Gestion des utilisateurs et des droits (liste des tâches)

Dans Trusted Extensions, vous assumez le rôle d'administrateur de sécurité pour administrer les utilisateurs, les autorisations, les droits et les rôles. La liste des tâches ci-dessous décrit des tâches courantes que vous effectuez pour des utilisateurs travaillant dans un environnement étiqueté.

Modification d'une plage d'étiquettes d'utilisateur

Vous pouvez souhaiter étendre la plage d'étiquettes d'un utilisateur pour lui donner les autorisations en lecture à une application d'administration. Par exemple, un utilisateur autorisé à se connecter à la zone globale peut ensuite visualiser la liste des systèmes qui s'exécutent sur une étiquette particulière. L'utilisateur peut visualiser le contenu mais pas le modifier.

Vous pouvez aussi souhaiter réduire la plage d'étiquettes de l'utilisateur. Par exemple, un utilisateur invité peut être limité à une étiquette.

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

• Effectuez l'une des opérations suivantes :
  • Pour étendre la plage d'étiquettes de l'utilisateur, assignez une autorisation de niveau supérieur.

    # usermod -K min_label=INTERNAL -K clearance=ADMIN_HIGH jdoe

    Vous pouvez également étendre la plage d'étiquettes de l'utilisateur en diminuant l'étiquette minimale.

    # usermod -K min_label=PUBLIC -K clearance=INTERNAL jdoe

    Pour plus d'informations, reportez-vous aux pages de manuel usermod(1M) et user_attr(4).

  • Pour limiter la plage d'étiquettes à une seule étiquette, l'autorisation doit être égale à l'étiquette minimale.

    # usermod -K min_label=INTERNAL -K clearance=INTERNAL jdoe

Création d'un profil de droits pour des autorisations commodes

Lorsque la stratégie de sécurité du site le permet, vous pouvez souhaiter créer un profil de droits contenant des autorisations destinées à des utilisateurs habilités à effectuer des tâches nécessitant une autorisation. Pour permettre à tous les utilisateurs d'un système particulier d'être autorisés, reportez-vous à la section Modification des valeurs par défaut de policy.conf.

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

1. Créez un profil de droits contenant une ou plusieurs des autorisations suivantes.

   Pour la procédure étape par étape, reportez-vous à la section Création d’un profil de droits du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

   Les autorisations suivantes peuvent être utiles pour les utilisateurs :

   • solaris.device.allocate : autorise un utilisateur à allouer un périphérique, tel qu'un microphone ou un CD-ROM.

     Par défaut, les utilisateurs d'Oracle Solaris peuvent lire et écrire sur un CD-ROM. Toutefois, dans Trusted Extensions, seuls les utilisateurs qui peuvent allouer un périphérique peuvent accéder à l'unité de CD-ROM. L'allocation du disque nécessite une autorisation. Par conséquent, pour lire et écrire sur un CD-ROM dans Trusted Extensions, un utilisateur a besoin de l'autorisation Allocate Device.

   • solaris.label.file.downgrade : autorise un utilisateur à diminuer le niveau de sécurité d'un fichier.

   • solaris.label.file.upgrade : autorise un utilisateur à augmenter le niveau de sécurité d'un fichier.

   • solaris.label.win.downgrade : autorise un utilisateur à sélectionner des informations dans un fichier de niveau supérieur et à les placer dans un fichier de niveau inférieur.

   • solaris.label.win.noview : autorise un utilisateur à déplacer des informations sans visualiser les informations déplacées.

   • solaris.label.win.upgrade : autorise un utilisateur à sélectionner les informations d'un fichier de niveau inférieur et à les placer dans un fichier de niveau supérieur.

   • solaris.login.remote : autorise un utilisateur à se connecter à distance.

   • solaris.print.nobanner : autorise un utilisateur à imprimer sur papier sans page de garde.

   • solaris.print.unlabeled  : autorise un utilisateur à imprimer sur papier sans étiquette.

   • solaris.system.shutdown : autorise un utilisateur à arrêter le système et à arrêter une zone.

2. Attribuez le profil de droits à un utilisateur ou à un rôle.

   Pour la procédure étape par étape, reportez-vous à la section Modification des attributs de sécurité d’un utilisateur du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Limitation du jeu de privilèges d'un utilisateur

La sécurité du site peut exiger que les utilisateurs aient moins de privilèges que ceux qui leur sont assignés par défaut. Par exemple, sur un site qui utilise Trusted Extensions sur des systèmes Sun Ray, vous voudrez peut-être empêcher les utilisateurs d'afficher les processus d'autres utilisateurs sur le serveur Sun Ray.

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

• Supprimez un ou plusieurs privilèges dans le jeu basic.

  ---

  Attention - Ne supprimez pas le privilège proc_fork ou proc_exec. Sans ces privilèges, un utilisateur ne peut pas utiliser le système.

