Bases de datos RBAC

Las siguientes bases de datos almacenan los datos de los elementos de RBAC:

• Base de datos de atributos de usuario extendidos (user_attr): asocia usuarios y roles con autorizaciones, privilegios, palabras clave y perfiles de derechos.

• Base de datos de atributos de perfil de derechos (prof_attr): define perfiles de derechos, enumera autorizaciones asignadas de perfiles, privilegios y palabras clave, e identifica el archivo de ayuda asociado.

• Base de datos de atributos de autorización (auth_attr): define autorizaciones y sus atributos, e identifica el archivo de ayuda asociado.

• Base de datos de atributos de ejecución (exec_attr): identifica los comandos con atributos de seguridad que están asignados a perfiles de derechos específicos.

La base de datos policy.conf contiene autorizaciones, privilegios y perfiles de derechos que se aplican a todos los usuarios. Para obtener más información, consulte Archivo policy.conf.

Bases de datos de RBAC y servicios de nombres

El ámbito del servicio de nombres de las bases de datos RBAC se define en el servicio SMF para el cambio de servicio de nombres, svc:/system/name-service/switch. Las propiedades de este servicio para las bases de datos RBAC son auth_attr, password y prof_attr. La propiedad password establece la precedencia del servicio de nombres para las bases de datos passwd y user_attr. La propiedad prof_attr establece la precedencia del servicio de nombres para las bases de datos prof_attr y exec_attr.

En la siguiente salida, las entradas auth_attr, password y prof_attr no están enumeradas. Por lo tanto, las bases de datos RBAC utilizan el servicio de nombres files.

# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       files
config/host                  astring       "files ldap dns"
config/printer               astring       "user files ldap"

Base de datos user_attr

La base de datos user_attr contiene información de usuarios y roles que complementa las bases de datos passwd y shadow.

Los siguientes atributos de seguridad se pueden configurar mediante los comandos roleadd, rolemod, useradd, usermod y profiles:

• Para un usuario, la palabra clave roles asigna uno o más roles definidos.

• Para un rol, el valor user para la palabra clave roleauth permite al rol autenticar con la contraseña de usuario en lugar de con la contraseña del rol. De manera predeterminada, el valor es role.

• Para un usuario o rol, se pueden establecer los siguientes atributos:

  • Palabra clave audit_flags: modifica la máscara de auditoría. Para obtener información de referencia, consulte la página del comando man audit_flags(5).

  • Palabra clave auths: asigna autorizaciones. Para obtener información de referencia, consulte la página del comando man auths(1).

  • Palabra clave defaultpriv: agrega privilegios o los elimina del conjunto de privilegios básico predeterminado. Para obtener información de referencia, consulte Cómo se implementan los privilegios.

  • Palabra clave limitpriv: agrega privilegios o los elimina del conjunto de privilegios límite predeterminado. Para obtener información de referencia, consulte Cómo se implementan los privilegios.

    Estos privilegios están siempre en vigencia, no son atributos de un comando. Para obtener información de referencia, consulte la página del comando man privileges(5) y Cómo se implementan los privilegios.

  • Palabra clave projects: agrega un proyecto predeterminado. Para obtener información de referencia, consulte la página del comando man project(4).

  • Palabra clave lock_after_retries: si el valor es yes, el sistema se bloquea después de que el número de intentos exceda el número permitido en el archivo /etc/default/login.

  • Palabra clave profiles: asigna perfiles de derechos.

Para obtener más información, consulte la página del comando man user_attr(4). Para ver los contenidos de esta base de datos, utilice el comando getent user_attr. Para obtener más información, consulte la página del comando man getent(1M) y Cómo visualizar todos los atributos de seguridad definidos.

Base de datos auth_attr

Todas las autorizaciones se almacenan en la base de datos auth_attr. Las autorizaciones se pueden asignar a usuarios, roles o perfiles de derechos. El método preferido es colocar las autorizaciones en un perfil de derechos, incluir el perfil en la lista de perfiles de un rol y, a continuación, asignar el rol a un usuario.

Para ver los contenidos de esta base de datos, utilice el comando getent prof_attr. Para obtener más información, consulte la página del comando man getent(1M) y Cómo visualizar todos los atributos de seguridad definidos.

Base de datos prof_attr

La base de datos prof_attr almacena el nombre, la descripción, la ubicación del archivo de ayuda, los privilegios y las autorizaciones que se asignan a los perfiles de derechos. Los comandos y los atributos de seguridad que se asignan a los perfiles de derechos se almacenan en la base de datos exec_attr. Para obtener más información, consulte Base de datos exec_attr.

Para obtener más información, consulte la página del comando man prof_attr(4). Para ver los contenidos de esta base de datos, utilice el comando getent exec_attr. Para obtener más información, consulte la página del comando man getent(1M) y Cómo visualizar todos los atributos de seguridad definidos.

Base de datos exec_attr

La base de datos exec_attr define los comandos que requieren atributos de seguridad para ejecutarse correctamente. Los comandos forman parte de un perfil de derechos. Un comando con sus atributos de seguridad puede ser ejecutado por los roles o usuarios a los que se asignó el perfil.

Para obtener más información, consulte la página del comando man exec_attr(4). Para ver los contenido de esta base de datos, utilice el comando getent. Para obtener más información, consulte la página del comando man getent(1M) y Cómo visualizar todos los atributos de seguridad definidos.

Archivo policy.conf

El archivo policy.conf ofrece una manera de otorgar perfiles de derechos específicos, autorizaciones específicas y privilegios específicos a todos los usuarios. Las entradas pertinentes del archivo constan de pares clave=valor:

• AUTHS_GRANTED=autorizaciones: hace referencia a una o varias autorizaciones.

• PROFS_GRANTED=perfiles de derechos: hace referencia a uno o varios perfiles de derechos.

• CONSOLE_USER=Console User: hace referencia al perfil de derechos de usuario de la consola. Este perfil se proporciona con un conjunto útil de autorizaciones para el usuario de la consola. Puede personalizar este perfil. Para ver los contenidos del perfil, consulte Perfiles de derechos.

• PRIV_DEFAULT=privilegios: hace referencia a uno o varios privilegios.

• PRIV_LIMIT=privilegios: hace referencia a todos los privilegios.

El siguiente ejemplo muestra algunos valores típicos de una base de datos policy.conf:

# grep AUTHS /etc/security/policy
AUTHS_GRANTED=solaris.device.cdrw

# grep PROFS /etc/security/policy
PROFS_GRANTED=Basic Solaris User

# grep PRIV /etc/security/policy

#PRIV_DEFAULT=basic
#PRIV_LIMIT=all

Para obtener más información sobre los privilegios, consulte Privilegios (descripción general).