配置 RBAC 以进行来宾控制台访问

vntsd 守护进程提供一个名为 vntsd/authorization 的服务管理工具 (Service Management Facility, SMF) 属性。可以配置此属性以对域控制台或控制台组启用用户和角色的授权检查。要启用授权检查，请使用 svccfg 命令将此属性的值设置为 true。当此选项处于启用状态时，vntsd 将仅侦听并接受 localhost 上的连接。如果启用 vntsd/authorization 时 listen_addr 属性指定备用 IP 地址，vntsd 将忽略该备用 IP 地址并继续仅在 localhost 上侦听。

---

注意 - 请勿将 vntsd 服务配置为使用 localhost 以外的主机。 如果您指定的是 localhost 以外的主机，系统将不再限制您从控制域连接到来宾域控制台。如果使用 telnet 命令远程连接到来宾域，则登录凭据在网络中以明文形式传递。

---

默认情况下，访问所有来宾控制台的授权存在于本地 auth_attr 数据库中。

solaris.vntsd.consoles:::Access All LDoms Guest Consoles::

使用 usermod 命令可以在本地文件中为其他用户或角色分配必需的授权。这样就可以仅允许具有所需授权的用户或角色访问给定的域控制台或控制台组。要在命名服务中为其他用户或角色分配授权，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

以下示例通过更新本地文件授予用户 terry 访问所有域控制台的授权：

# usermod -A "solaris.vntsd.consoles" terry

为域控制台添加授权

此过程说明如何通过使用本地文件，为特定的域控制台添加新授权并将该授权分配给用户。要在命名服务中管理授权和用户，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

有关授权和 RBAC 的更多信息，请参见《系统管理指南：安全性服务》。

1. 在本地 auth_attr 文件中为域添加授权条目。

   solaris.vntsd.console-domain-name:::Access domain-name Guest Console::

2. 为用户分配新授权。

   # usermod -A "solaris.vntsd.console-domain-name" username

示例 3-2 为域控制台添加授权

以下示例为名为 ldg1 的特定域控制台添加一项新授权，并将该授权分配给用户 sam。

以下授权条目会添加到域 ldg1 的本地 auth_attr 文件中：

solaris.vntsd.console-ldg1:::Access ldg1 Guest Console::

以下命令为用户 sam 分配新授权：

# usermod -A "solaris.vntsd.console-ldg1" sam