Festlegen Ihrer zugewiesenen Berechtigungen

Wenn einem Benutzer direkt Berechtigungen zugewiesen werden, gelten diese in jeder Shell. Wenn einem Benutzer nicht direkt Berechtigungen zugewiesen werden, muss der Benutzer eine Profil-Shell öffnen. Wenn sich z. B. Befehle mit zugewiesenen Berechtigungen in einem Berechtigungsprofil befinden, das in der Liste der Berechtigungsprofile des Benutzers enthalten ist, muss der Benutzer den Befehl in einer Profil-Shell ausführen.

So legen Sie die Ihnen direkt zugewiesenen Berechtigungen fest

Der folgende Vorgang zeigt, wie Sie festlegen können, ob Ihnen Berechtigungen direkt zugewiesen wurden.

Achtung - Unangemessene Verwendung direkt zugewiesener Berechtigungen kann zu unbeabsichtigten Sicherheitsverletzungen führen. Informationen hierzu finden Sie unter Sicherheitsüberlegungen bei direkter Zuweisung von Sicherheitsattributen.

Listen Sie die Berechtigungen auf, die Ihre Prozesse verwenden können.
Weitere Informationen zu diesem Vorgang finden Sie unter So legen Sie die Berechtigungen auf einem Prozess fest.
Rufen Sie Vorgänge auf und führen Sie Befehle in jeder beliebigen Shell aus.
Die Berechtigungen, die im effektiven Satz aufgelistet sind, gelten während Ihrer gesamten Sitzung. Wenn Ihnen zusätzlich zum grundlegenden Satz Berechtigungen direkt zugewiesen wurden, werden diese im effektiven Satz aufgelistet.

Beispiel 11-9 Festlegen Ihrer direkt zugewiesenen Berechtigungen

Wenn Ihnen Berechtigungen direkt zugewiesen wurden, enthält Ihr grundlegender Satz mehr als der standardmäßige grundlegende Satz. In diesem Beispiel hat der Benutzer stets Zugriff auf die Berechtigung proc_clock_highres.

% /usr/ucb/whoami
jdoe
% ppriv -v $$
1800:   pfksh
flags = <none>
        E: file_link_any,…,proc_clock_highres,proc_session
        I: file_link_any,…,proc_clock_highres,proc_session
        P: file_link_any,…,proc_clock_highres,proc_session
        L: cpc_cpu,dtrace_kernel,dtrace_proc,dtrace_user,…,sys_time
% ppriv -vl proc_clock_highres
        Allows a process to use high resolution timers.

Beispiel 11-10 Festlegen der direkt zugewiesenen Berechtigungen einer Rolle

Rollen verwenden eine administrative Shell oder Profil-Shell. Benutzer, die eine Rolle annehmen, können die Shell der Rolle verwenden, um die Berechtigungen aufzulisten, die der Rolle direkt zugewiesen wurden. Im folgenden Beispiel wurden der Rolle realtime Berechtigungen zum Verarbeiten von Datums- und Zeitprogrammen direkt zugewiesen.

% su - realtime
Password: <Type realtime password>
$ /usr/ucb/whoami
realtime
$ ppriv -v $$
1600:   pfksh
flags = <none>
        E: file_link_any,…,proc_clock_highres,proc_session,sys_time
        I: file_link_any,…,proc_clock_highres,proc_session,sys_time
        P: file_link_any,…,proc_clock_highres,proc_session,sys_time
        L: cpc_cpu,dtrace_kernel,dtrace_proc,dtrace_user,…,sys_time

So legen Sie die ausführbaren privilegierten Befehle fest

Wenn einem Benutzer nicht direkt Berechtigungen zugewiesen werden, erhält der Benutzer mithilfe eines Berechtigungsprofils Zugriff auf privilegierte Befehle. Befehle in einem Berechtigungsprofil müssen in einer Profil-Shell ausgeführt werden.

Bevor Sie beginnen

Der Benutzer oder die Rolle, der/die eine Authentifizierung bei der Solaris Management Console durchführt, muss über die Autorisierung solaris.admin.usermgr.read verfügen. Das Berechtigungsprofil "Basic Solaris User" enthält diese Autorisierung.

Legen Sie die Berechtigungsprofile fest, die Ihnen zugewiesen wurden.

$ /usr/sadm/bin/smuser list -- -n username -l

Authenticating as user: admin
… Please enter a string value for: password :: 
…
User name:      username
User ID (UID):  130
Primary group:  staff
Secondary groups: 
Comment: object mgt jobs
Login Shell: /bin/sh
Home dir server: system
Home directory: /export/home/username
AutoHome setup: True
Mail server: system
Rights: Object Access Management
Assigned Roles:

Suchen Sie die Zeile, die mit "Rights" (Rechte) beginnt.
In der Zeile "Rights" (Rechte) werden die Namen der Berechtigungsprofile aufgeführt, die Ihnen direkt zugewiesen wurden.

Suchen Sie die Namen der Berechtigungsprofile in der exec_attr-Datenbank.

$ cd /etc/security
$ grep "Object Access Management" exec_attr 
Object Access Management:solaris:cmd:::/usr/bin/chgrp:privs=file_chown
Object Access Management:solaris:cmd:::/usr/bin/chown:privs=file_chown
Object Access Management:suser:cmd:::/usr/bin/chgrp:euid=0
Object Access Management:suser:cmd:::/usr/bin/chmod:euid=0
…

Die Befehle mit hinzugefügten Berechtigungen werden am Ende der solaris-Richtlinieneinträge aufgeführt.

