Die folgenden Informationen beschreiben die Funktionsweise von Rollen, Rechten, Berechtigungen und Autorisierungen in Oracle Solaris 11:
Vergleich zwischen Zuweisen und Delegieren von Autorisierungen – Oracle Solaris stellt Autorisierungen bereit, mit denen bestimmten administrative Rechte einzelnen Benutzern und Rollen delegiert werden, um eine Aufgabentrennung zu implementieren. In Oracle Solaris 10 sind Autorisierungen, die auf .grant enden, zur Delegierung einer Autorisierung an einen anderen Benutzer erforderlich. Ab Oracle Solaris 11 werden zwei neue Suffixe, .assign und .delegate, verwendet; Beispiel: solaris.profile.assign und solaris.profile.delegate. Die erstere erteilt die Berechtigung zur Delegierung eines Rechteprofils an einen Benutzer oder eine Rolle. Die letztere ist restriktiver, insofern als nur die Rechteprofile, die bereits dem aktuellen Benutzer zugewiesen sind, delegiert werden können. Da die Rolle root solaris.* zugewiesen ist, kann diese Rolle jedem Benutzer oder jeder Rolle eine beliebige Autorisierung erteilen. Als Sicherheitsmaßnahme sind standardmäßig keine Autorisierungen, die auf .assign enden, in Profilen enthalten.
groupadd-Befehlsänderungen – Beim Erstellen von Gruppen weist das System dem Administrator die Autorisierung solaris.group.assign/groupname zu. Diese Autorisierung gibt dem Administrator jetzt vollständige Kontrolle über diese Gruppe, sodass der Administrator den groupname nach Bedarf ändern oder löschen kann. Siehe die Manpages groupadd(1M) und groupmod(1M).
Media Restore-Rechteprofil – Dieses Rechteprofil und das Autorisierungsset können die Berechtigungen eines Nicht-root-Kontos eskalieren. Das Profil ist vorhanden, ist jedoch nicht Bestandteil eines anderen Rechteprofils. Da das Media Restore-Rechteprofil Zugriff auf das gesamte Root-Dateisystem bietet, stellt seine Verwendung eine mögliche Berechtigungseskalation dar. Absichtlich geänderte Dateien oder Ersatzmedien könnten wiederhergestellt werden. Standardmäßig umfasst die root-Rolle dieses Rechteprofil.
Primary Administrator-Profil entfernt – Der erste Benutzer, der bei der Installation erstellt wird, erhält die folgenden Rollen und Rechte:
root-Rolle
Rechteprofil System Administrator
Zugriff auf den sudo-Befehl für alle Befehle, die als root ausgeführt werden
Rollenauthentifizierung – Sie können user oder role für das Schlüsselwort roleauth angeben.
Sie können wie folgt bestimmen, welches Passwort der root-Rolle zugewiesen wurde:
# userattr roleauth root
Keine Ausgabe bedeutet, dass das root-Konto nicht angepasst wurde, d.h. das Passwort ist das Oracle Solaris-Standardpasswort und nicht das Passwort des Benutzers.
Siehe user_attr(4).
Root als Rolle – root ist jetzt standardmäßig in Oracle Solaris 11 eine Rolle, somit nicht anonym und kann sich nicht remote bei einem System anmelden. Informationen zur Änderung der root-Rolle für einen Benutzer finden Sie in How to Change the root Role Into a User in Securing Users and Processes in Oracle Solaris 11.2 .
Oracle Solaris-Basisberechtigungen umfassen:
file_read
file_write
net_access
Profilshellversionen von regulären Shells – Jede reguläre Shell verfügt in Oracle Solaris 11 über ihre eigene Profilversion. Die folgenden Profilshells sind verfügbar:
pfbash
pfcsh
pfksh
pfksh93
pfrksh93
pfsh
pftcsh
pfzsh
Siehe pfexec(1).
Rechteprofile – Die Datenbanken user_attr, prof_attr und exec_attr sind schreibgeschützt. Diese aus lokalen Dateien bestehenden Datenbanken werden aus Fragmenten assembliert, die in /etc/user_attr.d, /etc/security/prof_attr.d und /etc/security/exec_attr.d enthalten sind. Die Fragmentdateien werden nicht zu einer einzelnen Version der Datei zusammengeführt, sondern bleiben Fragmente. Durch diese Änderung können Packages vollständige oder teilweise Rechteprofile bereitstellen. Einträge, die zu dem lokalen Datei-Repository mit den Befehlen useradd und profiles hinzugefügt werden, werden der Datei local-entries im Fragmentverzeichnis hinzugefügt. Mit dem Befehl profiles können Sie ein Profil hinzufügen oder ändern. Siehe Informationen zu Rechteprofilen.
Stop-Rechteprofil – Mit diesem Profil können Administratoren eingeschränkte Konten erstellen. Siehe More About Rights Profiles in Securing Users and Processes in Oracle Solaris 11.2 .
pfsh script-Befehl – Dieser Befehl wird wie der Befehl pfsh –c script ausgeführt. Früher konnten Befehle innerhalb eines Skripts die Verwendung von Rechteprofilen nicht nutzen, es sei denn, in dem Skript wurde in der ersten Zeile eine Profilshell angegeben. Aufgrund dieser Regel mussten Sie Skripte ändern, um Rechteprofile nutzen zu können. Dies ist jetzt nicht mehr erforderlich, weil der Aufrufer des Skripts (oder ein Vorgänger innerhalb der Sitzung) eine Profilshell angeben kann.
pfexec-Befehl – Dieser Befehl ist nicht mehr "setuid root". Das neue PF_PFEXEC-Prozessattribut wird festgelegt, wenn der pfexec-Befehl oder eine Profilshell ausgeführt wird. Danach legt der Kernel die entsprechenden Berechtigungen für exec fest. Diese Implementierung stellt sicher, dass Subshells je nachdem ergänzt oder eingeschränkt werden.
Wenn der Kernel eine exec(2) verarbeitet, behandelt er setuid für root unterschiedlich. Beachten Sie, dass setuid für eine andere uid oder setgid unverändert bleibt. Der Kernel sucht nach einem Eintrag im Forced Privilege-Rechteprofil in exec_attr(4), um zu bestimmen, mit welchen Berechtigungen das Programm ausgeführt werden soll. Anstatt zuzulassen, dass das Programm mit uid root und allen Berechtigungen startet, wird das Programm mit der aktuellen uid und nur den zusätzlichen Berechtigungen ausgeführt, die das Forced Privilege-Ausführungsrechteprofil diesem Pfadnamen zugewiesen hat.