Жанр: Учеба
SCO: Пособие администратора системы Unix
...просто
используется как среда входа в систему пользователя. Однако,
если среда указана не как путь (как "sh") то принимается
имя "предварительно определенной среды", среды, определен-
ной в подкаталоге каталога /usr/lib/mkuser. Выбор пред-
варительно определенной среды приводит к копированию фай-
лов, связанных со средой (например: .profile для "sh"), в
собственный пользовательский каталог, когда создается
учетной информации этого пользователя.
Home directory (собственный каталог)
Это поле определяет, где будут размещаться файлы пользова-
теля. Нажмите "F3" для того, чтобы получить место располо-
жение файлов по умолчанию.
User ID (идентификатор пользователя)
Определяется системой. (Однажды установленная идентификация
пользователя не может быть изменена, иначе это спутает ве-
дение контроля). Это поле отображается только с информаци-
онной целью.
CPU priority (приоритет для работы процессора)
Распределение процессора: 0 - по умолчанию, значение мень-
шее 0 - больший приоритет. Это значение отрицательное. Оно
соответствует значению nice(C); для получения детальной
смотрите руководство по этому значению. Это поле может из-
меняться, но не может быть пустым. Приоритет может быть из-
менен для того чтобы наказать пользователей, запускающих
программы, которые используют чрезмерно время процессора.
Type of user (тип пользователя)
В большинстве случаев, это или "individual(индивидуум)" или
"pseudo-user(псевдо-пользователь)". По умолчанию принимает-
ся individual. Пользователь с таким типом - реальный поль-
зователь с конкретным именем. Псевдо-пользователь не имеет
имени и имеет учетной информации подобные mmdf. Каждый
псевдо-пользователь должен иметь "ответственного пользовате-
ля", который ответственен по этой учетной информации.
- 10-7a -
Account that may su(C) to this user (учетная информация может
быть su© для этого пользователя).
Пользователь ответственный по этой учетной информации. Это
поле может быть изменено, только в том случае, если пользо-
ватель имеет тип отличный от individual. Для пользователя с
типом individual это поле пустое, но для пользователя с
другим типом оно может и не быть пустым. Это поле содержит
имя пользователя с индивидуальной учетной информацией (не
удаленной). Например основной пользователь должен иметь имя
пользователя, который отвечает по этой учетной информации.
Это значит, что учетная информация не должна быть аноним-
ной; каждый комплект учетной информации должен определять
реальную личность. Нажмите "F3" чтобы получить список меню
всех индивидуальных пользователей системы.
- 10-8 -
Добавление администраторов
Кроме стандартной информации Identity, пользователям, которые
работают как администраторы печати, по учету и др., может
быть назначена ответственность с помощью выбора Privileges. Подсистемы
обсуждаемые в разделе "Изменение прав, принятых по умолчанию"
и назначающие права обсуждаются в следующем разделе.
Изменение/назначение прав пользователей
Подсистема назначения прав обсуждалась ранее в разделе "Изменение
прав, принимаемых по умолчанию" и в большей степени - в
главе "Поддержка защиты системы". Права поддерживаются для того,
чтобы быть присвоенными пользователям, на которых возложена миссия
администратора некоторой подсистемы. Для назначения нового
права некоторому пользователю, выберите:
Права-" Пользователь-" Проверка:Привилегии
после этого отобразится на экране следующая форма:
+-------------------------------------------------------------+
| Authorizations|
| (права) |
| Use default kernel autorizations |
| (используется права ядра, принимаемые по умолчанию) |
| 7 Dec 88 17:51 /usr/auth |
|+-----------View/modify an existing user account------------+|
||(просмотр/изменение существующей учетной информации пользователя)
||+-------------------- Authorizations ---------------------+||
||| (права) |||
||| Username : sample |||
||| (имя пользователя) |||
||| Kernel : Specify Default authorizations: [... ]|||
||| (ядро указать по умолчанию права) |||
||| Subsystem: Specify Default authorizations: [... ]|||
|||(подсистема указать по умолчанию права) |||
||| |||
||| When specifying authorizations |||
||| "F3" will list thos which may |||
||| be selected |||
||| (Когда указываете права нажатие клавиши "F3" |||
||| приведет к отображению меню пользователей, |||
++| которые могут быть выбраны) |++
++ ++
+---------------------------------------------------------+
- 10-9 -
Вы можете выбрать "указать" и нажать "F3" для того, чтобы
открыть окно со списком доступных прав
________________________________________________________________
Примечание
Если Вы перейдете с элемента по умолчанию на указание, значения,
принимаемые по умолчанию разрушатся для этого пользователя;
и только права, которые Вы укажите, станут действительными.
