RBAC-Befehle

In diesem Abschnitt werden Befehle aufgeführt, die zum Verwalten von RBAC verwendet werden. Zudem wird eine Liste mit Befehlen zur Verfügung gestellt, deren Zugriff durch Autorisierungen gesteuert werden kann.

Befehle zum Verwalten von RBAC

Auch wenn Sie die lokalen RBAC-Datenbanken manuell bearbeiten können, wird von dieser Vorgehensweise wird nachdrücklich abgeraten. Die folgenden Befehle stehen für die Verwaltung des Zugriffs auf Aufgaben mit RBAC zur Verfügung.

Tabelle 10-7 RBAC-Verwaltungsbefehle

Manpage für Befehl	Beschreibung
`auths`(1)	Zeigt Autorisierungen für einen Benutzer an
`makedbm`(1M)	Erstellt eine `dbm`-Datei
`nscd`(1M)	Name Service-Cache-Dämon, nützlich zum Zwischenspeichern der Datenbanken `user_attr`, `prof_attr` und `exec_attr`. Verwenden Sie den Befehl `svcadm`, um den Dämon neu zu starten.
`pam_roles`(5)	Modul zur Rollenkontoverwaltung für PAM. Sucht nach der Autorisierung, die eine Rolle annehmen soll.
`pfexec`(1)	Wird von Profil-Shells zum Ausführen von Befehlen mit Sicherheitsattributen verwendet, die in der Datenbank `exec_attr` angegeben sind
`policy.conf`(4)	Konfigurationsdatei für Systemsicherheitsrichtlinie. Listet gewährte Autorisierungen, Berechtigungen und weitere Sicherheitsinformationen auf.
`profiles`(1)	Zeigt Berechtigungsprofile für einen angegebenen Benutzer an
`roles`(1)	Zeigt Rollen an, die ein angegebener Benutzer annehmen kann
`roleadd`(1M)	Fügt eine Rolle zu einem lokalen System hinzu
`roledel`(1M)	Löscht eine Rolle von einem lokalen System
`rolemod`(1M)	Ändert die Eigenschaften einer Rolle auf einem lokalen System
`smattrpop`(1M)	Überführt die Quelldatenbank für Sicherheitsattribute in die Zieldatenbank. Für die Verwendung in Situationen, in denen lokale Datenbanken in einen Naming Service überführt werden müssen. Auch zur Verwendung in Upgrades, in denen keine Konvertierungsskripten zur Verfügung stehen.
`smexec`(1M)	Verwaltet Einträge in der Datenbank `exec_attr`. Erfordert Authentifizierung
`smmultiuser`(1M)	Verwaltet Massenvorgänge in Benutzerkonten. Erfordert Authentifizierung
`smprofile`(1M)	Verwaltet Berechtigungsprofile in den Datenbanken `prof_attr` und `exec_attr`. Erfordert Authentifizierung
`smrole`(1M)	Verwaltet Rollen und Benutzer in Rollenkonten. Erfordert Authentifizierung
`smuser`(1M)	Verwaltet Benutzereinträge. Erfordert Authentifizierung
`useradd`(1M)	Fügt ein Benutzerkonto zum System hinzu. Die Option `-R` weist einem Benutzerkonto eine Rolle zu.
`userdel`(1M)	Löscht eine Benutzeranmeldung vom System.
`usermod`(1M)	Ändert die Kontoeigenschaften eines Benutzers auf dem System.

Befehle, die Autorisierungen erfordern

Die folgende Tabelle bietet Beispiele dazu, wie Autorisierungen zum Begrenzen von Befehlsoptionen auf einem Oracle Solaris-System verwendet werden. Weitere Diskussionen zum Thema Autorisierungen finden Sie unter Autorisierungsbenennung und -delegation.

Tabelle 10-8 Befehle und zugehörige Autorisierungen

Manpage für Befehl	Autorisierungsanforderungen
`at`(1)	`solaris.jobs.user` für alle Optionen erforderlich (wenn weder `at.allow`- noch `at.deny`-Dateien vorhanden sind)
`atq`(1)	`solaris.jobs.admin` für alle Optionen erforderlich
`cdrw`(1)	`solaris.device.cdrw` ist für alle Optionen erforderlich und wird standardmäßig in der Datei `policy.conf` gewährt
`crontab`(1)	`solaris.jobs.user` ist für die Option erforderlich, um einen Job einzureichen (wenn weder `crontab.allow`- noch `crontab.deny`-Dateien vorhanden sind) `solaris.jobs.admin` ist erforderlich, damit die Optionen die `crontab`-Dateien anderer Benutzer auflisten oder ändern können
`allocate`(1)	`solaris.device.allocate` (oder eine andere Autorisierung wie in der Datei `device_allocate` angegeben) ist für die Gerätezuordnung erforderlich `solaris.device.revoke` (oder eine andere Autorisierung wie in der Datei `device_allocate` angegeben) ist erforderlich, um ein Gerät einem anderen Benutzer zuzuordnen (Option `-F`)
`deallocate`(1)	`solaris.device.allocate` (oder eine andere Autorisierung wie in der Datei `device_allocate` angegeben) ist zum Aufheben der Zuordnung des Geräts eines anderen Benutzers erforderlich `solaris.device.revoke` (oder eine andere Autorisierung wie in der Datei `device_allocate`) ist erforderlich, um die Aufhebung der Zuordnung des angegebenen Geräts (Option `-F`) oder aller Geräte (Option `-I`) zu erzwingen
`list_devices`(1)	`solaris.device.revoke` ist erforderlich, um die Geräte eines anderen Benutzers aufzulisten (Option `-U`)
`sendmail`(1M)	`solaris.mail` ist erforderlich, um auf Mail-Subsystemfunktionen zuzugreifen; `solaris.mail.mailq` ist zum Anzeigen der Mailwarteschlange erforderlich

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices