Contenu des profils de droits

Cette section décrit des profils de droits typiques. Les profils de droits peuvent inclure des autorisations, des commandes avec des attributs de sécurité et des profils de droits supplémentaires. Les profils de droits sont répertoriés dans l'ordre de puissance décroissante. Pour obtenir des suggestions sur la façon de distribuer les profils de droits aux rôles de votre site, reportez-vous à la section Procédure de planification de votre implémentation RBAC.

• Profil de droits de l'administrateur principal (Primary Administrator) : fournit les capacités de superutilisateur dans un profil.

• Profil de droits de l'administrateur système (System Administrator) : fournit un profil pouvant effectuer la plupart des tâches qui ne sont pas en rapport avec la sécurité. Ce profil inclut plusieurs autres profils permettant de créer un rôle puissant.

• Profil de droits de l'opérateur (Operator) : fournit des capacités limitées pour gérer des fichiers et des supports hors ligne. Ce profil inclut des profils de droits supplémentaires pour créer un rôle simple.

• Profil de droits de gestion d'imprimantes (Printer Management) : fournit un nombre limité de commandes et d'autorisations pour la gestion de l'impression. Ce profil est l'un des nombreux profils couvrant une seule partie de l'administration.

• Profil de droits de l'utilisateur Solaris de base (Basic Solaris User) : permet aux utilisateurs d'utiliser le système dans les limites de la stratégie de sécurité. Ce profil est répertorié par défaut dans le fichier policy.conf.

• Profil de droits Tous (All) : permet aux rôles d'accéder aux commandes n'ayant pas d'attribut de sécurité.

Chaque profil de droits est associé à un fichier d'aide. Les fichiers d'aide sont au format HTML et sont personnalisables. Les fichiers sont stockés dans le répertoire /usr/lib/help/profiles/locale/C.

Profil de droits de l'administrateur principal

Le profil de droits de l'administrateur principal est attribué au rôle le plus puissant sur le système. Le rôle qui inclut le profil de droits d'administrateur principal possède des capacités de superutilisateur.

• L'autorisation solaris.* attribue toutes les autorisations qui sont fournies par le logiciel Oracle Solaris.

• L'autorisation solaris.grant permet à un rôle d'affecter n'importe quelle autorisation à n'importe quel profil de droits, rôle ou utilisateur.

• L'assignation de la commande *:uid=0;gid=0 offre la possibilité d'exécuter n'importe quelle commande avec UID=0 et GID=0.

Vous pouvez personnaliser le fichier d'aide RtPriAdmin.html pour votre site, si nécessaire. Les fichiers d'aide sont stockés dans le répertoire /usr/lib/help/profiles /locale/C.

Notez également que si le profil de droits de l'administrateur principal n'est pas cohérent avec la stratégie de sécurité d'un site, ce profil peut être modifié ou ne pas être attribué du tout. Toutefois, les fonctions de sécurité du profil de droits de l'administrateur principal devront être gérées dans un ou plusieurs autres profils de droits. Ces autres profils doivent alors être attribués à des rôles.

Tableau 10-1 Contenu du profil de droits de l'administrateur principal

Profil de droits de l'administrateur système

Le profil de droits de l'administrateur système est prévu pour le rôle d'administrateur système. L'administrateur système n'ayant pas l'amplitude des capacités de l'administrateur principal, les caractères génériques ne sont pas utilisés. À la place, ce profil est constitué d'un jeu de profils de droits d'administration discrets supplémentaires n'ayant pas trait à la sécurité. Les commandes avec des attributs de sécurité issus de l'un des profils de droits supplémentaires sont affichées.

Notez que le profil de droits Tous est attribué à la fin de la liste des profils de droits supplémentaires.

Tableau 10-2 Contenu du profil de droits de l'administrateur système

Profil de droits de l'opérateur

Le profil de droits de l'opérateur est un profil moins puissant, qui offre la capacité d'effectuer des sauvegardes et la maintenance d'imprimantes. La possibilité de restaurer les fichiers implique davantage de conséquences en matière de sécurité. C'est pourquoi, dans ce profil, la possibilité de restaurer les fichiers n'est pas incluse par défaut.

Tableau 10-3 Contenu du profil de droits de l'opérateur

Profil de droits de gestion d'imprimantes

La gestion d'imprimantes et un profil de droits typiques prévu pour un type de tâches spécifique. Ce profil inclut les autorisations et les commandes. Le tableau suivant présente une liste partielle des commandes.

Tableau 10-4 Contenu du profil de droits de gestion d'imprimantes

Profil de droits de l'utilisateur Solaris de base

Par défaut, le profil de droits de l'utilisateur Solaris de base est attribué automatiquement à tous les utilisateurs par le biais du fichier policy.conf. Ce profil contient des autorisations de base qui sont utiles dans le cadre d'un fonctionnement normal. Notez que les avantages proposés par le profil de droits de l'utilisateur Solaris de base doivent être contrebalancés avec les exigences en matière de sécurité du site. Les sites nécessitant une sécurité plus stricte préféreront peut-être supprimer ce profil du fichier policy.conf.

Tableau 10-5 Contenu du profil de droits de l'utilisateur Solaris de base

Profils de droits Tous

Le profil de droits Tous utilise le caractère générique pour inclure toutes les commandes. Ce profil fournit un rôle avec l'accès à l'ensemble des commandes qui ne sont pas explicitement attribuées dans d'autres profils de droits. Sans le profil de droits Tous ou d'autres profils de droits utilisant les caractères génériques, un rôle a uniquement accès aux commandes explicitement attribuées. Ce type d'ensemble de commandes n'est pas très pratique. Aucune autorisation n'est incluse dans ce profil.

S'il est utilisé, le profil de droits Tous doit être le dernier profil de droits attribué. Cette dernière position assure l'application d'attributs de sécurité explicites dans d'autres profils de droits.

Tableau 10-6 Contenu du profil de droits Tous

Ordre des profils de droits

Les commandes des profils de droits sont interprétées dans l'ordre. La première occurrence d'une commande est la seule version de la commande utilisée pour ce rôle ou utilisateur. Des profils de droits différents peuvent inclure la même commande. D'où l'importance de l'ordre des profils de droits dans la liste correspondante. Le profil de droits doté du plus grand nombre de capacités doit figurer en premier.

Les profils de droits sont répertoriés dans l'interface graphique de la console de gestion Solaris et dans le fichier prof_attr. Dans l'interface graphique de la console de gestion Solaris, le profil de droits doté du plus grand nombre de capacités doit être le premier dans la liste des profils de droits attribués. Dans le fichier prof_attr, le profil de droits doté du plus grand nombre de capacités doit être le premier d'une liste de profils supplémentaires. Cette position permet de s'assurer qu'une commande avec des attributs de sécurité est répertoriée avant la même commande sans attributs de sécurité.

Affichage du contenu des profils de droits

L'outil des droits de la console de gestion Solaris (Solaris Management Console Rights) fournit un moyen de contrôler le contenu des profils de droits.

Les fichiers prof_attr et exec_attr offrent une vue plus fragmentée. Le fichier prof_attr contient le nom de chaque profil de droits défini sur le système. Le fichier comprend également les autorisations, les privilèges et les profils de droits supplémentaires pour chaque profil. Le fichier exec_attr contient les noms des profils de droits et de leurs commandes avec les attributs de sécurité.