________________________________________________________________
Удаление учетной информации пользователя
На самом деле, пользователь никогда не удаляется из системы.
Некоторый идентификатор однажды назначенный никогда не может
использоваться снова. Вместо этого,пользователю назначается
"удаленный", или пользователь удаляется из обслуживания. Для того,
чтобы вычеркнуть учетную информацию пользователя, осуществите
следующий выбор в sysadmsh:
Учетная информация-" Пользователь-" Удаление
________________________________________________________________
Примечание
Удаленную учетную информацию никогда нельзя активизировать
заново. Это удаление постоянно.
________________________________________________________________
Блокировка/разблокировка учетной информации пользователя
Администратор может заблокировать по своему усмотрению некоторую
учетную информацию. Кроме того, некоторая учетная информация
могут быть автоматически заблокированы при превышении параметров
входа в систему (смотри "Конфигурация учета по
умолчанию"). Если пользователь или терминал заблокированы, только
администратор может их разблокировать. Некоторая учетная информация
может быть заблокирована или разблокирована следующим
выбором из sysadmsh:
Учетная информация-" Пользователь-" Проверка:Входы в систему
На экране отобразится следующая форма:
- 10-10 -
+-----------------------------------------------------------------+
| Logins |
| (Входы в систему) |
| Use the system default limit on unsuccessful login attempt |
| (используйте системные ограничения, принимаемые по умолчанию, |
| при неудачной попытке назначения входов в систему) |
| |
| +-----View/modify an existing user account-----------+ |
| |(просмотр/изменение существующей учетная информации | |
| | пользователя) | |
|+--+----------Login history and locks-------------------+-------+|
|| (История назначения входов в систему и блокировка) ||
|| ||
|| Username : sample ||
||(имя пользователя) ||
|| Last login attempt Location Date/time ||
||(последняя попытка (место- (дата и ||
|| входа в систему ) положение) время) ||
|| ||
|| successful : tty01 Thu 3 jan 1989 08:22: 6 AM ||
|| (успешная) ||
|| unsuccessful : tty2b Mon 7 jan 1989 02:12: 9 AM ||
|| (неуспешная) ||
|| Last logout : tty2b Mon 7 jan 1989 03:19:24 AM ||
||(последний выход ||
|| из системы) ||
|| ||
|| Number of unsuccessful login attempts since last ||
|| successful login: 1(Число неуспешных попыток войти в сис- ||
|| тему с последнего успешного входа) ||
|| Maximum number of unsuccessful attempts before account is ||
|| locked (Максимальное количество неудачных попыток до то- ||
|| го, как они будут заблокированы) ||
|| Specify Default of 6 Value : ||
|| (укажите) (по умолчанию (значение) ||
|| 6) ||
|| Account locked : NO LOCKS ||
||(Блокировка учетной информации : не заблокирована) ||
|| ||
||Lock status[No change] Apply administrative lock Clear all lock||
||(статус (применение административ- (общая разбло-||
||блокировки) ной блокировки) кировка) ||
|+---------------------------------------------------------------+|
+-----------------------------------------------------------------+
- 10-10a -
Переместитесь вниз на поле "статус блокировки" и переключитесь
на применение административной блокировки или общая разблокировка
как потребуется.
