Di seguito sono riportate informazioni sul funzionamento di ruoli, diritti, privilegi e autorizzazioni in Oracle Solaris 11.
Autorizzazioni di assegnazione e di delega: Oracle Solaris fornisce autorizzazioni per delegare diritti amministrativi specifici per i singoli utenti e ruoli per implementare la separazione dei doveri. In Oracle Solaris 10 le autorizzazioni che terminano con .grant devono delegare un'autorizzazione a un altro utente. A partire da Oracle Solaris 11, vengono utilizzati due nuovi suffissi, .assign e .delegate, ad esempio, solaris.profile.assign e solaris.profile.delegate. Il primo concede il diritto di delegare un profilo con diritti a un utente o un ruolo qualsiasi. L'ultimo è più restrittivo, in quanto consente di delegare solo i profili con diritti già assegnati all'utente corrente. Poiché il ruolo root è assegnato a solaris.*, questo ruolo può assegnare un'autorizzazione a un utente o un ruolo qualsiasi. Come misura di sicurezza, per impostazione predefinita nessuna autorizzazione che termina con .assign viene inclusa in alcun profilo.
Modifiche al comando groupadd: al momento della creazione del gruppo, il sistema assegna l'autorizzazione solaris.group.assign/groupname all'amministratore. Questa autorizzazione concede all'amministratore il controllo completo su tale gruppo e gli consente di modificare o eliminare il nome del gruppo, se necessario. Consultare le pagine man groupadd(1M) e groupmod(1M).
Profilo dei diritti Media Restore: questo profilo con diritti e set di autorizzazioni può aumentare i privilegi di un account non root. Il profilo esiste, ma non è incluso in alcun altro profilo con diritti. Poiché il profilo con diritti Media Restore consente di accedere all'intero file system root, il relativo utilizzo potrebbe consentire un aumento dei privilegi. È possibile ripristinare i file modificati o i supporti sostituiti intenzionalmente. Per impostazione predefinita, il ruolo root include questo profilo con diritti.
Profilo Primary Administrator rimosso: all'utente iniziale creato in fase di installazione vengono assegnati i ruoli e i diritti elencati di seguito.
Ruolo root
Profilo con diritti System Administrator
Accesso al comando sudo per tutti i comandi eseguiti come root
Autenticazione del ruolo: è possibile specificare user o role per la parola chiave roleauth.
È possibile determinare la password assegnata al ruolo root come indicato di seguito.
# userattr roleauth root
L'assenza di output indica che l'account root non è stato personalizzato, ossia che la password è quella predefinita di Oracle Solaris e non quella dell'utente.
Vedere user_attr(4).
root come ruolo: Oracle Solaris 11, root è un ruolo impostazione predefinita e, pertanto, non è anonimo e non può eseguire il login remoto a un sistema. Per informazioni sulla modifica del ruolo root come utente, vedere How to Change the root Role Into a User in Securing Users and Processes in Oracle Solaris 11.2 .
Di seguito sono riportati alcuni dei privilegi di base di Oracle Solaris.
file_read
file_write
net_access
Versioni della shell del profilo di shell regolari: in Oracle Solaris 11, ogni shell regolare dispone della propria versione del profilo. Sono disponibili le shell dei profili riportate di seguito.
pfbash
pfcsh
pfksh
pfksh93
pfrksh93
pfsh
pftcsh
pfzsh
Vedere pfexec(1).
Profili con diritti: i database user_attr, prof_attr e exec_attr sono in modalità sola lettura. Questi database di file locali sono assemblati da frammenti che si trovano in /etc/user_attr.d, /etc/security/prof_attr.d e /etc/security/exec_attr.d. I file dei frammenti non vengono uniti in una versione unica del file, ma rimangono sotto forma di frammenti. Questa modifica consente ai pacchetti di fornire profili con diritti completi o parziali. Le opzioni aggiunte al repository dei file locali con i comandi useradd e profiles vengono aggiunte al file local-entries nella directory dei frammenti. Per aggiungere o modificare un profilo, utilizzare il comando profiles. Vedere Informazioni sui profili con diritti.
Profilo Stop rights: questo profilo consente agli amministratori di creare account con restrizioni. Vedere More About Rights Profiles in Securing Users and Processes in Oracle Solaris 11.2 .
Comando pfsh script: questo comando viene eseguito come il comando pfsh –c script. In precedenza i comandi in uno script non potevano usufruire dei profili con diritti, a meno che nello script non fosse specificata una shell del profilo come prima riga. Questa regola richiedeva di modificare gli script per utilizzare i profili con diritti, operazione ora superflua in quanto il chiamante dello script (o un ascendente nella sessione) può specificare una shell del profilo.
Comando pfexec: questo comando non dispone più delle autorizzazioni setuid root. Il nuovo attributo del processo PF_PFEXEC viene impostato quando si esegue il comando pfexec o una shell del profilo. Il kernel imposta quindi i privilegi appropriati in exec. Questa implementazione garantisce che le shell di livello inferiore siano potenziate o con restrizioni, come appropriato.
Quando il kernel elabora un'opzione exec (2) , considera in modo diverso l'autorizzazione setuid per root. Si noti che l'autorizzazione setuid è impostata su qualsiasi uid o setgid diverso dai precedenti. Il kernel cerca un'opzione nel profilo con diritti Forced Privilege in exec_attr(4) per determinare i privilegi con i quali il programma dovrebbe essere eseguito. Anziché avviare il programma con uid root e tutti i privilegi, il programma viene eseguito con l'uid corrente e solo i privilegi aggiuntivi che il profilo con diritti di esecuzione Forced Privilege ha assegnato a tale nome di percorso.