Capítulo 3: Jerarquía y Seguridad. Creación de usuarios y grupos.

Niveles de seguridad de la red:
Para proteger la información, NetWare provee de tres niveles de seguridad: Clases de usuarios:
Cuando se trabaja bajo DOS, cada uno es dueño de todos los recursos de su máquina, pero esto no es posible en un ambiente multiusuario ya que los recursos a compartir son proporcionalmente más escasos. También es deseable acotar el peligro de que alguien borre datos o programas que no le pertenecen. Esto lleva a la creación de un usuario especial denominado "supervisor" que es el reponsable de decidir de qué forma se compartirán los recursos y quienes están autorizados a hacer qué cosas. Una consecuencia de ésto es la limitación del acceso al sistema al personal autorizado, lo que ayuda a proteger la confidencialidad e integridad de información valiosa. El supervisor, es además el encargado de decidir qué programas residirán en el server. Se establece así una correspondencia entre seguridad y usuarios de distinta jerarquía.
Bajo NetWare, hay varias categorías de usuarios: el supervisor, el operador de consola y los usuarios (común).

Supervisor:
Es el usuario de mayor jerarquía y es creado en forma automática durante la instalación. Para no comprometer las condiciones de seguridad, no debe haber más de un supervisor por server. Un supervisor tiene todos los derechos en todos los directorios. Las demás categorías tienen derechos restringidos según el directorio.

File Server Console Operators (Operadores de consola):
Son usuarios con derecho a operar FCONSOLE. Debido a que es un área sensible (especialmente porque el comando DOWN baja la red pero puede ser activado por el supervisor o alguien con equivalencia de seguridad de supervisor), el operador de FCONSOLE debe ser alguien capacitado. En versiones anteriores se podía monitorear el rendimiento del servidor y consultar las estadísticas, actualmente sus tareas se reducen a monitorear la entrada y salida de los usuarios al sistema y el supervisor lo puede utilizar para enviar mensajes a todos los usuarios conectados como el típico "En 5 minutos se procederá a apagar el server".

Usuarios (Users):
Esta categoría incluye a la mayoría de los usuarios de una red. Como se verá oportunamente, los usuarios y sus derechos son definidos por el supervisor. Durante la instalación NetWare también crea un usuario denominado GUEST (invitado), con derechos mínimos.

Otras clases de usuarios:
Hasta ahora se presentaron los tipos de usuarios "tradicionales", es decir el usuario, el operador de consola y el supervisor. NetWare 3.11 permite crear varias categorías intermedias, tal como se ve a continuación. A todas estas categorías las crea un supervisor. La idea es que el supervisor pueda designar ayudantes o responsables de área sin necesidad de cederles derechos innecesarios (tal como ocurriría si los designara como "security equivalents" suyos).

User Account Managers
Estos "Gerentes de Cuentas de Usuarios" tienen derechos de supervisión sobre los usuarios que se les asignen. Su área de acción está vinculada con la facturación de recursos.

Workgroup Managers
Son "Gerentes de Grupos de trabajo" a los que se les asigna derechos de supervisión sobre determinados directorios. Su principal tarea es asignar derechos a los usuarios que trabajen en los directorios a su cargo. En muchos casos, la estructura de archivos del disco rígido guarda semejanza con el organigrama por lo que un Workgroup Manager puede coincidir con un jefe de área o un empleado de su confianza.

Print Queue Operators
Son usuarios con derecho a operar con PCONSOLE y las colas de impresión. Pueden eliminar trabajos de la cola, cambiar su ordenamiento, cambiar el estado de la cola, etc.

Print Server Operators
Son usuarios con derecho a operar con las impresoras asignadas en PCONSOLE. Pueden conectar, desconectar y resetear impresoras cuando las tareas de la red lo exijan. Suelen declararse de esta manera a los operadores de tareas de impresión por una cuestión práctica.

Grupos:
Un grupo es un conjunto de usuarios con los mismos derechos. La creación de grupos le simplifica al supervisor la tarea de asignarle derechos a los usuarios, ya que se las asigna al grupo en vez de hacerlo individualmente. Un usuario puede pertenecer a varios grupos, y también tener derechos propios. En definitiva, los derechos de un usuario están constituídos por el conjunto de los propios y de todos los que tengan los grupos a los que pertenezca.
Hay un grupo especial denominado EVERYONE, al que, tal como su nombre lo indica, pertenecen todos los usuarios automáticamente. Lo crea NetWare al instalarlo y lo dota de derechos RF en PUBLIC y C en MAIL.

Equivalentes de seguridad:
Es otro atajo para supervisores, consistente en especificar los derechos de un usuario como equivalentes a los de otro ya definido.

