Creación y asignación de una función de RBAC con un perfil de derechos de administración de Oracle Solaris Cluster

Use esta tarea para crear una función de RBAC con un perfil de derechos de administración de Oracle Solaris Cluster y para asignar a los usuarios esta función nueva.

Creación de una función con la herramienta Administrative Roles

Antes de empezar

Para crear una función, debe asumir una que disponga del perfil de derechos del administrador principal asignado o ejecutarla como usuario root.

1. Inicie la herramienta Administrative Roles.

   Para ejecutar la herramienta Administrative Roles, inicie Solaris Management Console, como se describe en How to Assume a Role in the Solaris Management Console de System Administration Guide: Security Services. Abra User Tool Collection y haga clic en el icono de funciones administrativas.

2. Inicie el asistente Add Administrative Role (Agregar funciones administrativas) para agregar una función administrativa.

   Seleccione Add Administrative Role (Agregar función administrativa) en el menú Action (Acción) para iniciar el asistente Add Administrative Role (Agregar funciones administrativas) para la configuración de funciones.

3. Configure una función que tenga asignado el perfil de derechos de administración del clúster.

   Utilice los botones Siguiente y Atrás para desplazarse entre los cuadros de diálogo. El botón Siguiente no se activa mientras no se hayan completado los campos obligatorios. El último cuadro de diálogo permite revisar los datos introducidos y retroceder para cambiarlos o hacer clic en Finish (Finalizar) para guardar la nueva función. La lista siguiente resume los campos y botones del cuadro de diálogo.

   Role Name

   Nombre corto de la función.

   Full Name

   Versión larga del nombre.

   Description

   Descripción de la función.

   Role ID Number

   UID para la función, incrementado de forma automática.

   Role Shell

   Los shells de perfil disponibles para las funciones: los shells C, Bourne y Korn del administrador.

   Create a role mailing list

   Realiza una lista de correo para los usuarios asignados a esta función.

   Available Rights / Granted Rights

   Asigna o elimina los perfiles de derechos de una función.

   El sistema no impide escribir varias apariciones del mismo comando. Los atributos asignados a la primera aparición de un comando en un perfil de derechos tienen preferencia y se ignoran todas las siguientes apariciones. Use las flechas Arriba y Abajo para cambiar el orden.

   Server

   Servidor para el directorio de inicio.

   Path

   Ruta del directorio de inicio.

   Add

   Agrega usuarios que puedan asumir esta función. Deben estar en el mismo ámbito.

   Delete

   Elimina los usuarios asignados a esta función.

   ---

   Nota - Este perfil se debe colocar en primer lugar en la lista de perfiles asignados a la función.

   ---

4. Agregue los usuarios que necesiten utilizar las funciones de Oracle Solaris Cluster Manager o los comandos de Oracle Solaris Cluster a la función recién creada.

   Use el comando useradd(1M) para agregar una cuenta de usuario al sistema. La opción -P asigna una función a una cuenta de usuario.

5. Haga clic en Finish (Finalizar).
6. Abra una ventana de terminal y conviértase en usuario root.
7. Inicie y detenga el daemon de memoria caché del servicio de nombres.

   La función nueva no se activará hasta que se reinicie el daemon de memoria caché del servicio de nombres. Después de convertirse en usuario root, escriba el texto siguiente:

   # /etc/init.d/nscd stop
   # /etc/init.d/nscd start

Creación de una función desde la línea de comandos

1. Conviértase en superusuario o asuma una función que proporcione la autorización de RBAC solaris.cluster.admin.
2. Seleccione un método para crear una función:

   • Para las funciones de ámbito local, use el comando roleadd(1M) para especificar una función local nueva y sus atributos.

   • Asimismo, para las funciones de ámbito local, edite el archivo user_attr(4) para agregar un usuario con type=role.

     Use este método sólo en caso de emergencia.

   • Para las funciones de un servicio de nombres, use el comando smrole(1M) para especificar la función nueva y sus atributos.

     Este comando requiere autenticación por parte del usuario o una función que, a su vez, pueda crear otras. Puede aplicar el comando smrole a todos los servicios de nombres. Este comando se ejecuta como cliente del servidor de Solaris Management Console.

3. Inicie y detenga el daemon de memoria caché del servicio de nombres.

   Las funciones nuevas no se activan hasta que se reinicie el daemon de memoria caché del servicio de nombres. Como usuario root, escriba el texto siguiente:

   # /etc/init.d/nscd stop
   # /etc/init.d/nscd start

Ejemplo 2-1 Creación de una función de operador personalizado con el comando smrole

La siguiente secuencia muestra cómo se crea una función con el comando smrole. En este ejemplo, se crea una versión nueva de la función de operador a la que tiene asignado el perfil de derechos del operador estándar, así como el perfil de restauración de soporte.

% su primaryadmin 
# /usr/sadm/bin/smrole add -H myHost -- -c "Custom Operator" -n oper2 -a johnDoe \
-d /export/home/oper2 -F "Backup/Restore Operator" -p "Operator" -p "Media Restore"

Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password ::<type oper2 password>

# /etc/init.d/nscd stop
# /etc/init.d/nscd start

Para ver la función recién creada (y cualquier otra), use el comando smrole con la opción list, tal y como se indica a continuación:

# /usr/sadm/bin/smrole list --
Authenticating as user: primaryadmin

Type /? for help, pressing <enter> accepts the default denoted by [ ]
Please enter a string value for: password :: <type primaryadmin password>

Loading Tool: com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost
Login to myHost as user primaryadmin was successful.
Download of com.sun.admin.usermgr.cli.role.UserMgrRoleCli from myHost was successful.
root                    0               Super-User
primaryadmin            100             Most powerful role
sysadmin                101             Performs non-security admin tasks
oper2                   102             Custom Operator