Teil I Übersicht über die Sicherheit
1. Sicherheitsservices (Überblick)
Teil II System-, Datei- und Gerätesicherheit
2. Verwalten von Rechnersicherheit (Übersicht)
3. Steuern des Zugriffs auf Systeme (Aufgaben)
4. Steuern des Zugriffs auf Geräte (Aufgaben)
5. Verwenden von Basic Audit Reporting Tool (Aufgaben)
6. Steuern des Zugriffs auf Dateien (Aufgaben)
7. Verwenden von Automated Security Enhancement Tool (Aufgaben)
Teil III Rollen, Berechtigungsprofile und Berechtigungen
8. Verwenden von Rollen und Berechtigungen (Übersicht)
9. Rollenbasierte Zugriffssteuerung (Aufgaben)
10. Rollenbasierte Zugriffssteuerung (Übersicht)
Inhalt der Berechtigungsprofile
Berechtigungsprofil "Primary Administrator"
Berechtigungsprofil "System Administrator"
Berechtigungsprofil "Operator"
Berechtigungsprofil "Printer Management"
Berechtigungsprofil "Basic Solaris User"
Autorisierungsbenennung und -delegation
Autorisierungs-Namenskonventionen
Beispiel für Autorisierungsgranularität
Delegationsautorität in Autorisierungen
Datenbanken, die RBAC unterstützen
RBAC-Datenbanken und die Naming Services
Befehle zum Verwalten von RBAC
Befehle, die Autorisierungen erfordern
Teil IV Kryptografische Services
13. Oracle Solaris Cryptographic Framework (Übersicht)
14. Oracle Solaris Cryptographic Framework (Aufgaben)
15. Oracle Solaris Key Management Framework
Teil V Authentifizierungsservices und sichere Kommunikation
16. Verwenden von Authentifizierungsservices (Aufgaben)
19. Verwenden von Oracle Solaris Secure Shell (Aufgaben)
20. Oracle Solaris Secure Shell (Referenz)
21. Einführung zum Kerberos-Service
22. Planen des Kerberos-Service
23. Konfigurieren des Kerberos-Service (Aufgaben)
24. Kerberos-Fehlermeldungen und -Fehlerbehebung
25. Verwalten von Kerberos-Hauptelementen und Richtlinien (Aufgaben)
26. Verwenden von Kerberos-Anwendungen (Aufgaben)
27. Der Kerberos-Service (Referenz)
Teil VII Prüfung bei Oracle Solaris
28. Prüfung bei Oracle Solaris (Übersicht)
29. Planen der Oracle Solaris-Prüfung
30. Verwalten der Oracle Solaris-Prüfung (Aufgaben)
In diesem Abschnitt werden einige typische Berechtigungsprofile beschrieben. Berechtigungsprofile können Autorisierungen, Befehle mit Sicherheitsattributen und ergänzende Berechtigungsprofile enthalten. Die Berechtigungsprofile werden entsprechend ihrer Leistungsfähigkeit in absteigender Reihenfolge aufgeführt. Vorschläge, wie Sie Berechtigungsprofile an Ihrem Standort auf Rollen verteilen können, finden Sie unter So planen Sie die RBAC-Implementierung.
Berechtigungsprofil "Primary Administrator": Bietet alle Funktionen von Superuser in einem Profil
System Administrator (Berechtigungsprofil): Bietet ein Profil, das die meisten nicht mit Sicherheit in Zusammenhang stehenden Aufgaben erfüllen kann. Dieses Profil enthält mehrere andere Profile, um eine leistungsstarke Rolle erstellen zu können.
Operator (Berechtigungsprofil): Bietet begrenzte Funktionen zum Verwalten von Dateien und Offline-Datenträgern. Dieses Profil enthält ergänzende Berechtigungsprofile zum Erstellen einer einfachen Rolle.
Printer Management (Berechtigungsprofil): Bietet eine begrenzte Anzahl von Befehlen und Autorisierungen zur Druckerverwaltung. Dieses Profil ist eines von mehreren Profilen, die einen einzelnen Verwaltungsbereich abdecken.
Basic Solaris User (Berechtigungsprofil): Ermöglicht Benutzern die Verwendung des Systems innerhalb der Grenzen der Sicherheitsrichtlinie. Dieses Profil ist standardmäßig in der Datei policy.conf aufgeführt.
All (Berechtigungsprofil): Bietet Rollen Zugriff auf Befehle, die keine Sicherheitsattribute haben
Jedes Berechtigungsprofil hat eine zugehörige Hilfedatei. Die Hilfedateien sind in HTML verfasst und individuell anpassbar. Die Dateien befinden sich im Verzeichnis /usr/lib/help/profiles/locale/C.
Das Berechtigungsprofil "Primary Administrator" wird der leistungsstärksten Rolle auf dem System zugewiesen. Die Rolle, die das Berechtigungsprofil "Primary Administrator" enthält, verfügt über Superuser-Funktionen.
Die solaris.*-Autorisierung weist alle Autorisierungen, die von der Oracle Solaris-Software zur Verfügung gestellt werden, effektiv zu.
Die solaris.grant-Autorisierung ermöglicht Rollen, beliebige Autorisierungen beliebigen Berechtigungsprofilen, Rollen oder Benutzern zuzuweisen.
Mithilfe der Befehlszuweisung *:uid=0;gid=0 kann ein beliebiger Befehl mit UID=0 und GID=0 ausgeführt werden.
Sie können die Hilfedatei RtPriAdmin.html gegebenenfalls für Ihren Standort anpassen. Die Hilfedateien sind im Verzeichnis /usr/lib/help/profiles/locale/C gespeichert.
