As seguintes informações descrevem como funções, direitos, privilégios e autorizações funcionam no Oracle Solaris 11:
Autorizações assign versus delegate – O Oracle Solaris fornece autorizações que delegam direitos administrativos específicos a usuários individuais e funções para implementar separação de obrigações. No Oracle Solaris 10, autorizações que terminam em .grant são necessárias para delegar uma autorização a um outro usuário. A partir do Oracle Solaris 11, dois novos sufixos, .assign e .delegate, são usados, por exemplo, solaris.profile.assign e solaris.profile.delegate. O primeiro concede o direito de delegar qualquer perfil de direitos a qualquer usuário ou função. O último é mais restritivo, somente os perfis de direitos que já foram atribuídos ao usuário atual podem ser delegados. Já que à função root é atribuído solaris.*, essa função pode atribuir qualquer autorização a qualquer usuário ou função. Como medida de segurança, nenhuma autorização que termine em .assign será incluída em nenhum perfil por padrão.
Alterações no Comando groupadd – Na criação de grupos, o sistema atribui a autorização solaris.group.assign/groupname ao administrador. Essa autorização dá ao administrador controle completo sobre esse grupo, permitindo que o administrador modifique ou exclua o groupname, conforme necessário. Consulte as páginas man groupadd(1M) e groupmod(1M).
Perfil de direitos Media Restore – Esse perfil de direitos e conjunto de autorizações podem escalar os privilégios de uma conta não root. O perfil existe, mas não faz parte de nenhum outro perfil de direitos. Em razão do perfil de direitos Media Restore fornecer acesso ao sistema de arquivos raiz inteiro, seu uso é uma possível escalação de privilégio. Arquivos alterados deliberadamente ou mídia substituta podem ser restaurados. Por padrão, a função root inclui esse perfil de direitos.
Perfil do Administrador Principal removido – O usuário inicial criado no momento da instalação recebe as seguintes funções e direitos:
Função root
Perfil de direitos do Administrador do Sistema
Acesso ao comando sudo para todos os comandos que são executados como root
Autenticação de função – É possível especificar usuário ou função para a palavra-chave roleauth.
É possível determinar qual senha foi atribuída à função root da seguinte forma:
# userattr roleauth root
Sem saída significa que a conta root não foi personalizada, o que significa que a senha é a padrão do Oracle Solaris e não a senha do usuário.
Consulte user_attr(4).
root como uma Função – root é agora uma função por padrão, por isso, não anônima e não pode fazer login remotamente em um sistema. Para obter informações sobre a alteração da função root para um usuário, consulte How to Change the root Role Into a User no Securing Users and Processes in Oracle Solaris 11.2 .
Os privilégios básicos do Oracle Solaris incluem os seguintes:
file_read
file_write
net_access
Versões de perfil de shells regulares – Todo shell regular tem sua própria versão de perfil no Oracle Solaris 11. Os seguintes shells de perfil estão disponíveis:
pfbash
pfcsh
pfksh
pfksh93
pfrksh93
pfsh
pftcsh
pfzsh
Consulte pfexec(1).
Perfis de direitos – Os bancos de dados user_attr, prof_attr e exec_attr são somente leitura. Esses bancos de dados de arquivos locais são montados a partir de fragmentos localizados em /etc/user_attr.d, /etc/security/prof_attr.d e /etc/security/exec_attr.d. Os arquivos de fragmentos não são mesclados em uma versão única do arquivo, mas deixados como fragmentos. Essa alteração permite que pacotes forneçam perfis de direitos completos ou parciais. As entradas adicionadas ao repositório de arquivos locais com os comandos useradd e profiles são adicionadas ao arquivo local-entries no diretório de fragmentos. Para adicionar ou modificar um perfil, use o comando profiles. Consulte Sobre Perfis de Direitos.
Perfil de direitos de interrupção – Este perfil permite que administradores criem contas restritas. Consulte More About Rights Profiles no Securing Users and Processes in Oracle Solaris 11.2 .
Comando pfsh script – Esse comando executa o mesmo que o comando pfsh –c script. Anteriormente, os comandos em um script não seriam capazes de tirar vantagem da utilização dos perfis de direitos, a menos que o script especificasse um shell de perfil como sua primeira linha. Essa regra solicitaria que você modificasse quaisquer scripts para usar perfis de direitos, o que é agora desnecessário porque o chamador do script (ou um antecessor dentro da sessão) pode especificar um shell de perfil.
Comando pfexec – Esse comando não é mais raiz setuid. O novo atributo de processo PF_PFEXEC é definido quando o comando pfexec ou um shell de perfil for executado. Depois, o kernel define os privilégios apropriados em exec. Essa implementação garante que sub-shells sejam capacitadas ou restritas, conforme apropriado.
Quando o kernel estiver processando um exec (2) , ele trata o setuid para root diferentemente. Observe que setuid a qualquer outro uid ou setgid está como estava anteriormente. O kernel pesquisa uma entrada no perfil de direitos Forced Privilege em exec_attr(4) para determinar com quais privilégios o programa deve ser executado. Em vez de o programa iniciar com root uid e todos os privilégios, o programa é executado com o uid atual e somente os privilégios adicionais que o perfil de direitos de execução Forced Privilege atribuiu a esse nome de caminho.