans_label`	Opcional	Rótulos de conversão não dominados por rótulo de sensibilidade
`win_colormap`	Opcional	Substituição de restrições a mapa de cores
`win_config`	Opcional	Configura ou destrói recursos que são retidos permanentemente pelo servidor X
`win_dac_read`	Opcional	Leitura do recurso de janela não pertencente ao ID de usuário do cliente
`win_dac_write`	Opcional	Gravação em ou criação de recurso de janela não pertencente ao ID de usuário do cliente
`win_devices`	Opcional	Desempenho de operações em dispositivos de entrada.
`win_dga`	Opcional	Uso de extensões de protocolo X para acesso de gráfico; privilégios de buffer de quadro necessários
`win_downgrade_sl`	Opcional	Alteração de rótulo de sensibilidade da janela de recursos para novo rótulo dominado pelo rótulo existente
`win_fontpath`	Opcional	Adição de um caminho de fonte adicional
`win_mac_read`	Opcional	Leitura do recurso de janela com um rótulo que domina o rótulo do cliente
`win_mac_write`	Opcional	Gravação no recurso de janela com um rótulo não igual ao rótulo do cliente
`win_selection`	Opcional	Movimento de dados de solicitação sem intervenção do confirmador
`win_upgrade_sl`	Opcional	Alteração de rótulo de sensibilidade de recurso de janela para um novo rótulo não dominado por rótulo existente
`net_bindmlp`	Padrão	Permite vinculação a uma porta de vários níveis (MLP)
`net_mac_aware`	Padrão	Permite leitura para baixo através de NFS

Para alterar privilégios em uma região não global, consulte Configuração, verificação e comprometimento de uma região.

Para inspecionar conjuntos de privilégios, consulte Uso do utilitário ppriv. Para obter mais informações sobre privilégios, consulte a página do manual ppriv(1) e System Administration Guide: Security Services.