Configurare e Gestire le ACLs in oneye 0.8

Transcript

1 Configurare e Gestire le ACLs in oneye 0.8 Ti stai chiedendo come funzionano in Controlli di Accesso in oneye, ma non sai come utilizzarli? Continua a leggere. In questa guida, mostrerò come sia possibile con l utilizzo delle ACLs negare l accesso ad un determinato programma (Public Board) installato di default in tutti i sistemi oneye. Creerò quindi una regola ACL che assegnerò ad un utente specifico. Dopo di questo, modificherò la regola riassegnandola, non più ad un utente specifico, ma ad un gruppo di utenti. Ai fini della presente guida, ho creato un utente "exampleuser", al quale è stato assegnato un gruppo chiamato "examplegroup". Cosa sono le ACLs? ACLs, è l acronimo inglese di Access Control Lists. Esse consentono di definire specifiche restrizioni, per utenti o gruppi, a determinate funzioni del sistema. Perché utilizzare le ACLs? Se vuoi evitare che gli utenti effettuino certe operazioni, allora puoi utilizzare una ACL. Se vuoi limitare l utilizzo di un programma, puoi impostare una ACL. Certamente potresti semplicemente rimuovere quel determinato programma, ma così facendo nessuno potrà più utilizzarlo. Le ACLs invece permettono di impostare tale restrizione verso un utente specifico. Importante Prima di iniziare assicurati che la tua installazione di oneye sia aggiornata. Al momento della stesura di questo tutorial, ci sono alcune correzioni alla funzionalità ACL su cui si basano i paragrafi seguenti. Visita per informazioni su come scaricare e installare l'ultima versione svn. Creare una nuova regola ACL. In primo luogo, effettua il login come root. Attualmente, le ACL possono essere impostate solo dall'amministratore di sistema, root. Ora che hai effettuato l'accesso, dai un'occhiata all'applicazione che andremo a bloccare. Apri la Public Board (Figura 1). La Public Board è un software che fornisce un servizio di chat in stile IRC agli utenti. Al momento non è necessario che l'applicazione sia aperta per impostare una regola ACL, quindi è possibile chiuderla. Per continuare invece occorre conoscere il nome della applicazione, che nel nostro caso è eyeboard. Ora che sai questo, puoi premere su System Preferences. Cliccando su "Access Control" sotto la voce

2 "Administration", possiamo vedere una lista con tutte le ACL impostate nel sistema (Figura 2). Se è la prima volta che accedi a questa schermata, ovviamente l elenco sarà vuoto. Per creare una nuova ACL, seleziona "Add ACL". Si aprirà una finestra con quattro campi che dovranno essere tutti compilati (Figura 3). Nel primo campo, ACL Name, occorre inserire il nome della tua ACL. Questo sarà il nome che il sistema utilizzerà nell elenco delle ACL, quindi assicurati di utilizzare un nome che abbia un certo significato per te. Io utilizzerò come nome "Block Board". Il secondo campo, Service, contiene una lista dei servizi disponibili nel sistema. Se provi a selezionarne uno, apparirà una breve descrizione del servizio, per comprendere meglio il suo utilizzo. Per il momento seleziona proc. Il terzo campo, Function, si popolerà in automatico a seconda del servizio che è stato scelto nel campo precedente. Le funzioni ovviamente differiscono in base al servizio scelto. Anche qui selezionando una funzione, comparirà una breve descrizione. Per il momento seleziona launch. Il quarto campo, Action, è una semplice scelta booleana: Accept or Deny. In pratica, serve a definire se consentire o negare la funzione scelta nel campo Function. Ai fini del nostro esempio, selezioniamo Deny (figura 4). Prima di proseguire, vorrei porre l attenzione sul checkbox che trovi nell angolo in basso a destra. Molte delle funzioni selezionabili sono essenziali per il corretto funzionamento di oneye. Se queste vengono negate, potrebbero generare diversi problemi. Per prevenire questi problemi, queste funzioni sono state nascoste di default. Togliendo la spunta dal checkbox queste funzioni tornano ad essere selezionabili. Per favore presta molta attenzione nel caso avessi intenzione di utilizzarle. Una volta compilati tutti i campi, selezionare Add Rule.

