必须为用户指定的安全属性

安全管理员角色必须为新用户指定某些安全属性，如下表所示。有关包含缺省值的文件的信息，请参见Trusted Extensions 中的缺省用户安全属性。下表显示了可为用户指定的安全属性以及每项指定所产生的影响。

表 6-2 创建用户后指定的安全属性

Trusted Extensions 中的用户安全属性指定

用户帐户创建之后，安全管理员角色在 Solaris Management Console 中为用户指定安全属性。如果您已经设置了正确的缺省值，则下一步是仅为需要非缺省值的用户指定安全属性。

为用户指定安全属性时，安全管理员会考虑以下信息：

指定口令

安全管理员角色在帐户创建之后为用户帐户指定口令。在此初始指定之后，用户可更改其口令。

在 Oracle Solaris OS 中，可强制用户定期更改其口令。口令生命期选项限制了能够猜测或窃取口令的任何入侵者可能能够非法访问系统的时间长度。此外，设定在更改口令之前需经过的最小时间可防止具有新口令的用户立即恢复为旧口令。有关详细信息，请参见 passwd(1) 手册页。

---

注 - 可以承担角色的用户的口令决不能受制于任何口令生命期约束。

---

分配角色

用户不是必须具有某个角色不可。可以为单个用户指定多个角色（如果这样做符合您的站点的安全策略）。

指定授权

在 Oracle Solaris OS 中，直接为用户指定授权会将这些授权添加至现有授权。在 Trusted Extensions 中，可将授权添加到一个权限配置文件中，然后将该配置文件指定给用户。

指定权限配置文件

在 Oracle Solaris OS 中，配置文件的顺序至关重要。配置文件机制使用帐户配置文件集中的命令或操作的第一个实例。

您可以按照对您有利的方式使用配置文件的排序顺序。如果您希望命令在运行时使用的安全属性不同于在现有配置文件中为该命令定义的安全属性，可创建一个新的配置文件并包含您希望为该命令指定的安全属性。然后，将此新配置文件插入到现有配置文件之前。

---

注 - 不要将包含管理操作或管理命令的权限配置文件指定给一般用户。因为一般用户无法进入全局区域，所以该配置文件将不能正常工作。

---

更改特权缺省值

对于许多站点来说，缺省特权集的限制可能不够严厉。要限制系统上任何一般用户的特权集，请更改 policy.conf 文件设置。要更改各个用户的特权集，请使用 Solaris Management Console。有关示例，请参见如何收缩用户的特权集。

更改标签缺省值

更改用户的标签缺省值会在 label_encodings 文件中创建非用户缺省值。

更改审计缺省值

与在 Oracle Solaris OS 中一样，为用户指定审计类会在系统上创建与在 /etc/security/audit_control 文件中指定的审计类不同的审计类。有关审计的更多信息，请参见第 18 章。

.copy_files 和 .link_files 文件

在 Trusted Extensions 中，这些文件会自动从框架目录仅复制到包含帐户的最小标签的区域中。要确保较高级别标签的区域可使用启动文件，用户或管理员必须创建 .copy_files 和 .link_files 文件。

Trusted Extensions 文件 .copy_files 和 .link_files 用来帮助将启动文件自动复制或链接至帐户的起始目录的每个标签中。每当用户在新标签创建工作区时，updatehome 命令都会读取帐户最小标签的 .copy_files 和 .link_files 的内容。然后，该命令将列出的每个文件复制或链接到标签级别较高的工作区中。

当用户希望在不同的标签使用稍有差别的启动文件时，.copy_files 文件非常有用。例如，当用户在不同的标签使用不同的邮件别名时，应优先采用复制方式。当启动文件在调用它的任何标签都应相同时，.link-files 文件非常有用。例如，当一台打印机用于所有带标签的打印作业时，应优先采用链接方式。有关示例文件，请参见如何在 Trusted Extensions 中为用户配置启动文件。

下面列出了一些您可能希望用户能够复制或链接至较高级别标签的启动文件：