Le contrôle d'accès par rôles ou RBAC (Role-Based Access Control) de Solaris introduit avec Solaris 8 permet d'attribuer des privilèges aux utilisateurs pour leur permettre d'agir dans un certain nombre de domaines avec les mêmes droits que ceux dont dispose l'administrateur système. RBAC qui fonctionne en mode « userland » sous Solaris 8 et 9 et repose sur l'identité (uid) et les permissions a été modifié en profondeur dans Solaris 10 qui introduit un modèle de privilèges « Process Rights Management » au niveau « kernel ». Ce modèle remplace le privilège lié à l'uid zéro par un ensemble de privilèges pouvant être individuellement délégués ou révoqués. La compatibilité ascendante avec le modèle super-user est maintenue en accordant à ce dernier la totalité de ces privilèges.Avec RBAC et les privilèges, Solaris 10 entre dans le 21 siècle avec les dispositifs permettant de définir le degré de sécurité adaptés aux exigences les plus strictes : être ou ne pas être root n'est plus la question, puisqu'il devient possible de mettre en œuvre une politique du moindre privilège chaque fois qu'on le jugera nécessaire.
Vu de l'administrateur système, RBAC est visible par :
- cinq nouveaux fichiers de configuration :
/etc/security/auth_attr
/etc/security/prof_attr
/etc/security/exec_attr
/etc/user_attr
/etc/security/policy.conf
- des shells modifiés permettant la prise en compte du rôle :
/usr/bin/pfsh
/usr/bin/pfcsh
/usr/bin/pfksh
- une commande suid pfexec permettant de prendre en compte un profil d'exécution :
/usr/bin/pfexec
- des commandes d'administration :
useradd, roleadd
usermod, rolemod
userdel, roledel
- des commandes utilisables sans privilèges :
roles
profiles
auths
Dans l'exposé qui suit, nous allons nous intéresser tout d'abord au rôle du fichier /etc/security/exec_attr.
1. Le fichier /etc/security/exec_attr
Ce fichier contient la définition d'un certain nombre de profils d'exécution prédéfinis. L'examen de ce fichier permet de comprendre qu'un profil est défini par un nom comme...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
