セキュリティーと操作性の問題が、管理者による役割の割り当て方法に影響する可能性があります。
一般に、ユーザーまたは役割は権利プロファイルを介して管理権利を取得しますが、権利を直接割り当てることもできます。
役割とユーザーには、特権を直接割り当てることができます。
特権の割り当てを直接行うことは安全とは言えません。特権が直接割り当てられたユーザーと役割は、カーネルがその特権を要求するときにはいつでもセキュリティーポリシーをオーバーライドできます。また、ユーザーまたは役割のプロセスに損害を与える悪質なプロセスが、カーネルでこの特権が必要な場合はいつでもこの特権を使用できます。
安全なやり方は、特権をコマンドのセキュリティー属性として権利プロファイル内で割り当てる方法です。そうすると、その特権は、その権利プロファイルを持つユーザーが、そのコマンドでのみ使用できます。
役割とユーザーには、承認を直接割り当てることができます。
承認はユーザーレベルで評価されるため、承認の直接割り当ては特権の直接割り当てよりリスクが小さいと言えます。しかし、承認が与えられることで、ユーザーは監査フラグの割り当てなどの高いセキュリティーが求められるタスクも実施できるようになります。セキュリティー強化のため、コマンド実行前にユーザーがパスワードを入力する必要がある認証権利プロファイル内で、承認を割り当てます。
権利を直接割り当てると、操作性に影響を及ぼす可能性があります。
直接割り当てられた承認、およびユーザーの権利プロファイル内のコマンドと承認を有効にするには、プロファイルシェルでこれらを解釈する必要があります。デフォルトでは、ユーザーにはプロファイルシェルが割り当てられません。したがってユーザーは忘れずにプロファイルシェルを開き、そのシェルでコマンドを実行する必要があります。
承認を個々に割り当てる方法には拡張性がありません。また、直接割り当てられた承認は、タスクを実行するには十分でない可能性があります。タスクに特権付きコマンドが必要な場合もあります。
権利プロファイルは、承認と特権付きコマンドをまとめるように設計されています。また、ユーザーグループに合わせて適切に拡大縮小します。