Autorisierungsbenennung und -delegation

Eine RBAC-Autorisierung ist eine diskrete Berechtigung, die einer Rolle oder einem Benutzer gewährt werden kann. Autorisierungen werden von RBAC-konformen Anwendungen überprüft, bevor ein Benutzer Zugriff auf die Anwendung oder spezifische Vorgänge innerhalb der Anwendung erhält. Diese Überprüfung ersetzt die Tests in konventionellen UNIX-Anwendungen für UID=0.

Autorisierungs-Namenskonventionen

Eine Autorisierung hat einen Namen, der intern und in Dateien verwendet wird. solaris.admin.usermgr.pswd ist z. B. der Name einer Autorisierung. Eine Autorisierung verfügt über eine kurze Beschreibung, die auf den grafischen Benutzeroberflächen (Graphical User Interfaces, GUIs) angezeigt wird. Change Passwords ist beispielsweise die Beschreibung der Autorisierung solaris.admin.usermgr.pswd.

Üblicherweise bestehen Autorisierungsnamen aus dem Internetnamen des Anbieters, dem Themenbereich, beliebigen Teilbereichen sowie Funktionen in umgekehrter Reihenfolge. Die einzelnen Teile des Autorisierungsnamen sind durch Punkte getrennt. Ein Beispiel hierfür ist com.xyzcorp.device.access. Ausnahmen zu dieser Konvention sind die Autorisierungen von Oracle Corporation, die das Präfix solaris anstelle eines Internetnamen verwenden. Die Namenskonvention ermöglicht Administratoren, Autorisierungen auf hierarchische Weise anzuwenden. Ein Platzhalter (*) kann eine beliebige Zeichenfolge rechts eines Punkts repräsentieren.

Beispiel für Autorisierungsgranularität

Als Beispiel für die Verwendung von Autorisierungen können Sie sich Folgendes vorstellen: Ein Benutzer in der Rolle "Operator" ist möglicherweise auf die Autorisierung solaris.admin.usermgr.read beschränkt, die Lese-, aber keinen Schreibzugriff auf die Benutzerkonfigurationsdateien bietet. Die Rolle "System Administrator" beinhaltet normalerweise die Autorisierungen solaris.admin.usermgr.read und solaris.admin.usermgr.write zum Durchführen von Änderungen an Benutzerdateien. Ohne die Autorisierung solaris.admin.usermgr.pswd kann der Systemadministrator keine Passwörter ändern. Der Primäradministrator verfügt über alle drei dieser Autorisierungen.

Die Autorisierung solaris.admin.usermgr.pswd ist erforderlich, um Passwortänderungen im Solaris Management Console-Benutzertool vorzunehmen. Diese Autorisierung ist auch für die Verwendung der Passwortänderungsoptionen in den Befehlen smuser, smmultiuser und smrole erforderlich.

Delegationsautorität in Autorisierungen

Eine Autorisierung, die mit dem Suffix grant endet, ermöglicht Benutzern oder Rollen, zugewiesene Autorisierungen, die mit dem gleichen Präfix beginnen, anderen Benutzern zu übertragen.

Eine Rolle mit den Autorisierungen solaris.admin.usermgr.grant und solaris.admin.usermgr.read kann die Autorisierung solaris.admin.usermgr.read einem anderen Benutzer übertragen. Eine Rolle mit den Autorisierungen solaris.admin.usermgr.grant und solaris.admin.usermgr.* kann alle Autorisierungen mit dem Präfix solaris.admin.usermgr anderen Benutzern übertragen.