Gestión de cuentas de usuario

En esta versión, puede crear y gestionar cuentas de usuario desde la línea de comandos o con User Manager GUI. La GUI reemplaza parte de la funcionalidad de Solaris Management Console y su línea de comandos asociada. Para obtener más información, consulte Gestión de las cuentas de usuario y los entornos de usuario en Oracle Solaris 11.1.

Cambios en la gestión de cuentas de usuario

Las siguientes funciones son nuevas o se han cambiado en esta versión:

• Agregación de User Manager GUI: User Manager GUI forma parte del proyecto Visual Panels y se puede acceder desde el escritorio. La GUI reemplaza parte de la funcionalidad de Solaris Management Console. Consulte el Capítulo 3, Gestión de cuentas de usuarios mediante el uso de la interfaz gráfica de usuario de User Manager (tareas) de Gestión de las cuentas de usuario y los entornos de usuario en Oracle Solaris 11.1.

• Creación de cuentas de usuario: la creación de cuentas de usuario ha cambiado según se indica a continuación.

  • En Oracle Solaris 11, las cuentas de usuario se crean como sistemas de archivos ZFS individuales, lo cual permite a los usuarios tener su propio sistema de archivos y su propio conjunto de datos ZFS. Cada directorio principal que se crea con los comandos useradd y roleadd ubica el directorio principal del usuario en /export/home como un sistema de archivos ZFS individual.

  • El comando useradd depende del servicio de montaje automático, svc:/system/filesystem/autofs, para montar los directorios principales. Este servicio nunca debe deshabilitarse. Cada entrada del directorio principal de un usuario de la base de datos passwd está en el formato /home/username, que es un desencadenador autofs que se resuelve mediante el montador automático con la asignación auto_home.

  • El comando useradd crea automáticamente entradas en el mapa auto_home que se corresponden con el nombre de ruta especificado por la opción -d de este comando. Si el nombre de ruta incluye una especificación de host remoto (por ejemplo, foobar:/export/home/jdoe), el directorio principal para jdoe se debe crear en el sistema foobar. El nombre de ruta predeterminado es localhost:/export/home/usuario. Como /export/home es el punto de montaje de un conjunto de datos ZFS, el directorio principal del usuario se crea como un conjunto de datos ZFS secundario, con el permiso ZFS para tomar instantáneas delegado al usuario. Si se especifica un nombre de ruta que no se corresponde a un conjunto de datos ZFS, se crea un directorio regular. Si se especifica la opción -S ldap, se actualiza la entrada de asignación auto_home en el servidor LDAP en lugar de la asignación auto_home.

• Modificación de cuentas de usuario: en Oracle Solaris 11, el comando usermod funciona con LDAP y archivos. Todos los atributos de seguridad pueden asignarse a un usuario mediante este mecanismo. Por ejemplo, un administrador puede agregar un rol a una cuenta de usuario con el comando usermod.

  # roleadd -K roleauth=user -P "Network Management" netmgt
  # usermod -R +netmgt jdoe

  Consulte usermod(1M) para ver otros ejemplos.

• Creación y gestión de grupos: un administrador que tiene la autorización solaris.group.manage puede crear un grupo. En el momento de la creación de un grupo, el sistema asigna la autorización solaris.group.assign/groupname al administrador, que le brinda control completo sobre dicho grupo. El administrador entonces puede modificar o suprimir ese groupname según sea necesario. Consulte las páginas del comando man groupadd(1M) y groupmod(1M).

• Creación y gestión de roles: los roles se pueden crear de forma local y en un repositorio LDAP. Para crear un rol y asignar una contraseña inicial, se debe tener asignado el perfil de derechos User Management. Para obtener instrucciones sobre cómo crear un rol, consulte Cómo crear un rol de Administración de Oracle Solaris 11.1: servicios de seguridad.

Cambios en inicios de sesión y contraseñas de usuarios

La información de inicio de sesión y la gestión de contraseñas de usuarios han cambiado de las siguientes maneras:

• Refinamientos de definición de propiedades para el comando password: este cambio aclara qué cuentas de usuario pueden y no pueden bloquearse. Los cambios principales impactan en las definiciones de las propiedades LK y NL, de la siguiente manera:

  LK

  La cuenta está bloqueada para la autenticación UNIX. El comando passwd -l se ejecutó o la cuenta se bloqueó automáticamente debido a que el número de errores de autenticación alcanzó el número máximo configurado permitido. Consulte las páginas del comando man policy.conf(4) y user_attr(4).