Изменение групп пользователей
Для изменения группы входов в систему пользователей, выберите:
Учет-" Пользователь-" Просмотр:Идентификация
На экране отобразится следующая форма:
- 10-11 -
+--------------------------------------------------------------+
| Examine |
| (просмотр) |
|Group associated with this account when the user logs in |
|("F3" for list) (Группа соответствующая этой учетной ин- |
|формации, когда пользователь вошел в систему ("F3" для |
|получения списка)) |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/Изменение существующей учетной информации| |
| |пользователя) | |
|+-+----------------------Identity---------------------+------+|
|| (Идентификация) ||
|| Username : sample ||
||(имя пользователя) ||
|| User ID : 246 Type of user : Individual ||
||(идентификатор (Тип пользователя Индивидуум) ||
|| пользователя) ||
|| Account that may su(C) to this user: NONE ||
||(Учетная информация, которая может быть su(C) для этого||
|| пользователя) ||
|| Login group : [pub] ||
||(группа входа в систему) ||
|| Groups : [adm] ||
||(группы) ||
|| Login shell : [/bin/sh] ||
||(среда входа в систему) ||
|| Home directory: [/usr/sample] ||
||(собственный каталог) ||
|| Comment : [Sample] ||
||(комментарии) ||
|| Priority : Specify [Default] of 0 Value: ||
||(приоритет) (указать) (по умолчанию) (значение) ||
|+------------------------------------------------------------+|
+--------------------------------------------------------------+
Установите курсор на поле, которое Вы должны заполнить (в
этом случае - имя пользователя) до выбора клавиши Identity. Затем
Вы можете изменять поле группы входа в систему как Вам необходимо.
- 10-11a -
Изменение пароля пользователя или параметров пароля
Администратор может изменить пароль пользователя в некоторый
момент времени. Параметры генерации параметров могут быть
также изменены на индивидуальной основе, как только они могут
быть расширением системы. Это определяет как должен быть изменен
пароль. Для того, чтобы это сделать, выберите:
Учетные характеристики-" Пользователь-" Просмотр:Пароль
На экране отобразится следующая форма:
- 10-12 -
+-------------------------------------------------------------+
| Password |
| (пароль) |
| Use the system default maximum password length for |
| this user (Используйте максимальную длину пароля, |
| принимаемую по умолчанию, для этого пользователя) |
| 10 Dec 88 19:33 /usr/auth |
| +-------View/modify an existing user accounts--------+ |
| |(просмотр/изменение существующей учетной информации | |
| |пользователя) | |
|+-+-----------------password selection-----------------+----+|
|| (выбор пароля) ||
|| Username: sample ||
||(имя пользователя) ||
|| Maximum password length: Specify [Default] of 10 Value: ||
||(максимальная длины (указать) (по умолчанию (значение||
|| пароля) 10) ||
|| User can run generator : Yes No [Default] of Yes ||
||(Может пользователь (Да) (Нет) (по умолчанию Да) ||
|| запустить генератор) ||
|| User can choose own : Yes No [Default] of No ||
||(Может ли пользователь (Да) (Нет) (по умолчанию Нет) ||
|| выбирать сам) ||
|| Checked for obviousness: Yes No [Default] of Yes ||
||(Проверка на нетривиаль- (Да) (Нет) (по умолчанию Да) ||
|| ность) ||
|| Current password status: [Keep] Change Disable ||
||(Текущий статус пароля) (сохранить)(изменить)(недоступен) ||
|+-----------------------------------------------------------+|
+-------------------------------------------------------------+
Полное описание параметров пароля Вы можете найти в разделе
"Изменение ограничений по паролю, принимаемых по умолчанию".
