Transizione da Oracle® Solaris 10 a Oracle Solaris 11.2

Uscire dalla vista stampa

Aggiornato: Dicembre 2014
 
 

Ruoli, diritti, privilegi e autorizzazioni

    Di seguito sono riportate informazioni sul funzionamento di ruoli, diritti, privilegi e autorizzazioni in Oracle Solaris 11.

  • Autorizzazioni di assegnazione e di delega: Oracle Solaris fornisce autorizzazioni per delegare diritti amministrativi specifici per i singoli utenti e ruoli per implementare la separazione dei doveri. In Oracle Solaris 10 le autorizzazioni che terminano con .grant devono delegare un'autorizzazione a un altro utente. A partire da Oracle Solaris 11, vengono utilizzati due nuovi suffissi, .assign e .delegate, ad esempio, solaris.profile.assign e solaris.profile.delegate. Il primo concede il diritto di delegare un profilo con diritti a un utente o un ruolo qualsiasi. L'ultimo è più restrittivo, in quanto consente di delegare solo i profili con diritti già assegnati all'utente corrente. Poiché il ruolo root è assegnato a solaris.*, questo ruolo può assegnare un'autorizzazione a un utente o un ruolo qualsiasi. Come misura di sicurezza, per impostazione predefinita nessuna autorizzazione che termina con .assign viene inclusa in alcun profilo.

  • Modifiche al comando groupadd: al momento della creazione del gruppo, il sistema assegna l'autorizzazione solaris.group.assign/groupname all'amministratore. Questa autorizzazione concede all'amministratore il controllo completo su tale gruppo e gli consente di modificare o eliminare il nome del gruppo, se necessario. Consultare le pagine man groupadd(1M) e groupmod(1M).

  • Profilo dei diritti Media Restore: questo profilo con diritti e set di autorizzazioni può aumentare i privilegi di un account non root. Il profilo esiste, ma non è incluso in alcun altro profilo con diritti. Poiché il profilo con diritti Media Restore consente di accedere all'intero file system root, il relativo utilizzo potrebbe consentire un aumento dei privilegi. È possibile ripristinare i file modificati o i supporti sostituiti intenzionalmente. Per impostazione predefinita, il ruolo root include questo profilo con diritti.

  • Profilo Primary Administrator rimosso: all'utente iniziale creato in fase di installazione vengono assegnati i ruoli e i diritti elencati di seguito.

    • Ruolo root

    • Profilo con diritti System Administrator

    • Accesso al comando sudo per tutti i comandi eseguiti come root

  • Autenticazione del ruolo: è possibile specificare user o role per la parola chiave roleauth.

    È possibile determinare la password assegnata al ruolo root come indicato di seguito.

    # userattr roleauth root

    L'assenza di output indica che l'account root non è stato personalizzato, ossia che la password è quella predefinita di Oracle Solaris e non quella dell'utente.

    Vedere user_attr(4).

  • root come ruolo: Oracle Solaris 11, root è un ruolo impostazione predefinita e, pertanto, non è anonimo e non può eseguire il login remoto a un sistema. Per informazioni sulla modifica del ruolo root come utente, vedere How to Change the root Role Into a User in Securing Users and Processes in Oracle Solaris 11.2 .

  • Di seguito sono riportati alcuni dei privilegi di base di Oracle Solaris.

    • file_read

    • file_write

    • net_access

  • Versioni della shell del profilo di shell regolari: in Oracle Solaris 11, ogni shell regolare dispone della propria versione del profilo. Sono disponibili le shell dei profili riportate di seguito.

    • pfbash

    • pfcsh

    • pfksh

    • pfksh93

    • pfrksh93

    • pfsh

    • pftcsh

    • pfzsh

    Vedere pfexec(1).

  • Profili con diritti: i database user_attr, prof_attr e exec_attr sono in modalità sola lettura. Questi database di file locali sono assemblati da frammenti che si trovano in /etc/user_attr.d, /etc/security/prof_attr.d e /etc/security/exec_attr.d. I file dei frammenti non vengono uniti in una versione unica del file, ma rimangono sotto forma di frammenti. Questa modifica consente ai pacchetti di fornire profili con diritti completi o parziali. Le opzioni aggiunte al repository dei file locali con i comandi useradd e profiles vengono aggiunte al file local-entries nella directory dei frammenti. Per aggiungere o modificare un profilo, utilizzare il comando profiles. Vedere Informazioni sui profili con diritti.

  • Profilo Stop rights: questo profilo consente agli amministratori di creare account con restrizioni. Vedere More About Rights Profiles in Securing Users and Processes in Oracle Solaris 11.2 .

  • Comando pfsh script: questo comando viene eseguito come il comando pfsh –c script. In precedenza i comandi in uno script non potevano usufruire dei profili con diritti, a meno che nello script non fosse specificata una shell del profilo come prima riga. Questa regola richiedeva di modificare gli script per utilizzare i profili con diritti, operazione ora superflua in quanto il chiamante dello script (o un ascendente nella sessione) può specificare una shell del profilo.

  • Comando pfexec: questo comando non dispone più delle autorizzazioni setuid root. Il nuovo attributo del processo PF_PFEXEC viene impostato quando si esegue il comando pfexec o una shell del profilo. Il kernel imposta quindi i privilegi appropriati in exec. Questa implementazione garantisce che le shell di livello inferiore siano potenziate o con restrizioni, come appropriato.

    Quando il kernel elabora un'opzione exec (2) , considera in modo diverso l'autorizzazione setuid per root. Si noti che l'autorizzazione setuid è impostata su qualsiasi uid o setgid diverso dai precedenti. Il kernel cerca un'opzione nel profilo con diritti Forced Privilege in exec_attr(4) per determinare i privilegi con i quali il programma dovrebbe essere eseguito. Anziché avviare il programma con uid root e tutti i privilegi, il programma viene eseguito con l'uid corrente e solo i privilegi aggiuntivi che il profilo con diritti di esecuzione Forced Privilege ha assegnato a tale nome di percorso.