  NL

  La cuenta es una cuenta no login. El comando passwd -N se ejecutó.

• Notificación de recuento de inicios de sesión fallidos: el sistema envía una notificación a los usuarios acerca de los intentos de autenticación fallidos, incluso si la cuenta de usuario no está configurada para forzar inicios de sesión fallidos. Los usuarios que no se pueden autenticar correctamente, verán en pantalla un mensaje similar al siguiente después de la autenticación correcta:

  Warning: 2 failed authentication attempts since last successful
  authentication. The latest at Thu May 24 12:02 2012.

  Para suprimir las notificaciones de este tipo, cree un archivo ~/.hushlogin.

• Algoritmo de hash de contraseña predeterminado: el algoritmo de hash de contraseña predeterminado ahora es SHA256. Esta contraseña de hash es similar a la siguiente:

  $5$cgQk2iUy$AhHtVGx5Qd0.W3NCKjikb8.KhOiA4DpxsW55sP0UnYD

  Además, ya no existe una limitación de 8 caracteres para las contraseñas de usuario. La limitación de ocho caracteres sólo se aplica a las contraseñas que utilizan el algoritmo crypt_unix(5) anterior, que se ha conservado para la compatibilidad con versiones anteriores con las entradas de archivo passwd y los mapas NIS existentes. A partir de Oracle Solaris 11, el algoritmo crypt_sha256 es el predeterminado.

  Las contraseñas se codifican usando uno de los otros algoritmos crypt(3c), incluido el algoritmo SHA256, que es el predeterminado en el archivo policy.conf. Por lo tanto, las contraseñas ahora pueden ser mucho más largas que ocho caracteres. Consulte policy.conf(4).

Uso compartido de los directorios principales que se crean como sistemas de archivos ZFS

Un recurso compartido NFS o SMB de un sistema de archivos ZFS se crea y se comparte de la siguiente manera:

• Oracle Solaris 11: el recurso compartido del sistema de archivos se crea usando el comando zfs set share. En esta etapa, se pueden definir las propiedades del recurso compartido específico. Si no se definen las propiedades del recurso compartido, se utilizan los valores de propiedad predeterminados.

  Para publicar el recurso compartido NFS o SMB, se deben configurar las propiedades sharenfs o sharesmb El recurso compartido se publica de manera permanente hasta que la propiedad se define como off (desactivada).

• Oracle Solaris 11.1: las siguientes funciones de uso compartido se proporcionan en la versión de agrupación de almacenamiento ZFS 34.

  • La propiedad share.nfs reemplaza a la propiedad sharenfs en versiones anteriores para definir y publicar un recurso compartido NFS.

  • La propiedad share.smb reemplaza a la propiedad sharesmb en versiones anteriores para definir y publicar un recurso compartido SMB.

  • La administración de recursos compartidos ZFS se simplifica mediante la herencia de propiedades ZFS. Si desea compartir el sistema de archivos tank/home, utilice una sintaxis similar a la siguiente:

    # zfs set share.nfs=on tank/home

    El valor de propiedad share.nfs es heredado por cualquier sistema de archivos descendiente.

    # zfs create tank/home/userA
    # zfs create tank/home/userB

Consulte Cómo compartir directorios principales que se crean como sistemas de archivos ZFS de Gestión de las cuentas de usuario y los entornos de usuario en Oracle Solaris 11.1.

Montaje de directorios principales en Oracle Solaris

Como los directorios principales se crean como sistemas de archivos ZFS en Oracle Solaris 11, por lo general, no es necesario montar manualmente los directorios principales. El directorio principal se monta automáticamente durante la creación y también en el momento del inicio desde el servicio de sistemas de archivos locales SMF. Para obtener instrucciones sobre cómo montar manualmente el directorio principal de un usuario, consulte Montaje manual del directorio principal de un usuario de Gestión de las cuentas de usuario y los entornos de usuario en Oracle Solaris 11.1.