Вы можете изменить пароль пользователя, выбрав "Изменение"
в текущем статусе пароля. Это активизирует процедуру изменения
пароля, описанную в конце раздела "Добавление нового пользователя".
Вы можете также сделать "недоступным" пароль, что на самом
деле заблокирует пользователя.
Изменение параметров завершения действия пароля пользователя
Иногда полезно определить параметр завершения действия для
пользователя на значение отличное от значения, принимаемое системой
по умолчанию. Для того, чтобы это сделать, выберите:
Учетная информация-" Пользователь-" Просмотр:Завершение
действия
На экране отобразится следующая форма:
- 10-13 -
+----------------------------------------------------------------+
| Expiration |
| (Завершение действия) |
| Use the system default minimum password lifetime |
| (Используйте минимальное время существования паро- |
| ля, устанавливаемое системой по умолчанию) |
| 10 Dec 88 19:33 /usr/auth |
| +-----View/Modify an existing user account-----+ |
| | (просмотр/модификация существующей учетной | |
| | информации пользователя) | |
|+------+-----------Password life and death------------+--------+|
|| (Время действия пароля и завершение его действия) ||
|| Username : Sample ||
|| (имя пользователя) ||
|| Last password change Date/Time ||
|| (последнее изменение пароля Дата/Время) ||
|| successful Wed Feb 22 09:27:29 1989 ||
|| (успешное) ||
|| unsuccessful NEVER ||
|| (неуспешное) ||
||Maximum days between changes:Specify [Default] of None Value: ||
||(максимальное число дней (укажите)(по умолчанию (значение:)||
||между изменениями ) Нет) ||
||Expiration time (days) :Specify [Default] of 20 Value: ||
||(время действия пароля) (укажите)(по умолчанию (значение:)||
|| 20) ||
||Lifetime (days) :Specify [Default] of 26 Value: ||
||(время существования) (укажите)(по умолчанию (значение:)||
|| 26) ||
|+--------------------------------------------------------------+|
+----------------------------------------------------------------+
Описатели параметра идентичны описателям в разделе по изменению
параметров пароля при системном расширении "Изменение ограничений
на пароль, принятых по умолчанию".
Определение/изменение контрольного параметра для пользова-
теля
Вы можете определить контрольный параметр для индивидуальных
пользователей также как параметр расширения системы. Некоторая
установка определенная для пользователя перекрывает системные
значения принимаемые по умолчанию. Для определения или
изменения параметров контроля, выберите:
Учетная информация-" Пользователь-" Просмотр:Контроль
- 10-14 -
+----------------------------------------------------------------------+
| Audit |
| (контроль) |
| System startup (boots) and shutdown (Запуск и за- |
| вершение работы системы) |
| 7 Dec 88 18:43 /usr/auth |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/редактирование существующей учетной ин-| |
| |формации пользователя) | |
|+--+-------------------Audites events------------------+-------------+|
|| (События, подлежащие контролю) ||
||Username: sample ||
||(имя пользователя) ||
||A.Startup/shutdown [Default] B.Login/Logoff [Default]||
|| (загрузка/завершение) (вход/выход) ||
||C.Process Create/Delete [Default] D.Make Object Available [Default]||
|| (создание/удаление процесса) (сделать объект доступным) ||
||E.Map Object to Subject [Default] F.Object Modification [Default]||
|| (перевести объект в субъект) (изменение объекта) ||
||G.Make Object Unavailable[Default] H.Object Creation [Default]||
|| (сделать объект недоступным) (создание объекта) ||
||I.Object Deletion [Default] J.DAC changes [Default]||
|| (удаление объекта) (изменение DAC) ||
||K.DAC Denials [Default] L.Admin/Operator Actions[Default]||
|| (отказ от DAC (функции администратора/оператора)||
||M.Insufficient Privilege [Default] N.Resource Denials [Default]||
|| (недостаточные привилегии) (отказ от ресурса) ||
||O.IPC Functions [Default] P.Process Modification [Default]||
|| (функции IPC) (изменение процесса) ||
||Q.Audit Subsystem Events [Default] R.Database Events [Default]||
|| (события подсистемы контроля) (события обращения к базе данных)||
||S.Subsystem Events [Default] T.Use of Privilege [Default]||
|| (события подсистемы) (использование привилегии) ||
|+--------------------------------------------------------------------+|
+----------------------------------------------------------------------+
Детальное описание событий, подлежащих контролю, можно найти
в разделе "Использование подсистемы контроля" главы "Поддержка
системной защиты" этого руководства.
