创建授权和配置文件并为用户帐户分配角色

可以使用 Oracle Solaris OS 的基于角色的访问控制 (role-based access control, RBAC) 功能来管理授权和配置文件并为用户帐户分配角色。有关 RBAC 的更多信息，请参见《系统管理指南：安全性服务》。

用户、授权、配置文件和角色可以按如下方式进行配置：

使用文件在系统本地配置
在命名服务（如 LDAP）中集中配置

安装 Logical Domains Manager 会向本地文件中添加必需的授权和配置文件。要在命名服务中配置用户、授权、配置文件和角色，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

Logical Domains Manager 的授权有两个级别：

读－允许查看配置，但不允许修改配置。
读写－允许查看和更改配置。

以下是自动添加到本地 Oracle Solaris OS /etc/security/auth_attr 文件中的 Logical Domains 条目：

solaris.ldoms.:::LDom administration::
solaris.ldoms.grant:::Delegate LDom configuration::
solaris.ldoms.read:::View LDom configuration::
solaris.ldoms.write:::Manage LDom configuration::
solaris.smf.manage.ldoms:::Manage Start/Stop LDoms::

管理用户授权

以下过程说明如何在系统上使用本地文件管理用户授权。要在命名服务中管理用户授权，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

为用户分配授权

使用此过程可以为 Logical Domains Manager 用户分配授权。此授权分配信息存储在本地 /etc/security/auth_attr 文件中。

注 - 超级用户已经具有 solaris.* 授权（包括 solaris.ldoms.* 授权）。

成为超级用户或承担等效角色。
角色包含授权和具有一定权限的命令。有关角色的更多信息，请参见《系统管理指南：安全性服务》中的"配置 RBAC（任务列表）"。
为用户分配读或读写授权。
- 为用户分配读授权。
```
# usermod -A solaris.ldoms.read username
```
- 为用户分配读写授权。
```
# usermod -A solaris.ldoms.write username
```
注 - 请确保在 usermod -A 命令中包括用户的任何现有授权。使用此命令指定的授权将替换已经分配给用户的任何授权。请参见 usermod(1M) 手册页。

有关 ldm 子命令所需的用户授权的列表，请参见表 3-1。

删除为用户分配的所有授权

成为超级用户或承担等效角色。
角色包含授权和具有一定权限的命令。有关角色的更多信息，请参见《系统管理指南：安全性服务》中的"配置 RBAC（任务列表）"。
删除为本地用户分配的所有授权。
```
# usermod -A "" username
```

管理用户配置文件

以下过程说明如何在系统上使用本地文件管理用户配置文件。要在命名服务中管理用户配置文件，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

SUNWldm 软件包向本地 /etc/security/prof_attr 文件中添加两个由系统定义的 RBAC 配置文件。非特权用户使用以下配置文件授予对 Logical Domains Manager 的访问权限：

LDoms Review:::Review LDoms configuration:auths=solaris.ldoms.read
LDoms Management:::Manage LDoms domains:auths=solaris.ldoms.*

SUNWldm 软件包还定义了与 LDoms Management 配置文件相关联的以下执行属性：

LDoms Management:suser:cmd:::/usr/sbin/ldm:privs=file_dac_read,file_dac_search

为用户分配配置文件

直接分配有 LDoms Management 配置文件的用户必须调用配置文件 shell 以运行具有安全属性的 ldm 命令。有关更多信息，请参见《系统管理指南：安全性服务》。

成为超级用户或承担等效角色。
角色包含授权和具有一定权限的命令。有关角色的更多信息，请参见《系统管理指南：安全性服务》中的"配置 RBAC（任务列表）"。
为本地用户帐户分配管理配置文件。
可以为用户帐户分配 LDoms Review 配置文件或 LDoms Management 配置文件。
```
# usermod -P "profile-name" username
```
以下命令为用户 sam 分配 LDoms Management 配置文件：
```
# usermod -P "LDoms Management" sam
```

删除为用户分配的所有配置文件

成为超级用户或承担等效角色。
角色包含授权和具有一定权限的命令。有关角色的更多信息，请参见《系统管理指南：安全性服务》中的"配置 RBAC（任务列表）"。
删除为本地用户分配的所有配置文件。
```
# usermod -P "" username
```

给用户分配角色

以下过程说明如何使用本地文件创建角色并将其分配给用户。要在命名服务中管理角色，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。

使用此过程的优势是，只有分配有特定角色的用户才能承担该角色。承担角色时，如果已经为该角色分配了一个密码，则需要输入该密码。这两个安全层防止尚未分配有角色、但已经有密码的用户承担该角色。

创建角色并将该角色分配给用户

成为超级用户或承担等效角色。
角色包含授权和具有一定权限的命令。有关角色的更多信息，请参见《系统管理指南：安全性服务》中的"配置 RBAC（任务列表）"。
创建角色。
```
# roleadd -P "profile-name" role-name
```
为该角色指定密码。
系统将提示您指定并确认新密码。
```
# passwd role-name
```
将该角色分配给用户。
```
# useradd -R role-name username
```
为用户分配密码。
系统将提示您指定并确认新密码。
```
# passwd username
```
必要时成为该用户并提供密码。
```
# su username
```

验证该用户是否能够访问为其分配的角色。

$ id
uid=nn(username) gid=nn(group-name)
$ roles
role-name

必要时承担该角色并提供密码。
```
$ su role-name
```
验证该用户是否能够承担此角色。
```
$ id
uid=nn(role-name) gid=nn(group-name)
```

示例 3-1 创建角色并将该角色分配给用户

此示例说明如何创建 ldm_read 角色、将该角色分配给 user_1 用户、成为 user_1 用户并承担 ldm_read 角色。

# roleadd -P "LDoms Review" ldm_read
# passwd ldm_read
New Password: ldm_read-password
Re-enter new Password: ldm_read-password
passwd: password successfully changed for ldm_read
# useradd -R ldm_read user_1
# passwd user_1
New Password: user_1-password
Re-enter new Password: user_1-password
passwd: password successfully changed for user_1
# su user_1
Password: user_1-password
$ id
uid=95555(user_1) gid=10(staff)
$ roles
ldm_read
$ su ldm_read
Password: ldm_read-password
$ id
uid=99667(ldm_read) gid=14(sysadmin)

跳过导航链接
退出打印视图
	Oracle VM Server for SPARC 2.1 管理指南 Oracle VM Server for SPARC (简体中文)