Creación y gestión de cuentas de usuario, grupos y roles

En Oracle Solaris 11, los usuarios, los grupos y los roles se crean y gestionan únicamente con las herramientas de la línea de comandos. En la actualidad, no existe ninguna herramienta GUI para realizar estas tareas. Además, las herramientas de la línea de comandos que utiliza Solaris Management Console ya no están disponibles. Consulte Eliminación de los archivos, las herramientas, los servicios y los comandos de gestión del sistema heredado.

Para obtener información sobre la gestión de cuentas de usuario y grupos, consulte el Capítulo 2, Gestión de grupos y cuentas de usuario (descripción general) de Administración de Oracle Solaris: tareas comunes y el Capítulo 3, Gestión de cuentas de usuario y grupos (tareas) de Administración de Oracle Solaris: tareas comunes.

Contraseñas de usuario

Ahora, el algoritmo de hash de contraseñas predeterminado es SHA256. Esta contraseña de hash es similar a la siguiente:

$5$cgQk2iUy$AhHtVGx5Qd0.W3NCKjikb8.KhOiA4DpxsW55sP0UnYD

Además, ya no existe una limitación de 8 caracteres para las contraseñas de usuario. La limitación de 8 caracteres sólo se aplica a contraseñas que usan el algoritmo anteriorcrypt_unix(5), que se ha conservado para brindar compatibilidad con versiones anteriores con cualquier entrada de archivo passwd existente y con las asignaciones NIS.

Las contraseñas se codifican usando uno de los otros algoritmos crypt(3c), incluido el algoritmo SHA256, que es el predeterminado en el archivo policy.conf. Por lo tanto, las contraseñas ahora pueden ser mucho más largas que ocho caracteres. Consulte policy.conf(4).

Creación de cuentas de usuario

A continuación, se describen los cambios en la creación y la gestión de cuentas de usuario que presenta Oracle Solaris 11:

• Las cuentas de usuario se crean como sistemas de archivos ZFS individuales, lo cual permite a los usuarios tener su propio sistema de archivos y su propio conjunto de datos ZFS. Cada directorio principal que se crea con los comandos useradd y roleadd ubica el directorio principal del usuario en /export/home como un sistema de archivos ZFS individual.

• El comando useradd depende del servicio de montaje automático, svc:/system/filesystem/autofs, para montar los directorios principales. Este servicio nunca debe deshabilitarse. Cada entrada del directorio principal de un usuario de la base de datos passwd está en el formato /home/username, que es un desencadenador autofs que se resuelve mediante el montador automático con la asignación auto_home.

• El comando useradd crea automáticamente entradas en el mapa auto_home que se corresponden con el nombre de ruta especificado utilizando la opción -d de este comando. Si el nombre de ruta incluye una especificación de host remoto (por ejemplo, foobar:/export/home/jdoe), el directorio principal para jdoe se debe crear en el sistema foobar. El nombre de ruta predeterminado es localhost:/export/home/usuario. Como /export/home es el punto de montaje de un conjunto de datos ZFS, el directorio principal del usuario se crea como un conjunto de datos ZFS secundario, con el permiso ZFS para tomar instantáneas delegado al usuario. Si se especifica un nombre de ruta que no se corresponde a un conjunto de datos ZFS, se crea un directorio regular. Si se especifica la opción -S ldap, se actualiza la entrada de asignación auto_home en el servidor LDAP en lugar de la asignación auto_home.

Modificación de cuentas de usuario

En Oracle Solaris 10, no se pueden asignar atributos de auditoría mediante el comando usermod. En la Oracle Solaris 11, el comando usermod funciona con LDAP y archivos. Todos los atributos de seguridad pueden asignarse a un usuario mediante este mecanismo.

Por ejemplo, un administrador puede agregar un rol a una cuenta de usuario con el comando usermod.

# roleadd -K roleauth=user -P "Network Management" netmgt
# usermod -R +netmgt jdoe

Consulte usermod(1M) para ver otros ejemplos.

Creación de roles

Los roles se pueden crear localmente y en un depósito LDAP. Para crear un rol y asignar una contraseña inicial, se debe tener asignado el perfil de derechos User Management. Para asignar los atributos de seguridad al rol, se debe tener asignado el perfil de derechos User Security. La gran diferencia de la autenticación de roles en Oracle Solaris 11 es la adición de la palabra clave roleauth=user y el módulo pam_tty_tickets para el almacenamiento en antememoria de la autenticación. Tenga en cuenta que el módulo pam_tty_tickets no está activado de manera predeterminada. Para agregar el módulo, edite el archivo /etc/pam.conf de la siguiente manera:

# vi /etc/pam.conf
su    auth    required    pam_unix_cred.so.1
su    auth    sufficient  pam_tty_tickets.so.1
su    auth    requisite   pam_authtok_get.so.1
su    auth    required    pam_dhkeys.so.1
su    auth    required    pam_unix_auth.so.1

Se requiere toda la pila su. El módulo pam_tty_tickets.so.1 proporciona la antememoria. Consulte pam.conf(4). Para obtener instrucciones sobre cómo crear un rol, consulte Cómo crear un rol de Administración de Oracle Solaris: servicios de seguridad.

Uso compartido de los directorios principales que se crean como sistemas de archivos ZFS

Primero se crea un recurso compartido NFS o SMB de un sistema de archivos ZFS y, a continuación, el recurso compartido se publica, para lo cual se realizan las siguientes acciones:

• El recurso compartido del sistema de archivos se crea usando el comando zfs set share. En esta etapa, se pueden definir las propiedades del recurso compartido específico. Si no se definen las propiedades del recurso compartido, se utilizan los valores de propiedad predeterminados.

• Para publicar el recurso compartido NFS o SMB, se deben configurar las propiedades sharenfs o sharesmb. El recurso compartido se publica de manera permanente hasta que la propiedad se define como off (desactivada).

Consulte Cómo compartir directorios principales que se crean como sistemas de archivos ZFS de Administración de Oracle Solaris: tareas comunes.

Cómo se montan los directorios principales en Oracle Solaris 11

Como los directorios principales se crean como sistemas de archivos ZFS en Oracle Solaris 11, por lo general, no es necesario montar manualmente los directorios principales. El directorio principal se monta automáticamente durante la creación y también en el momento del inicio desde el servicio de sistemas de archivos locales SMF. Para obtener instrucciones sobre el montaje manual de un directorio principal del usuario, consulte Montaje manual del directorio principal de un usuario de Administración de Oracle Solaris: tareas comunes.