Control del acceso a los archivos

Definición de la pertenencia a un grupo

Los usuarios del sistema se pueden dividir en grupos de trabajo para que, además de poder compartir los archivos que posean los miembros de un grupo dado, dichos archivos permanezcan protegidos contra el acceso de usuarios que no pertenezcan al grupo en cuestión. El número de pertenencia a un grupo primario del usuario se incluye en forma de entrada en el archivo /etc/passwd. La información sobre el grupo se define en los archivos /etc/group y /etc/logingroup.

Los usuarios que sean miembros de más de un grupo, tal como se especifique en /etc/group, pueden cambiar el grupo actual con el comando /usr/bin/newgrp. No hay que utilizar el comando newgrp si los grupos de usuarios se definen en el archivo /etc/logingroup. Si no se dividen los usuarios del sistema en grupos de trabajo independientes, es costumbre configurar un grupo (por lo general, denominado users) y asignar todos los usuarios del sistema a dicho grupo.

Puede utilizar la interface HP SMH para agregar, eliminar o modificar la pertenencia a un grupo.

Para cambiar manualmente la pertenencia a un grupo, modifique el archivo /etc/group y, opcionalmente, el archivo /etc/logingroup con un editor de texto, por ejemplo, vi. Aunque se puede escribir una contraseña de grupo en /etc/group, no se recomienda hacerlo. Para evitar tener que mantener varios archivos, puede enlazar /etc/logingroup con /etc/group. Para ampliar la información sobre los archivos /etc/group y /etc/logingroup, consulte la página de manual de group(4). Para obtener información sobre cómo enlazar archivos, consulte las páginas de manual de link(1M) y ln(1).

Puede asignar privilegios especiales a un grupo de usuarios por medio del comando /usr/sbin/setprivgrp. Para obtener más información, consulte las páginas de manual de chown(1), getprivgrp(1), setprivgrp(1M), chown(2), getprivgrp(2), lockf(2), plock(2), plock(2), rtprio(2), setgid(2), setgid(2), setprivgrp(2), setuid(2), shmctl(2) y shmctl(2).

Definición de permisos de acceso a los archivos

El comando /usr/bin/chmod cambia el tipo de acceso (privilegios de lectura, escritura y ejecución) del propietario del archivo, los miembros del grupo o los demás. El único que puede cambiar sus propios privilegios de lectura, escritura y ejecución es el propietario del archivo (o el superusuario). Para obtener detalles, consulte la página de manual de chmod(1).

Por defecto, los archivos nuevos cuentan con permiso de lectura/escritura para todos (-rw-rw-rw-) y los directorios nuevos tienen permiso de lectura/escritura/ejecución para todos (drwxrwxrwx). Los permisos de acceso a archivos por defecto se pueden cambiar con el comando /usr/bin/umask. Para obtener detalles, consulte la página de manual de umask(1). El valor por defecto para los sistemas de confianza es diferente; consulte el documento Guía del administrador de sistemas HP-UX: Administración de la seguridad.

Definición de la propiedad de los archivos

El comando /usr/bin/chown cambia la titularidad de un usuario (y grupo) de archivo. Para cambiar el usuario, debe ser propietario del archivo (y pertenecer a un grupo con el privilegio CHOWN) o tener privilegios de superusuario.

El comando /usr/bin/chgrp cambia la propiedad de un grupo de archivos. Para cambiar el grupo, debe ser propietario del archivo (y pertenecer a un grupo con el privilegio CHOWN) o tener privilegios de superusuario.

Para obtener más información, consulte las páginas de manual de chown(1) y chgrp(1).

Definición de las listas de control de acceso

Las listas de control de acceso (ACL - Access Control List) aportan una cota mayor de protección para los archivos que los permisos tradicionales de acceso a los archivos. Dichas listas se pueden utilizar para permitir o limitar el acceso a los archivos por parte de usuarios individuales ajenos al grupo de pertenencia. El único que puede crear listas de control de acceso es el propietario del archivo (o el superusuario).

Las listas de control de acceso se admiten tanto en el sistema de archivos JFS como en el sistema de archivos HFS, pero los comandos y parte de la sintaxis difieren. En un sistema de archivos JFS, utilice el comando setacl para definir dichas listas y utilice el comando getacl para consultarlas. En un sistema de archivos HFS, utilice el comando chacl para definir las listas de control de acceso y utilice el comando lsacl para consultarlas.

Para obtener un análisis de las listas de control de acceso de los sistemas de archivos JFS y HFS, consulte el documento Guía del administrador de sistemas HP-UX: Administración de la seguridad.

Para obtener información adicional sobre las listas ACL del sistema de archivos JFS, consulte las páginas de manual de setacl(1), getacl(1) y aclv(5).

Para obtener información adicional sobre las listas ACL del sistema de archivos HFS, consulte las páginas de manual de lsacl(1), chacl(1) y acl(5).