IT系統的安全一直是很多人關注的熱點。尤其是在網絡互連的時代，完善的安全機制是必不可少的。系統安全分為許多層次，包括機房安全、網絡安全、服務器分區安全、操作系統安全、數據安全、應用安全等。實現安全的方式也各異，如：設置機房門禁、關鍵服務器與INTERNET斷開、采用硬件加密卡加密傳輸、進行分區隔離、使用JAVA認證器進行安全檢查等等。而本文想和大家討論的話題集中在AIX操作系統中的用戶安全性策略，希望為關注系統安全的人士提供參考。

　　1. AIX用戶安全性的概念

　　AIX的每個用戶有******的用戶名、用戶ID和口令，文件屬主取決于用戶ID;root可以更改文件屬主;系統缺省root為超級用戶;系統用戶adm、sys、bin不允許登錄;需要共享同一類文件的用戶可以歸入同一個組;***常用的組有兩個，system為管理員組，staff為普通用戶組。

　　系統安全性的基本原則是：用戶被賦予******的用戶名、用戶ID(UID)和口令。用戶登錄后，對文件訪問的合法性取決于UID。

　　文件創建時，UID自動生成為文件屬主。只有文件屬主和root才能修改訪問許可權。需要共享同一組文件的用戶可以歸入同一個組中。每個用戶可屬于多個組。每個組被賦予******的組名和組ID(GID)，GID也被賦給新創建的文件。

　　應該特別強調的是對于root特權的控制：

　　? 應嚴格限制使用root特權的人數;

　　? root口令應由系統管理員以不公開的周期更改;

　　? 不同的機器采用不同的root口令;

　　? 系統管理員應以普通用戶的身份登錄，然后用su命令進入特權;

　　? root所用的PATH環境變量與系統安全性關系重大。

　　安全性日志是系統安全的重要保障，有經驗的系統管理員經常使用其做安全性檢查。Su命令執行的結果存放在/var/adm/sulog中;用戶登錄和退出登錄的記錄存放在/var/adm/wtmp和/etc/utmp中，可用who命令查看;非法和失敗登錄的記錄存放在/etc/security/failedlogin中，同樣用who命令查看，未知的登錄名記為unknown。

　　2. 文件和目錄的存取許可權

　　文件和目錄有一組許可權位，采用標準的讀、寫和執行來定義三個級別的許可權：用戶(文件屬主)、組和其他人，另外附加的三種許可權位是SUID、SGID和SVTX(粘著位)。

　　帶SUID位的可執行文件意味著文件運行時，其進程以文件的有效UID運行。Shell程序不支持SUID，SUID對目錄無意義;帶SGID位的可執行文件意味著文件運行時，其進程以文件屬組的有效GID運行;帶SGID的目錄表示在該目錄下創建的文件/目錄將繼承目錄的組ID，而忽略創建者的屬組;AIX中的粘著位對文件無意義，帶粘著位的目錄意味著：即使對目錄具有寫許可權(如/tmp),用戶也不能隨便刪除目錄下的文件，除非是文件屬主或目錄屬主。

　　許可權位文件目錄

　　R用戶具有讀許可權用戶列出目錄的內容

　　W用戶可修改文件內容用戶可在目錄下創建或刪除文件

　　X用戶可執行該文件用戶可cd到該目錄并在PATH中引用該目錄

　　SUID執行該程序時具有文件屬主的有效UID——

　　SGID程序運行時具有文件組的有效GID目錄下創建的文件繼承目錄的GID

　　SVTX——只有文件或目錄屬主有權在該目錄下刪除文件

　　3. 安全性文件

　　存放用戶屬性和控制訪問許可權的文件和目錄如下：

　　? /etc/passwd中包含合法用戶(不含口令)

　　? /etc/group中包含合法組;

　　? /etc/security中包含普通用戶無權訪問的安全性文件;

　　? /etc/security/passwd中包含用戶口令;

　　? /etc/security/user中包含用戶屬性、口令約束等;

　　? /etc/security/limits中包含用戶使用資源限制;

　　? /etc/security/environ中包含用戶環境設置;

　　? /etc/security/login.cfg中包含登錄設置;

　　? /etc/security/group中包含組的屬性。

　　4. 用戶環境的合法性檢查

　　以下介紹進行用戶環境合法性檢查的三個命令：

　　pwdck驗證本機認證信息的合法性，檢查/etc/passwd和/etc/security/passwd的一致性，以及與/etc/security/login.cfg和/etc/security/user的一致性;

　　usrck驗證用戶定義的合法性，檢查/etc/passwd、/etc/security/user、/etc/security/limits和/etc/security/passwd中的用戶信息，同時也檢查/etc/group和/etc/security/group，以保證數據的一致性。

　　grpck驗證組的合法性，檢查/etc/group、/etc/security/group和/etc/security/user之間的數據一致性。

　　上述命令由root或security組的成員執行，用于在修改用戶配置之后做清理工作。

　　小結：

　　上文介紹的AIX用戶安全性策略，是AIX系統安全的基礎。通過劃分不同類型的用戶和數據，按照分工的性質組織用戶和組，有效利用安全性日志，合理設置粘著位，可以達到用戶安全的基本要求.

　　本文來自ChinaUnix博客，如果查看原文請點：http://blog.chinaunix.net/u/4206/showart_684203.html