第1 章• 安全性服务（概述） 31
Solaris 审计
审计是系统安全和可维护性的一个基本概念。审计是一种进程，用于检查系统中的操作和
事件的历史记录，以确定发生的情况。历史记录保存在日志中，其中记录了完成的操作、
完成时间、操作者和受影响的对象。请参见第27 章。
安全策略
本书中短语“安全策略”或“policy（策略）”指组织的安全原则。站点的安全策略是规则
集，可用于定义要处理的信息的敏感度并防止信息受到未经授权的访问。安全技术（如
Solaris 安全Shell、验证、RBAC、授权、特权和资源控制）可提供保护信息的措施。
描述安全技术实现的特定方面时，某些安全技术也使用策略一词。例如，Solaris 审计使用
审计策略选项来配置审计策略的某些方面。下表指向有关使用策略一词描述其实现特定方
面的功能的词汇表、手册页和信息：
表1–1 SolarisOS中使用的策略
词汇表定义选择的手册页详细信息
audit policy（审计策略） audit_control(4)、audit_user(第4)、27a章uditconfig(1M)
policy in the cryptographic
framework（加密框架中的策略）
cryptoadm(1M) 第13 章
device policy（设备策略） getdevpolicy(1M) 第41 页中的“控制对设备的访问
”
Kerberos policy（Kerberos 策略） krb5.conf(4) 第24 章
network policies（网络策略） ipfilter(5)、ifconfig( 1M)、ike.config(4)、ipsecconf(1M),
routeadm( 1M)
《System Administration Guide: IP
Services》中的第IV 部分，“ IP
Security”
password policy（口令策略） passwd(1)、nsswitch.conf(4)、crypt.conf(4)、第36 页中的“维po护li登cy录.c控on制f(”4)
RBAC policy（RBAC 策略） rbac(5) 第221 页中的“exec_attr 数据库
”
Solaris 审计
32 系统管理指南：安全性服务• 2006 年9 月
系统、文件和设备安全性
本部分介绍可以在非联网系统上配置的安全性。以下各章讨论了如何规划、监视和控
制对磁盘、文件及外围设备的访问。
第2 部分
33
34
管理计算机安全性（概述）
保持计算机的信息安全是一项重要的系统管理任务。本章概述了有关管理计算机安全性的
信息。
以下是本章中概述信息的列表：
第35 页中的“Solaris 10 发行版中计算机安全性的增强”
第36 页中的“控制对计算机系统的访问”
第41 页中的“控制对设备的访问”
第43 页中的“控制对计算机资源的访问”
第46 页中的“控制对文件的访问”
第48 页中的“控制网络访问”
第51 页中的“报告安全问题”
Solaris 10 发行版中计算机安全性的增强
从Solaris 9 发行版开始，已经引入了以下功能来增强系统安全：
强口令加密可用并可配置。有关更多信息，请参见第38 页中的“口令加密”。
设备策略通过权限进行了增强。有关更多信息，请参见第42 页中的“设备策略（概
述）”。
对于设备分配，将来的Solaris OS 发行版可能不支持/etc/security/dev 目录。
基本审计报告工具(Basic Audit Reporting Tool, BART) 可以监视系统中文件的真实性。有
关更多信息，请参见第5 章。
文件可以通过强加密进行保护。有关更多信息，请参见第46 页中的“通过加密保护文
件”。
权限在内核级别增强进程权利。有关更多信息，请参见第177 页中的“权限（概述）
”。
Solaris 加密框架集中了提供者和使用者的加密服务。有关更多信息，请参见第13 章。
PAM框架为许多程序（如Solaris 安全Shell）提供功能。有关更多信息，请参见第298 页
中的“Solaris 10 发行版对PAM所做的更改”。
2第2 章
35
Solaris Zones 和资源管理控制对计算机资源的访问。有关更多信息，请参见《System
Administration Guide: Solaris Containers-Resource Management and Solaris Zones》。
控制对计算机系统的访问
在工作场所中，可以将所有与服务器连接的计算机视为一个大型的多功能系统。您要负责
此大型系统的安全性。您需要保护网络，防止其受到尝试访问此网络的外来者的破坏，还
需要确保网络中各计算机上的数据的完整性。
在文件级别，Solaris OS 提供了可用于保护文件、目录和设备的标准安全功能。在系统和网
