Erweiterte RBAC verwenden

Online bearbeiten

Systemadministratoren sollten mit den folgenden Bereichen vertraut sein, um die erweiterte rollenbasierte Zugriffssteuerung effektiv nutzen zu können.

RBAC-Berechtigungen
Berechtigungen sind ein wichtiger Bestandteil der rollenbasierten Zugriffssteuerung (Role Based Access Control, RBAC). Das Betriebssystem verwendet Berechtigungszeichenfolgen, um die Eignung zu bestimmen, bevor eine privilegierte Operation durchgeführt wird. Zugehörige Prüfungen können explizit im Code oder vom Ladeprogramm ausgeführt werden, wenn geschützte privilegierte ausführbare Dateien ausgeführt werden.
RBAC-Rollen
Rollen sind der Mechanismus, der verwendet wird, um einem Benutzer Berechtigungen zuzuweisen und eine Gruppe von Systemverwaltungstasks zu gruppieren. Eine AIX® ist in erster Linie ein Container für eine Sammlung von Berechtigungen.
RBAC-Berechtigungen
Das erweiterte RBAC-Framework stützt sich in hohem Maße auf Systemberechtigungen, damit nicht privilegierte Benutzer privilegierte Tasks ausführen können. Ein Zugriffsrecht ist ein Mechanismus, der verwendet wird, um eine erweiterte Funktionalität in Systemaufrufen zu erteilen.
Datenbank für privilegierte Befehle
Mit Berechtigungen, Rollen und Berechtigungen können differenzierte Sicherheitsmaßnahmen implementiert werden. Bei der Nutzung von RBAC durch verschiedene Systemoperationen kann jedoch eine RBAC-Sicherheitsrichtlinie erzwungen werden.
Datenbank für privilegierte Einheiten
Die Datenbank für privilegierte Einheiten speichert die Liste der Berechtigungen, die Lese-oder Schreibzugriff auf eine Einheit haben dürfen. Diese Datenbank ist ein Mechanismus, mit dem ein Administrator den Zugriff auf eine Einheit, die über Einheitenzugriffssteuerungen verwaltet werden können, differenzierter steuern kann.
Privilegierte Dateidatenbank
Viele Systemkonfigurationsdateien in traditionellen UNIX-Systemen sind Eigentum des Root-Benutzers und können von anderen Benutzern nicht direkt geändert werden. RBAC ermöglicht es einem Benutzer, diese Systemkonfigurationsdateien zu ändern, indem eine Rolle aktiviert und ein Befehl ausgeführt wird, um die Berechtigungen zu erhalten, die zum Ändern der Datei erforderlich sind.
Kernelsicherheitstabellen
Die Informationen, die in den Berechtigungs-, Rollen-, privilegierten Befehls-und privilegierten Einheitendatenbanken enthalten sind, werden erst dann für Sicherheitsaspekte verwendet, wenn die Daten in einen Bereich des Kernels geladen wurden, der als Kernelsicherheitstabellen (KST) definiert ist. Im erweiterten RBAC-Modus werden Prüfungen auf Berechtigen und Zugriffsrechte im Kernel ausgeführt, so dass die Datenbanken an den Kernel gesendet werden müssen, bevor sie verwendet werden können.
Rootbenutzer inaktivieren
Im erweiterten RBAC-Modus kann das System so konfiguriert werden, dass der Rootbenutzer über keine Sonderberechtigungen verfügt und vom System als normaler Benutzer behandelt wird.
Unterstützung für ferne RBAC-Datenbanken
In einer Unternehmensumgebung ist es wünschenswert, eine allgemeine Sicherheitsrichtlinie auf allen Systemen in der Umgebung implementieren und durchsetzen zu können. Wenn die Datenbanken, die die Richtlinie steuern, unabhängig voneinander auf jedem System gespeichert werden, wird die Verwaltung der Sicherheitsrichtlinie für den designierten Systemadministrator eine Belastung. AIX Der erweiterte RBAC-Modus ermöglicht die Speicherung der RBAC-Datenbanken in LDAP, sodass die Sicherheitsrichtlinie für alle Systeme in der Umgebung zentral verwaltet werden kann.
Größenbegrenzungen in erweiterter RBAC
In der folgenden Tabelle sind die verschiedenen Begrenzungen für RBAC-bezogene Elemente aufgelistet:
Erweiterte RBAC verwalten
In diesem Abschnitt werden allgemeine Einsatzszenarios für die Befehlszeile für die Verwaltung von RBAC beschrieben. Diese Beispiele veranschaulichen wichtige Aspekte der Funktionalität. SMIT-Schnittstellen werden auch für die RBAC-Verwaltung bereitgestellt. Der Direktaufruf von RBAC-SMIT-Menüs ist smit rbac.

Übergeordnetes Thema: Rollenbasierte Zugriffssteuerung