3 Selezioniamo un Utente. La schermata successiva (figura 5) presenta molte opzioni che potrebbero essere non troppo chiare. Queste opzioni permettono di indirizzare la regola verso qualcuno, che potrebbe essere un utente o un gruppo. Se ciò non viene impostato, la regola è semplicemente inutile. La prima opzione, Target, permette di scegliere tra User, Group e Admin. Noi selezioniamo User. Come puoi notare, selezionando User, il campo subito sotto si modifica automaticamente e richiede di inserire un Username. Quindi inserisci l username dell utente a cui vuoi applicare la regola (nel nostro caso exampleuser) e clicca su Add. Noterai che, nella parte sinistra della tabella sottostante, è stato aggiunto l utente selezionato (figura 6). In questo momento, la regola nega all utente "exampleuser" di lanciare tutte le applicazioni. Fra queste incluse anche quelle richieste per il funzionamento di oneye. Per questo motivo e anche perché il nostro scopo è quello di bloccare solamente "eyeboard", poniamo l attenzione alla parte destra della tabella. Come puoi immaginare dal nome "Application Name", qui si potrà creare l elenco di tutte le applicazioni bloccate. Per inserire una applicazione da bloccare, seleziona l utente che abbiamo appena creato dalla parte sinistra della tabella e premi su Add che trovi immediatamente sopra la parte destra della tabella. Si aprirà un box che richiede di inserire un parametro. Il parametro in questione è il nome dell applicazione, quindi inseriamo "eyeboard" (senza "virgolette") e premi Add (figura 7). Abbiamo quasi finito, premi su Done, e verrai rimandato alla lista delle ACL. Proviamo la regola ACL. Chiudi la tua sessione per tornare alla pagina di login, ed effettua il login con l utente che hai appena bloccato (exampleuser). Problemi? Alcuni problemi che potrebbero sorgere. Se riesci ad effettuare correttamente il login, ma sul desktop non ci sono né le icone né la DockBar, è probabile che tu abbia dimenticato di definire qualche impostazione nel target. Mi dispiace ma dovrai eliminare i coockie di sessione e ricaricare la pagina manualmente. Così facendo tornerai alla schermata principale di Login. Effettua il login come root, e controlla la regola ACL. Vedi più avanti su come modificare le regole ACL. Riesci ugualmente a lanciare il Programma appena bloccato? Se nonostante la regola il programma continua a funzionare, prima assicurati che la regola sia impostata correttamente. In secondo luogo controlla di avere una versione aggiornata di oneye.

4 Effettuato il login, noterai che tutto funziona correttamente. Eccezion fatta per la Public Board. Infatti se provi a lanciare l applicazione, non succederà nulla. Dopo tutto abbiamo appena impedito l accesso a questa applicazione all utente! Come contro prova, effettua il login con altri utenti, e verifica che a loro non sia negato l accesso alla Public Board. Ora continuando con la nostra guida, andremo a modificare la regola ACL precedentemente creata, per assegnarla ad un gruppo di utenti. Modificare una regola ACL. Cosa bisogna fare per modificare una ACL? Effettua nuovamente il login come root e torna all elenco delle regole ACL. Selezionando la regola che vogliamo modificare, e premendo su Edit ACL, si aprirà la schermata che permette di modificare la regola (figura 8). Qui è possibile utilizzare il campo ACL Name per rinominare la nostra regola o il campo Action per Consentire o Negare la funzione, che precedentemente abbiamo creato. Nel nostro caso non abbiamo bisogno di modificare niente di tutto ciò, quindi selezioniamo Edit Target. Selezioniamo un Gruppo. La schermata che si è aperta è la stessa di prima. Questa volta però seleziona dal campo Target la voce Group. Il campo si rinomina automaticamente in "Group Name". Qui scrivi il nome del gruppo (examplegroup) e premi su Add (figura 9). Due cose importanti da notare. La prima è che nell elenco dei target c è ancora "exampleuser", quindi seleziona e clicca su Delete Target, per eliminarlo. La seconda cosa da notare è che quando selezioni la nuova voce appena creata, questa non avrà più nessun parametro nella lista "Application Name". Il motivo è che puoi utilizzare una stessa

5 funzione per gruppi o utenti diversi specificando però parametri diversi per ogni target. (Per esempio, potremmo utilizzare la stessa regola per evitate che un altro utente lanci l applicazione eyenav e che l utente exampleuser lanci l applicazione eyeboard. In questo modo l utente exampleuser può continuare ad utilizzare eyenav, ma non eyeboard e viceversa per l altro utente). Sapendo questo, seleziona il target (examplegroup) appena creato, premi su Add e inserisci nel box che si apre eyeboard. Verificato che tutto sia corretto (figura 10), premi su Done, e ritornerai all elenco delle ACL. Proviamo la nuova regola ACL. Chiudi la tua sessione per tornare alla pagina di login, ed effettua il login con un utente che faccia parte del gruppo "examplegroup". Vedrai che potrai lanciare qualunque applicazione tranne la Public Board. Come contro prova, effettua il login con altri utenti che facciano parte del gruppo, e anche con altri che non ne facciano parte e verifica che ad essi sia a seconda negato o consentito l utilizzo della Public Board. Una nota sull utente Root Non preoccuparti se l utente root è un membro di uno dei gruppi colpiti dalle regole ACL root è immune. Ciò vuol dire che se provi a creare una regola che colpisca l utente root, questa è semplicemente inutile. Il sistema è impostato così e non cambierà mai. Come trovare il nome delle applicazioni? La maniera più semplice (ma non la più veloce), è quella di aprire il Process Manager, con tutte le altre applicazioni chiuse e andare nella tab Process. Lanciare l applicazione e prendere nota del valore che trovi nella colonna Process Name (solitamente l ultimo appena sotto eyeprocess). IMPORTANTE Per favore cerca di prestare molta attenzione quando imposti le ACLs. Molte delle funzioni che possono essere bloccate sono fondamentali per il corretto funzionamento di oneye. Bloccando una di queste funzioni per un utente, oneye non potrà più utilizzare quella funzione (anche in background) durante la sessione dell utente. Questo non solo interromperà le funzionalità di oneye, ma potrebbe anche influenzare la vostra base di utenti.