Ingreso al sistema:
El ingreso al sistema se efectúa mediante una clave. El comando para ingresar es LOGIN. La clave consta de dos partes: una de conocimiento general (el login name) y tiene por propósito identificar al usuario; la otra es de conocimiento exclusivo del usuario (la password), evita que otra persona que conoce el login name ingrese indebidamente.
Si la red tiene varios servers, la orden LOGIN debe especificar el server al que el usuario quiere estar conectado (mediante el comando SLIST explicado en el capítulo 4 se pueden conocer los servers disponibles). A tal fin el comando toma la forma LOGIN nombre_server/usuario. En caso de no especificar el server, el usuario se conectará al más cercano o al preferido, si lo definió en su shell.cfg o net.cfg
Si se quiere estar conectado simultáneamente a más de un server, después de haber entrado con LOGIN al primero, debe ejecutarse el comando ATTACH nombre-server/nombre -usuario.
Cuando un usuario deja de trabajar en red NO DEBE APAGAR SU EQUIPO SIN ANTES haber procedido a desconectarse del server. El comando LOGOUT desconecta al usuario de todos los servers a la vez.
Para cambiar una clave, se usa el comando SETPASS (de SET PASSword).
El comando USERLIST permite saber quienes están en un determinado instante conectados al sistema identificándolos por su login name. Además indica en qué máquina están trabajando, cuando se conectaron (login time), etc. La sintaxis es:
 

USERLIST server/usuario/A.
 

La opción server se especifica si se está conectado a más de uno; usuario si se desea información de un usuario en especial (si no se especifica, salen todos y marcado con * el que ejecutó el comando) y la A (de All) es para que aparezcan al listar las informaciones de red y nodo (identificando así las estaciones en las que los usuarios están conectados).
Solamente el supervisor puede ejecutar el comando SECURITY para verificar el estado de seguridad de la red. Esto abarca varias facetas:

Derechos de los usuarios:
La siguiente es la lista de derechos que le pueden llegar a corresponder a un usuario en un directorio determinado: Bajo otras versiones de NetWare, los derechos son ligeramente distintos.
Según la actividad que se desarrolle, será el tipo de derechos requeridos:
Algunas actividades requieren sólo un derecho, para borrar basta E, para cambiar derechos de acceso basta A, para listar el directorio basta F, para leer archivos se necesita R; para cambiar el nombre o los atributos de un archivo, M, pero a veces se requieren combinaciones: para crear o copiar un archivo, C y W, para escribir W,C y E, para cambiar el nombre o los atributos de un archivo, M y F, etc. Si a un usuario se le da el derecho A sobre el directorio raíz, es como dárselo sobre todo el disco. Se recomienda no hacerlo nunca, porque compromete la seguridad del sistema. Este derecho solamente puede limitarse a través del filtro de derechos máximos.
Si a un usuario se le da el derecho S sobre el directorio raíz, es como otorgarle todos los derechos sobre la totalidad del disco. Se recomienda no hacerlo nunca, porque compromete la seguridad del sistema. Su finalidad se asemeja a la del derecho "A" con la diferencia que este derecho no puede ser limitado mediante el "filtro de derechos máximos que se explica más abajo.

Filtro de derechos máximos, derechos efectivos:
Así como un usuario tiene derechos, los directorios también los tienen y se llaman filtro de derechos máximos. Esto limita los derechos de los usuarios a la intersección entre sus derechos y los derechos máximos del directorio. De esta forma se definen los derechos efectivos (effective rights). El supervisor puede asignarle a un usuario todos los derechos en un directorio y mediante los filtros de derechos máximos le impide que modifique archivos de directorios de uso compartido e incluso que liste el directorio de los que tienen información confidencial.

Comandos asociados:

Menúes asociados:
Varios menúes tienen relación con la jerarquía, seguridad y derechos: USERDEF, MAKEUSER, SYSCON y FILER. Se explican en capítulo aparte.

Seguridad por atributos:
Este esquema impone restricciones adicionales al manejo de archivo. Cada archivo tiene definidos atributos y éstos tienen precedencia sobre los derechos efectivos del usuario. Atributos de los directorios y archivos: Al margen de los derechos que posea el usuario, los directorios y archivos también tienen atributos. Para los directorios pueden ser:

Tener en cuenta que esto no es absoluto, sino mas bien genérico, ya que usuarios con derechos o conocimientos más profundos de Netware podrán conocer la existencia y nombre de directorios privados o Hidden, y según sus derechos, leer, escribir y modificar el contenido de dichos directorios. Estos atributos se modifican mediante el comando FLAGDIR. La sintaxis es: FLAGDIR path opción ej: FLAGDIR J: PH. Si no se especifican opciones, como en FLAGDIR J:, se nos indica cuáles son las que están seleccionadas; si se ingresa un * al final del path, como en FLAGDIR J:*, la información que aparece abarca también los subdirectorios de J:. Para los archivos tenemos: El comando FLAG maneja los bits anteriormente mencionados. La sintaxis es: FLAG archivo opciones ej: FLAG G:*.EXE SRO marca a todos los archivos con del directorio G: con extensión EXE con atributos S (shared) y RO (read only). Si se omiten las opciones, FLAG muestra los atributos actuales. Otra forma de ver los atributos actuales es con NDIR, descripto en el capítulo siguiente. El menú FILER provee de otra forma de hacer lo mismo.

CAPITULO ANTERIOR DEL CURSO

PROXIMO CAPITULO DEL CURSO