Bases de données RBAC

Les bases de données suivantes stockent les données pour les éléments RBAC :

• Base de données d'attributs utilisateur étendus (user_attr)  : associe des utilisateurs et des rôles à des autorisations, des privilèges, des mots-clés et des profils de droits.

• Base de données d'attributs de profils de droits (prof_attr) : définit les profils de droits, répertorie les autorisations, privilèges et mots-clés affectés aux profils et identifie le fichier d'aide associé.

• Base de données d'attributs d'autorisations(auth_attr)  : définit les autorisations et leurs attributs, et identifie le fichier d'aide associé.

• Base de données d'attributs d'exécution (exec_attr)  : identifie les commandes portant des attributs de sécurité attribués à des profils de droits spécifiques.

La base de données policy.conf contient des autorisations, des privilèges et des profils de droits appliqués à tous les utilisateurs. Pour plus d'informations, reportez-vous à la section Fichier policy.conf.

Bases de données RBAC et services de noms

Le champ d'application du service de noms des bases de données RBAC est défini dans le service SMF pour le commutateur du service de noms, svc:/system/name-service/switch. Les propriétés de ce service pour les bases de données RBAC sont auth_attr, password et prof_attr. La propriété password définit la priorité d'un service de noms pour les bases de données passwd et user_attr. La propriété prof_attr définit la priorité d'un service de noms pour les bases de données prof_attr et exec_attr.

Dans la sortie suivante, les entrées auth_attr, password et prof_attr ne sont pas répertoriées. Par conséquent, les bases de données RBAC utilisent le service de noms files.

# svccfg -s name-service/switch listprop config
config                       application
config/value_authorization   astring       solaris.smf.value.name-service.switch
config/default               astring       files
config/host                  astring       "files ldap dns"
config/printer               astring       "user files ldap"

Base de données user_attr

La base de données user_attr contient des informations sur l'utilisateur et le rôle qui complètent les bases de données passwd et shadow.

Les attributs de sécurité suivants peuvent être définis à l'aide des commandes roleadd, rolemod, useradd, usermod et profiles :

• Dans le cas d'un utilisateur, le mot-clé roles affecte un ou plusieurs rôles définis.

• Pour un rôle, la valeur user du mot-clé roleauth permet au rôle de s'authentifier avec le mot de passe utilisateur plutôt qu'avec le mot de passe du rôle. Par défaut, la valeur est role.

• Pour un utilisateur ou un rôle, les attributs suivants peuvent être définis :

  • mot-clé audit_flags : modifie le masque d'audit. Pour des références, reportez-vous à la page de manuel audit_flags(5).

  • mot-clé auths : affecte des autorisations. Pour des références, reportez-vous à la page de manuel auths(1).

  • mot-clé defaultpriv : ajoute des privilèges ou en supprime du jeu de privilèges de base par défaut. Pour des références, reportez-vous à la section Mise en oeuvre des privilèges.

  • mot-clé limitpriv : ajoute des privilèges ou en supprime du jeu limite de privilèges par défaut. Pour des références, reportez-vous à la section Mise en oeuvre des privilèges.

    Ces privilèges sont toujours en vigueur, ils ne sont pas des attributs d'une commande. Pour des références, reportez-vous à la page de manuel privileges(5) et à la section Mise en oeuvre des privilèges.

  • mot-clé project : ajoute un projet par défaut. Pour des références, reportez-vous à la page de manuel project(4).

  • mot-clé lock_after_retries : si la valeur est yes, le système est verrouillé une fois que le nombre de tentatives a atteint le nombre autorisé dans le fichier /etc/default/login.

  • mot-clé profiles : affecte des profils de droits.

Pour plus d'informations, reportez-vous à la page de manuel user_attr(4). Pour afficher le contenu de cette base de données, utilisez la commande getent user_attr. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Affichage de tous les attributs de sécurité définis.

Base de données auth_attr

Toutes les autorisations sont stockées dans la base de données auth_attr. Les autorisations peuvent être affectées à des utilisateurs, des rôles ou aux profils de droits. La meilleure méthode consiste à placer les autorisations dans un profil de droits, afin d'inclure le profil dans la liste des profils d'un rôle, puis d'affecter le rôle à un utilisateur.

Pour afficher le contenu de cette base de données, utilisez la commande getent auth_attr. Pour en savoir plus, reportez-vous à la page de manuel getent(1M) et à la section Affichage de tous les attributs de sécurité définis.

Base de données prof_attr

La base de données prof_attr contient le nom, la description, l'emplacement du fichier d'aide, les privilèges et les autorisations qui sont affectés à des profils de droits. Les commandes et les attributs de sécurité qui sont affectés à des profils de droits sont stockés dans la base de données exec_attr. Pour plus d'informations, reportez-vous à la section Base de données exec_attr.

Pour plus d'informations, reportez-vous à la page de manuel prof_attr(4). Pour visualiser le contenu de cette base de données, utilisez la commande getent exec_attr. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Affichage de tous les attributs de sécurité définis.

Base de données exec_attr

La base de données exec_attr définit les commandes nécessitant des attributs de sécurité pour la réussite de l'opération. Les commandes font partie d'un profil de droits. Une commande avec ses attributs de sécurité peut être exécutée par les rôles ou utilisateurs auxquels le profil est attribué.

Pour plus d'informations, reportez-vous à la page de manuel exec_attr(4). Pour visualiser le contenu de cette base de données, utilisez la commande getent. Pour plus d'informations, reportez-vous à la page de manuel getent(1M) et à la section Affichage de tous les attributs de sécurité définis.

Fichier policy.conf

Le fichier policy.conf fournit un moyen d'accorder des profils de droits, des autorisations et des privilèges spécifiques à tous les utilisateurs. Les entrées correspondantes dans le fichier sont constitués de paires key=value :

• AUTHS_GRANTED=authorizations : fait référence à une ou plusieurs autorisations.

• PROFS_GRANTED=rights profiles : fait référence à un ou plusieurs profils de droits.

• CONSOLE_USER=Console User : fait référence au profil de droits Console User (utilisateur de la console). Ce profil est fourni avec un ensemble pratique d'autorisations pour l'utilisateur de la console. Vous pouvez personnaliser ce profil. Pour afficher le contenu d'un profil, reportez-vous à la section Profils de droits.

• PRIV_DEFAULT=privileges : fait référence à un ou plusieurs privilèges.

• PRIV_LIMIT=privileges : fait référence à tous les privilèges.

L'exemple suivant illustre certaines valeurs typiques issues de la base de données policy.conf :

# grep AUTHS /etc/security/policy
AUTHS_GRANTED=solaris.device.cdrw

# grep PROFS /etc/security/policy
PROFS_GRANTED=Basic Solaris User

# grep PRIV /etc/security/policy

#PRIV_DEFAULT=basic
#PRIV_LIMIT=all

Pour plus d'informations sur les privilèges, reportez-vous à la section Privilèges (présentation).