Существует три способа установки "Default(по умолчанию)",
"Always(всегда)" и "Never(никогда)". Вы можете использовать клавишу
"F3" для выбора из списка значений или сами набрать вручную.
Аббревиатура также распознается системой (например, "n","nev"
и "N" распознается как NEVER). Для того, чтобы выполнить это назначение,
нажмите "CTL"x. (Если Вы заполните последнее поле этой
формы, назначения, указанной в ней автоматически выполнятся).
- 10-14a -
Добавление/изменение групп
Для того, чтобы добавить группу, надо просто ввести имя новой
группы во время создания или изменения учетной информации по
пользователю. Вы будете предупреждены, что эта группа не существует,
и Вас попросят подтвердить, что Вы создаете новую группу.
Изменение максимального числа групп
По умолчанию, максимальное число групп, в которые объединяются
пользователи,- 8.Это число управляется настраиваемым параметром
ядра NGROUPS. Это значение может быть изменено
активизацией configure и выбором третьей категории: "Файлы, индексные
дескрипторы файлов и файловая система" и изменением этого
значения. Ядро должно быть отредактировано для того, чтобы новое
значение этого параметра имело эффект. Для получения полной инструкции
обратитесь к разделу "Перераспределение ресурсов ядра с
помощью configure" в главе "Настройка работы системы" этого руководства.
- 10-15 -
________________________________________________________________
Конфигурация защиты по умолчанию
Этот раздел посвящен вопросу как выбрать системную защиту,
параметры которой приняты по умолчанию, что включает в себя
принятые по умолчанию схемы пароля, права на обращение к подсистемам
и число попыток входа в систему, разрешенных пользователю.
Поставка Вашей операционной системы приходит к Вам с предварительной
конфигурацией, которая включает в себя набор принимаемых
по умолчанию значений, который определяет схему защиты,
используемую для организации учета. Таблица 10.1 содержит эти
значения, плюс значения определяющие "Relaxed (ослабленную)" защиту
(совместимую с другими, менее защищенными UNIX системами),
которые могут быть выбраны как описано в "Выборе значений ослабленной
защиты, принимаемых по умолчанию":
- 10-15a -
Таблица 10.1
Системные параметры защиты, принимаемые по умолчанию.
+-----------------------------+---------------+----------------+
| Параметры защиты | Relaxed | C2 |
Ф=============================Ь===============Ь================¦
| Пароли | | |
+-----------------------------+---------------+----------------+
| Минимальное число дней меж- | 0 | 14 |
| ду изменениями | | |
| Время действия (дней) | 0 | 42 |
| Время существования | 0 | 365 |
| Максимальная длина пароля | 8 | 10 |
+-----------------------------+---------------+----------------+
| Пользователь может запус- | Yes | Yes |
| кать генератор | | |
| Пользователь может выбирать | Yes | Yes |
| сам | | |
| Проверка пароля на неяв- | No | No |
| ность | | |
| Требуется один пользова- | Yes | Yes |
| тельский пароль | | |
Ф=============================Ь===============Ь================¦
| Входы в систему | | |
+-----------------------------+---------------+----------------+
| Максимальное число неудач- | 99 | 5 |
| ных попыток | | |
| Задержка между попытками | 0 | 2 |
| входа | | |
| | |
...Закладка в соц.сетях
