AIX中基于角色的访问控制，第2部分

如果一个命令包含于特权命令数据库中，那么它将作为一个 RBAC 特权命令。如果一个程序使用了 setuid，并且该程序没有在特权命令数据库中列出，那么它仍然可能分类为特权的，但不能称为 RBAC 特 权命令。

如果一个命令在特权命令数据库中没有任何条目，那么它不是 RBAC 特权命令，并且对它的访问由 DAC 和该命令本身来执行。

如果一个命令包含于特权命令数据库中，但是调用者的会话不具有允许执行该命令的授权，那么在 DAC 和 UID/GUID 检查成功的情况下，将仍然允许执行该命令。

特权文件数据库

在这个部分中，我们将介绍特权文件数据库和 pvi 命令。

使用 DAC 的特权文件管理

通常在 AIX 5L 中，许多系统配置文件都由 root 用户所有，并且利用 DAC 文件权限设置来防止一般 用户对系统配置文件进行修改。

某些系统配置文件使用了命令接口，以便允许对其进行修改和管理。/etc/inittab 文件使用了 DAC， 以便只允许 root 用户对该文件进行写访问。如果需要由 root 用户以外的其他用户对该文件进行更新， 那么可以使用 RBAC 创建一个角色/授权，以便允许执行 inittab 管理命令集，包括由 root 用户以外的 其他用户执行的 chitab、rmitab、lsitab 和 mkitab。

在 AIX 5L 中，并不是所有的系统配置文件都提供了命令接口以实现对文件的修改。需要为这些文件 提供一种工具，允许具有合适授权的管理员直接编辑和保存文件（否则，他们将不能访问该文件）。

使用 RBAC 的特权文件管理

特权文件数据库中包含被管理员定义为需要特权授权的文件的列表。当在本地进行存储时，特权文件 数据库位于 /etc/security/privfiles 文件中。特权文件数据库将特权文件映射为对其进行查看或修改 所需的授权。

pvi 命令使用特权文件数据库来确定任何特权文件的名称和授权模式。

特权文件可能包括不使用单独的命令接口的任何系统配置文件、以及管理员希望对其进行访问限制的 其他文件。

特权文件数据库使用 RBAC 授权作为一种授权或者限制文件访问的方法。

特权文件数据库中所包含的文件应该与相同的 tvi（受信任的 vi，trusted vi）命令一致，并且对 tvi 或者 vi 命令来说，应该是可读的文件。

注意事项：在将文件添加到特权文件数据库之前，该文件必须已经存在。不能使用 pvi 命令创建一个 新的文件。

特权文件数据库的限制

特权文件数据库执行下面的限制：

tvi 命令现有的所有限制都保留于 pvi 命令中。

系统必须运行于增强的 RBAC 模式中。

在通过特权文件数据库对其进行管理时，该文件必须已经存在。不能使用 pvi 命令创建文件。

只有特权文件数据库中所包含的文件才可以由 pvi 命令进行编辑。

pvi 命令一次只允许打开一个文件。

pvi 命令无法使用与文件打开时不同的名称保存该文件。

不能使用 pvi 命令来编辑特权文件数据库。

使用 pvi 命令只能打开常规文件。不能使用 pvi 命令打开文件链接。

pvi 命令不支持用户定义的宏。

特权文件数据库仅支持读授权 (readauth) 和写授权 (writeauth)。

在授予 writeauth 权限时，其中隐含了 readauth，但是该授权将不会更新到 /etc/security/privfiles 文件的 readauth 节中。

（编辑：源码网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!