Geben Sie die Befehle ein, die Berechtigungen in einer Profil-Shell erfordern.
Wenn die Befehle in eine normale Shell eingegeben werden, werden die Befehle nicht mit Berechtigung ausgeführt und schlagen fehl.
```
% pfsh
$
```

Beispiel 11-11 Ausführen privilegierter Befehle in einer Profil-Shell

Im folgenden Beispiel kann der Benutzer jdoe die Gruppenberechtigungen für eine Datei nicht von seiner normalen Shell aus ändern. jdoe kann jedoch die Berechtigungen durch Eingabe des Befehls in eine Profil-Shell ändern.

% whoami
jdoe
% ls -l useful.script
-rwxr-xr-- 1 nodoe eng 262 Apr 2 10:52 useful.script
chgrp staff useful.script
chgrp: useful.script: Not owner
% pfksh
$ /usr/ucb/whoami
jdoe
$ chgrp staff useful.script
$ chown jdoe useful.script
$ ls -l useful.script
-rwxr-xr-- 1 jdoe staff 262 Apr 2 10:53 useful.script

So legen Sie die von einer Rolle ausführbaren privilegierten Befehle fest

Eine Rolle erhält Zugriff auf privilegierte Befehle durch ein Berechtigungsprofil, das Befehle mit zugewiesenen Berechtigungen enthält. Die sicherste Art, einem Benutzer Zugriff auf privilegierte Befehle zu gewähren, ist, ihm eine Rolle zuzuweisen. Nach dem Annehmen der Rolle kann der Benutzer alle privilegierten Befehle ausführen, die im Berechtigungsprofil für diese Rolle enthalten sind.

Bevor Sie beginnen

Legen Sie die Rollen fest, die Sie annehmen können.

$ /usr/sadm/bin/smuser list -- -n username -l
Authenticating as user: primadmin
…
User name:      username
User ID (UID):  110
Primary group:  staff
Secondary groups: 
Comment: Has admin roles
Login Shell: /bin/sh
…
Rights: 
Assigned Roles: primadmin, admin

Suchen Sie die Zeile, die mit "Assigned Roles:" (Zugewiesene Rollen:) beginnt.
In der Zeile "Assigned Roles" (Zugewiesene Rollen) werden die Rollen aufgeführt, die Sie annehmen können.

Bestimmen Sie die Berechtigungsprofile, die in einer Ihrer Rollen enthalten sind.

% su - devadmin
Enter password: Type devadmin password
$ whoami
devadmin
$ profiles
Device Security

$ /usr/sadm/bin/smuser list -- -n admin -l
Authenticating as user: primadmin
…
User name:      admin
User ID (UID):  101
Primary group:  sysadmin
Secondary groups:
Comment: system administrator
Login Shell: /bin/pfksh
…
Rights: System Administrator
Assigned Roles:

Suchen Sie die Namen der Berechtigungsprofile für die Rolle in der Zeile "Rights" (Rechte).

Suchen Sie die Berechtigungsprofile in der Datenbank prof_attr.

Da das Systemadministratorprofil eine Sammlung von Profilen ist, müssen Sie die Profile im Systemadministratorprofil auflisten.

$ cd /etc/security
$ grep "System Administrator" prof_attr 
System Administrator:::Can perform most non-security administrative
tasks:profiles=Audit Review,Printer Management,Cron Management,
Device Management,File System Management,Mail Management,Maintenance
and Repair,Media Backup,Media Restore,Name Service Management,Network
Management,Object Access Management,Process Management,Software
Installation,User Management,All;help=RtSysAdmin.html

Suchen Sie für jedes Berechtigungsprofil die Berechtigungsprofile in der Datenbank exec_attr.
Das Netzwerkverwaltungsprofil beispielsweise ist ein ergänzendes Profil im Systemadministratorprofil. Das Netzwerkverwaltungsprofil enthält eine Reihe privilegierter Befehle.
```
$ cd /etc/security
$ grep "Network Management" exec_attr 
Network Management:solaris:cmd:::/usr/sbin/ifconfig:privs=sys_net_config
Network Management:solaris:cmd:::/usr/sbin/route:privs=sys_net_config
…
```
Die Befehle und ihre zugewiesenen Berechtigungen befinden sich in den letzten beiden Feldern der solaris-Richtlinieneinträge. Sie können diese Befehle in der Profil-Shell Ihrer Rolle ausführen.

Beispiel 11-12 Ausführen der privilegierten Befehle in Ihrer Rolle

Wenn ein Benutzer eine Rolle annimmt, wird die Shell zur Profil-Shell. Daher werden die Befehle mit den Berechtigungen ausgeführt, die den Befehlen zugewiesen wurden. Im folgenden Beispiel kann die Rolle admin die Berechtigungen für die Datei useful.script ändern.

% whoami
jdoe
% ls -l useful.script
-rwxr-xr-- 1 elsee eng 262 Apr 2 10:52 useful.script
chgrp admin useful.script
chgrp: useful.script: Not owner
% su - admin
Password: <Type admin password>
$ /usr/ucb/whoami
admin
$ chgrp admin useful.script
$ chown admin useful.script
$ ls -l useful.script
-rwxr-xr-- 1 admin admin 262 Apr 2 10:53 useful.script

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices