Privilegios en una zona no global

Idioma:

Los procesos se restringen a un subconjunto de privilegios. La limitación de privilegios impide que una zona lleve a cabo operaciones que podrían afectar a otras zonas. El conjunto de privilegios limita las funciones de los usuarios con privilegios en la zona. La utilidad ppriv permite ver la lista de los privilegios disponibles de una zona determinada.

La tabla siguiente enumera todos los privilegios de Oracle Solaris y el estado de cada privilegio con respecto a las zonas. Los privilegios opcionales no forman parte del conjunto de privilegios predeterminado, pero se pueden especificar con la propiedad limitpriv. Los privilegios necesarios deben incluirse en el conjunto de privilegios resultante. Los privilegios prohibidos no se pueden incluir en el conjunto de privilegios resultante.

Tabla 10-1 Estado de los privilegios en las zonas

Privilegio	Estado	Notas
`cpc_cpu`	OPCIONAL	Acceso a algunos contadores de `cpc`(3CPC)
`dtrace_proc`	OPCIONAL	Proveedores `fasttrap` y `pid`; `plockstat`(1M)
`dtrace_user`	OPCIONAL	Proveedores `profile` y `syscall`
`file_flag_set`	OPCIONAL	Permite a un proceso para definir atributos de un archivo: immutable, nounlink o appendonly, se puede utilizar para marcar archivos como inmutables en la zona global y la zona no global no podrá eliminar los archivos.
`graphics_access`	OPCIONAL	Acceso `ioctl`(2) a `agpgart_io`(7I)
`graphics_map`	OPCIONAL	Acceso `mmap`(2) a `agpgart_io`(7I)
`net_rawaccess`	Opcional en zonas de IP compartida. Predeterminado en zonas de IP exclusiva.	Acceso de paquetes básico `PF_INET/PF_INET6`
`proc_clock_highres`	OPCIONAL	Uso de temporizadores de alta resolución
`proc_priocntl`	OPCIONAL	Control de planificación; `priocntl`(1)
`sys_ipc_config`	OPCIONAL	Aumento de tamaño de memoria intermedia de cola de mensajes IPC
`sys_time`	OPCIONAL	Manipulación del tiempo del sistema; `xntp`(1M)
`dtrace_kernel`	Prohibido	No se admite actualmente
`proc_zone`	Prohibido	No se admite actualmente
`sys_config`	Prohibido	No se admite actualmente
`sys_devices`	Prohibido	No se admite actualmente
`sys_dl_config`	Prohibido	No se admite actualmente
`sys_linkdir`	Prohibido	No se admite actualmente
`sys_net_config`	Prohibido	No se admite actualmente
`sys_res_config`	Prohibido	No se admite actualmente
`sys_smb`	Prohibido	No se admite actualmente
`sys_suser_compat`	Prohibido	No se admite actualmente
`file_read`	Requerido, predeterminado	Permite a un proceso leer un archivo o directorio cuyo permiso o ACL permite que el proceso lea el permiso
`file_write`	Requerido, predeterminado	Permite a un proceso escribir un archivo o directorio cuyo permiso o ACL permite que el proceso escriba el permiso
`net_access`	Requerido, predeterminado	Permite que un proceso abra un punto final de red TCP, UDP, SDP o SCTP
`proc_exec`	Requerido, predeterminado	Se utiliza para iniciar `init`(1M)
`proc_fork`	Requerido, predeterminado	Se utiliza para iniciar `init`(1M)
`sys_mount`	Requerido, predeterminado	Se necesita para montar los sistemas de archivos necesarios
`sys_flow_config`	Requerido, predeterminado en zonas de IP exclusiva Prohibido en zonas de IP compartida	Se necesita para configurar los flujos
`sys_ip_config`	Requerido, predeterminado en zonas de IP exclusiva Prohibido en zonas de IP compartida	Se necesita para iniciar la zona e iniciar las redes IP en una zona de IP exclusiva
`sys_iptun_config`	Requerido, predeterminado en zonas de IP exclusiva Prohibido en zonas de IP compartida	Configuración de enlaces de túneles de IP
`contract_event`	Predeterminado	Lo utiliza el sistema de archivos de contrato
`contract_identity`	Predeterminado	Valor de servicio FMRI establecido de una plantilla de contrato de proceso
`contract_observer`	Predeterminado	Cumplimiento de contratos al margen de UID
`file_chown`	Predeterminado	Cambios de propiedad de archivos
`file_chown_self`	Predeterminado	Cambios de propietario/grupo para los propios archivos
`file_dac_execute`	Predeterminado	Acceso de ejecución al margen del modo/LCA
`file_dac_read`	Predeterminado	Acceso de lectura al margen del modo/LCA
`file_dac_search`	Predeterminado	Acceso de búsqueda al margen del modo/LCA
`file_dac_write`	Predeterminado	Acceso de escritura al margen del modo/LCA
`file_link_any`	Predeterminado	Acceso de vínculos al margen del propietario
`file_owner`	Predeterminado	Otro acceso al margen del propietario
`file_setid`	Predeterminado	Cambios de permisos para los archivos `setid`, `setgid`, `setuid`
`ipc_dac_read`	Predeterminado	Acceso de lectura IPC al margen del modo
`ipc_dac_write`	Predeterminado	Permite que un proceso escriba una cola de mensaje de System V IPC, un conjunto de semáforos o un segmento de memoria compartida en el que los bits de los permisos no permitirían la escritura de permisos de otra forma.
`ipc_dac_owner`	Predeterminado	Acceso de escritura IPC al margen del modo
`ipc_owner`	Predeterminado	Otro acceso IPC al margen del modo
`net_icmpaccess`	Predeterminado	Acceso al paquete ICMP: `ping`(1M)
`net_observability`	Predeterminado	Permite que un proceso abra un dispositivo para recibir el tráfico de red; no se permite el envío de tráfico
`net_privaddr`	Predeterminado	Vinculación a puertos con privilegios
`proc_audit`	Predeterminado	Generación de registros de auditoría
`proc_chroot`	Predeterminado	Cambio del directorio `root`
`proc_info`	Predeterminado	Examen de procesos
`proc_lock_memory`	Predeterminado	Bloqueo de memoria; `shmctl`(2) y `mlock`(3C) Si el administrador de zona asigna este privilegio a una zona no global, debe considerar también la configuración del control de recurso `zone.max-locked-memory` para evitar que la zona bloquee toda la memoria.
`proc_owner`	Predeterminado	Control de procesos al margen del propietario
`proc_session`	Predeterminado	Control de procesos al margen de la sesión
`proc_setid`	Predeterminado	Configuración de ID de usuario/grupo según sea preciso
`proc_taskid`	Predeterminado	Asignación de ID de tareas al programa de llamada
`sys_acct`	Predeterminado	Administración de cuentas
`sys_admin`	Predeterminado	Tareas de administración del sistema simples
`sys_audit`	Predeterminado	Administración de auditoría
`sys_nfs`	Predeterminado	Compatibilidad con cliente NFS
`sys_ppp_config`	Predeterminado en zonas de IP exclusiva Prohibido en zonas de IP compartida	Crear y destruir interfaces PPP (sppp), configurar túneles PPP (sppptun)
`sys_resource`	Predeterminado	Manipulación de límites de recursos
`sys_share`	Predeterminado	Permite la llamada del sistema `sharefs` necesaria para compartir sistemas de archivos. Privilegio que se puede prohibir en la configuración de la zona para evitar el uso compartido de NFS dentro de una zona.

En la tabla siguiente se enumeran todos los privilegios de Oracle Solaris Trusted Extensions y el estado de cada privilegio con respecto a las zonas. Los privilegios opcionales no forman parte del conjunto de privilegios predeterminado, pero se pueden especificar con la propiedad limitpriv.

Notas - Los privilegios de Oracle Trusted Solaris sólo se interpretan si el sistema está configurado con Oracle Trusted Extensions.

Tabla 10-2 Estado de los privilegios de Oracle Solaris Trusted Extensions en zonas

Privilegio de Oracle Solaris Trusted Extensions	Estado	Notas
`file_downgrade_sl`	OPCIONAL	Ajusta la etiqueta de sensibilidad del archivo o directorio a una etiqueta de sensibilidad que no domina la etiqueta de sensibilidad existente
`file_upgrade_sl`	OPCIONAL	Ajusta la etiqueta de sensibilidad del archivo o directorio a una etiqueta de sensibilidad que domina la etiqueta de sensibilidad existente
`sys_trans_label`	OPCIONAL	Traslada etiquetas no controladas por la etiqueta de seguridad
`win_colormap`	OPCIONAL	Modifica restricciones de asignaciones de color
`win_config`	OPCIONAL	Configura o destruye recursos que conserva el servidor X de forma permanente
`win_dac_read`	OPCIONAL	Lee el recurso de ventana que no es propiedad del ID de usuario del cliente
`win_dac_write`	OPCIONAL	Lee o crea el recurso de ventana que no es propiedad del ID de usuario del cliente
`win_devices`	OPCIONAL	Lleva a cabo operaciones en los dispositivos de entrada.
`win_dga`	OPCIONAL	Utiliza las extensiones del protocolo X de acceso a gráficos directo; se necesitan privilegios de búfer de trama
`win_downgrade_sl`	OPCIONAL	Cambia la etiqueta de seguridad del recurso de ventana a una nueva etiqueta controlada por la etiqueta existente
`win_fontpath`	OPCIONAL	Añade una ruta de fuente adicional
`win_mac_read`	OPCIONAL	Lee el recurso de ventana con una etiqueta que controla la etiqueta del cliente
`win_mac_write`	OPCIONAL	Escribe en el recurso de ventana con una etiqueta diferente a la del cliente
`win_selection`	OPCIONAL	Solicita movimientos de datos sin intervención del confirmador
`win_upgrade_sl`	OPCIONAL	Cambia la etiqueta de seguridad del recurso de ventana a una nueva etiqueta no controlada por la etiqueta existente
`net_bindmlp`	Predeterminado	Permite la vinculación a un puerto multinivel (MLP)
`net_mac_aware`	Predeterminado	Permite la lectura mediante NFS

Para modificar los privilegios de una configuración de zona no global, consulte Configuración, verificación y confirmación de una zona.

Para examinar los conjuntos de privilegios, consulte Uso de la utilidad ppriv. Para obtener más información acerca de los privilegios, consulte la página del comando man ppriv(1) y System Administration Guide: Security Services.