Beachten Sie, dass das Berechtigungsprofil "Primary Administrator" nicht geändert oder zugewiesen werden kann, wenn es nicht mit der Sicherheitsrichtlinie der Site übereinstimmt. Die Sicherheitsfunktionen im Berechtigungsprofil "Primary Administrator" müssen dann in ein oder mehrere andere Berechtigungsprofile integriert werden. Die anderen Berechtigungsprofile müssen dann Rollen zugewiesen werden.
Tabelle 10-1 Inhalt des Berechtigungsprofils "Primary Administrator"
|
Das Berechtigungsprofil "System Administrator" ist für Systemadministratoren gedacht. Da der Systemadministrator nicht über die umfassenden Funktionen eines Primäradministrators verfügt, werden keine Platzhalter verwendet. Stattdessen besteht dieses Profil aus einem Satz diskreter, zusätzlicher administrativer Berechtigungsprofile, die sich nicht mit Sicherheit befassen. Die Befehle mit Sicherheitsattributen aus einem der zusätzlichen Berechtigungsprofile werden angezeigt.
Beachten Sie, dass das Berechtigungsprofil "All" am Ende der Liste zusätzlicher Berechtigungsprofile zugewiesen wird.
Tabelle 10-2 Inhalt des Berechtigungsprofils "System Administrator"
|
Das Berechtigungsprofil "Operator" ist ein weniger leistungsstarkes Profil, das Funktionen wie Backups und Druckerwartung zur Verfügung stellt. Die Fähigkeit zum Wiederherstellen von Dateien hat weitere Auswirkungen auf die Sicherheit. Daher sieht die Standardeinstellung in diesem Profil vor, diese Funktion nicht mit einzuschließen.
Tabelle 10-3 Inhalt des Berechtigungsprofils "Operator"
|
"Printer Management" ist ein typisches Berechtigungsprofil, das für einen spezifischen Aufgabenbereich gedacht ist. Dieses Profil umfasst Autorisierungen und Befehle. Die folgende Tabelle zeigt eine Teilliste der Befehle.
Tabelle 10-4 Inhalt des Berechtigungsprofils "Printer Management"
|
Standardmäßig wird das Berechtigungsprofil "Basic Solaris User" automatisch allen Benutzern über die Datei policy.conf zugewiesen. Dieses Profil bietet grundlegende Autorisierungen, die bei normalen Vorgängen nützlich sind. Beachten Sie, dass die Benutzerfreundlichkeit, die das Berechtigungsprofil "Basic Solaris User" bietet, gegenüber den Standort-Sicherheitsanforderungen abgewogen werden muss. Für Standorte mit strengeren Sicherheitsanforderungen könnte es nützlich sein, dieses Profil aus der Datei policy.conf zu entfernen.
Tabelle 10-5 Inhalt des Berechtigungsprofils "Basic Solaris User"
|
Das Berechtigungsprofil "All" verwendet Platzhalter, um alle Befehle einzuschließen. Dieses Profil bietet eine Rolle mit Zugriff auf alle Befehle, die nicht explizit in anderen Berechtigungsprofilen zugewiesen sind. Ohne das Berechtigungsprofil "All" oder andere Berechtigungsprofile, die Platzhalter verwenden, hat eine Rolle nur Zugriff auf explizit zugewiesene Befehle. Ein solcher begrenzter Befehlssatz ist wenig praktisch. Es sind keine Autorisierungen in diesem Profil enthalten.
Bei Verwendung sollte das Berechtigungsprofil "All" als letztes zugewiesen werden. Diese Position stellt sicher, dass explizite Sicherheitsattributzuweisungen in anderen Berechtigungsprofilen angewendet werden.
Tabelle 10-6 Inhalt des Berechtigungsprofils "All"
|
Die Befehle in Berechtigungsprofilen werden der Reihenfolge nach interpretiert. Das erste Vorkommen eines Befehls ist die einzige Version des Befehls, die für diese Rolle oder den Benutzer verwendet wird. Verschiedene Berechtigungsprofile können den gleichen Befehl enthalten. Daher ist die Reihenfolge der Berechtigungsprofile in einer Profilliste relevant. Das Berechtigungsprofil mit den meisten Funktionen sollte an erster Stelle aufgeführt werden.
Berechtigungsprofile werden in der Solaris Management Console-GUI und in der Datei prof_attr aufgeführt. In der Solaris Management Console-GUI sollte das Berechtigungsprofil mit den meisten Funktionen das erste Profil in einer Liste zugewiesener Berechtigungsprofile sein. In der Datei prof_attr sollte das Berechtigungsprofil mit den meisten Funktionen das erste in einer Liste zusätzlicher Profile sein. Diese Platzierung stellt sicher, dass ein Befehl mit Sicherheitsattributen vor dem gleichen Befehl ohne Sicherheitsattribute aufgelistet wird.
Das Solaris Management Console-Berechtigungstool stellt eine Methode zum Untersuchen des Inhalts der Berechtigungsprofile zur Verfügung.
Die Dateien prof_attr und exec_attr bieten eine genauer unterteilte Ansicht. Die Datei prof_attr enthält den Namen jedes Berechtigungsprofils, das auf dem System festgelegt ist. Die Datei enthält auch die Autorisierungen, Berechtigungen und zusätzlichen Berechtigungsprofile für jedes Profil. Die Datei exec_attr enthält die Namen der Berechtigungsprofile und ihrer zugehörigen Befehle mit Sicherheitsattributen.