  ---

  # usermod -K defaultpriv=basic,!proc_info,!proc_session,!file_link_any

  En supprimant le privilège proc_info, vous empêchez l'utilisateur d'examiner les processus qui n'émanent pas de l'utilisateur. En supprimant le privilège proc_session, vous empêchez l'utilisateur d'examiner les processus à l'extérieur de sa session en cours. En supprimant le privilège file_link_any, vous empêchez l'utilisateur de créer des liens physiques vers des fichiers n'appartenant pas à l'utilisateur.

Voir aussi

Pour obtenir un exemple de collecte des restrictions de privilège dans un profil de droits, reportez-vous aux exemples suivants : Création d’un profil de droits du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Pour restreindre les privilèges de tous les utilisateurs sur un système, reportez-vous à l'Exemple 11-2.

Désactivation du verrouillage du compte pour certains utilisateurs

Effectuez cette procédure pour tous les utilisateurs pouvant prendre un rôle.

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

• Désactivez le verrouillage de comptes pour un utilisateur local.

  # usermod -K lock_after_retries=no jdoe

  Pour désactiver le verrouillage de comptes pour un utilisateur LDAP, spécifiez le référentiel LDAP.

  # usermod -S ldap -K lock_after_retries=no jdoe

Octroi de l'autorisation de modifier le niveau de sécurité de données à un utilisateur

Un utilisateur standard ou un rôle peut être autorisé à modifier le niveau de sécurité ou les étiquettes de fichiers, de répertoires ou de textes sélectionnés. L'utilisateur ou le rôle, en plus d'avoir l'autorisation, doit être configuré pour pouvoir travailler à plus d'une étiquette. Aussi, les zones étiquetées doivent être configurées de façon à autoriser la modification de leur étiquette. Pour connaître la procédure, reportez-vous à la section Octroi de l'autorisation à modifier l'étiquette de fichiers à un utilisateur.

---

Attention - La modification du niveau de sécurité des données est une opération qui nécessite des privilèges. Cette tâche ne peut être effectuée que par des utilisateurs dignes de confiance.

---

Avant de commencer

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

• Assignez le profil de droits Object Label Management (Gestion de l'étiquette des objets) aux utilisateurs et aux rôles appropriés.

  Pour la procédure étape par étape, reportez-vous à la section Modification des attributs de sécurité d’un utilisateur du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Exemple 11-5 Autorisation d'un utilisateur à mettre à niveau l'étiquette d'un fichier sans qu'il puisse procéder à sa rétrogradation

Le profil de droits Object Label Management (Gestion de l'étiquette des objets) permet aux utilisateurs de mettre à niveau ou de rétrograder des étiquettes. Dans cet exemple, l'administrateur autorise un utilisateur de confiance à mettre à niveau des données mais pas à les rétrograder.

L'administrateur crée un profil de droits en fonction du profil Object Label Management (Gestion de l'étiquette des objets) et supprime les autorisations Downgrade File Label (Rétrograder l'étiquette d'un fichier) et Downgrade DragNDrop or CutPaste Info (Rétrograder des informations par glisser-déposer ou couper-coller) du nouveau profil.

# profiles -p "Object Label Management"
profiles:Object Label Management> set name="Object Upgrade"
profiles:Object Upgrade> info auths
...
profiles:Object Upgrade> remove auths="solaris.label.file.downgrade,
solaris.label.win.downgrade"
profiles:Object Upgrade> commit
profiles:Object Upgrade> end

Ensuite, l'administrateur attribue le profil à un utilisateur de confiance.

# usermod -P +"Object Upgrade" jdoe

Suppression d'un compte utilisateur d'un système Trusted Extensions

Lorsqu'un utilisateur est supprimé du système, vous devez vous assurer que le répertoire personnel de l'utilisateur et tous les objets qui lui appartiennent sont également supprimés. Comme alternative à la suppression d'objets appartenant à l'utilisateur, vous pouvez transférer la propriété de ces objets à un utilisateur valide.

Vous devez aussi vous assurer que tous les traitements par lots associés à l'utilisateur sont également supprimés. Aucun objet ou processus appartenant à un utilisateur supprimé ne peut rester sur le système.

Avant de commencer

Vous devez être dans le rôle d'administrateur système dans la zone globale.

1. Archivez le répertoire personnel de l'utilisateur sous chaque étiquette.
2. Archivez les fichiers de courrier de l'utilisateur sous chaque étiquette.
3. Supprimez le compte utilisateur.

   # userdel -r jdoe

4. Dans chaque zone étiquetée, supprimez manuellement les répertoires et fichiers de courrier de l'utilisateur.

   ---

   Remarque - Vous êtes chargé de rechercher et supprimer les fichiers temporaires de l'utilisateur sous toutes les étiquettes, tels que les fichiers dans les répertoires /tmp.

   ---

   Pour plus d'informations, reportez-vous à la section Pratiques de suppression d'un utilisateur.