络级别，安全问题基本相同。第一道安全防线是控制对系统的访问。您可以执行以下操作
来控制和监视系统访问：
第36 页中的“维护物理安全性”
第36 页中的“维护登录控制”
第41 页中的“控制对设备的访问”
第43 页中的“控制对计算机资源的访问”
第46 页中的“控制对文件的访问”
第48 页中的“控制网络访问”
第51 页中的“报告安全问题”
维护物理安全性
要控制对系统的访问，必须维护计算环境的物理安全性。例如，处于登录状态并且无人值
守的系统容易受到未经授权的访问攻击。入侵者可以获取访问操作系统和网络的权限。应
该物理保护计算机环境和计算机硬件，防止其受到未经授权的访问攻击。
您可以保护SPARC 系统，防止硬件设置受到未经授权的访问。使用eeprom 命令要求在访问
PROM 时提供口令。有关更多信息，请参见第68 页中的“如何要求硬件访问口令”。
维护登录控制
您还必须防止对系统或网络进行未经授权的登录，这可以通过指定口令和控制登录来实
现。系统上的所有帐户都应该具有口令。口令是一种简单的验证机制。如果帐户没有设置
口令，则猜中用户名的入侵者可以访问整个网络。强口令算法可防止强力攻击。
用户登录系统时，login 命令会根据/etc/nsswitch.conf 文件中列出的信息检查相应的名称
服务或目录服务数据库。此文件包括以下项：
files－表示本地系统上的/etc 文件
ldap－表示LDAP 服务器上的LDAP 目录服务
nis－表示NIS 主服务器上的NIS 数据库
nisplus－表示NIS+ 根服务器上的NIS+ 数据库
控制对计算机系统的访问
36 系统管理指南：安全性服务• 2006 年9 月
有关nsswitch.conf 文件的说明，请参见nsswitch.conf(4) 手册页。有关名称服务和目录服
务的信息，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS,
and LDAP)》或《System Administration Guide: Naming and Directory Services (NIS+)》。
login 命令会检验用户提供的用户名和口令。如果用户名不在口令文件中，则login 命令会
拒绝对系统进行访问。如果口令对于指定的用户名而言不正确，则login 命令会拒绝对系统
进行访问。当用户提供有效的用户名及其对应口令时，系统会授予此用户访问系统的权
限。
成功登录到系统之后，可使用PAM模块简化应用程序登录。有关更多信息，请参见
第16 章。
Solaris 系统提供了完善的验证和授权机制。有关网络级别的验证和授权机制的介绍，请参
见第49 页中的“远程访问的验证和授权”。
管理口令信息
用户登录系统时，必须提供用户名和口令。尽管登录名是公开的，但是口令必须保密。口
令应该只有每个用户才知道。应该要求用户谨慎选择其口令。用户应该经常更改其口令。
口令最初是在设置用户帐户时创建的。要维护用户帐户的安全性，可以设置口令生命期，
以便强制用户定期更改其口令。还可以通过锁定口令来禁用用户帐户。有关管理口令的详
细信息，请参见《System Administration Guide: Basic Administration》中的第4 章，
“Managing User Accounts and Groups (Overview)”以及passwd( 1) 手册页。
本地口令
如果网络使用本地文件来验证用户，则口令信息保存在系统的/etc/passwd 和/etc/shadow
文件中。用户名和其他信息保存在口令文件/etc/passwd 中。加密的口令本身保存在单独的
阴影文件/etc/shadow 中。这种安全措施可防止用户获取访问加密口令的权限。尽管任何可
以登录到系统的用户都能使用/etc/passwd 文件，但是仅有超级用户或等效角色才能读取
/etc/shadow 文件。可以使用passwd 命令来更改本地系统上的用户口令。
NIS 和NIS+ 口令
如果网络使用NIS 来验证用户，则口令信息保存在NIS 口令列表中。NIS 不支持口令生命
期。可以使用命令passwd -r nis 来更改存储在NIS 口令列表中的用户口令。
如果网络使用NIS+ 来验证用户，则口令信息保存在NIS+ 数据库中。可以通过仅允许授权
用户进行访问来保护NIS+ 数据库中的信息。可以使用passwd -r nisplus 命令来更改存储
在NIS+ 数据库中的用户口令。
LDAP口令
Solaris LDAP 名称服务将口令信息和阴影信息存储在LDAP 目录树的ou=people 容器中。在
Solaris LDAP 名称服务客户机上，可以使用passwd -r ldap 命令来更改用户口令。LDAP 名
称服务将口令存储在LDAP 系统信息库中。
