home *** CD-ROM | disk | FTP | other *** search
/ IRIX 6.5 Applications 1999 November / SGI IRIX 6.5 Applications 1999 November.iso / relnotes / arraysvcs / chA.z / chA
Encoding:
Text File  |  1999-10-15  |  3.3 KB  |  133 lines
  1.  
  2.  
  3.  
  4.                                   - 1 -
  5.  
  6.  
  7.  
  8.        1.  _S_e_c_u_r_i_t_y__C_o_n_s_i_d_e_r_a_t_i_o_n_s
  9.  
  10.        The array services daemon, arrayd(1M), runs as root.  As
  11.        with other system services, if it is configured carelessly
  12.        it is possible for arbitrary and possibly unauthorized users
  13.        to disrupt or even damage a running system.
  14.  
  15.        By default, most array commands are executed using the user,
  16.        group and project ID of either the user that issued the
  17.        original command, or else those of a fairly powerless user,
  18.        such as guest.  When adding new array commands to
  19.        arrayd.conf, or modifying existing ones, always use the most
  20.        restrictive IDs possible in order to minimize trouble if a
  21.        hostile or careless user were to run that command.  Avoid
  22.        adding commands that run with "more powerful" IDs (such as
  23.        user "root" or group "sys") than the user.  If such commands
  24.        are necessary, analyze them carefully to ensure that an
  25.        arbitrary user would not be granted any more privileges than
  26.        expected, much the same as one would analyze a "setuid"
  27.        program.
  28.  
  29.        In the default array services configuration, arrayd allows
  30.        all the local requests to access arrayd but not the remote
  31.        requests.  In order to let the remote requests access the
  32.        arrad parameter AUTHENTICATION needs to be set to NONE in
  33.        /usr/lib/array/arrayd.auth file. By default it is set to
  34.        NOREMOTE. When AUTHENTICATION is set to NONE arrayd assumes
  35.        that a remote user will accurately identify itself when
  36.        making a request.  In other words, if a request claims to be
  37.        coming from user "abc", arrayd will assume that it is in
  38.        fact from user "abc" and not somebody spoofing "abc".  This
  39.        should be adequate for systems that are behind a network
  40.        firewall or otherwise protected from hostile attack, and in
  41.        which all the users inside the firewall are presumed to be
  42.        non-hostile.  On systems where this is not the case (for
  43.        example, those that are attached to a public network, or
  44.        where individual machines otherwise cannot be trusted),
  45.        array services authentication (NOREMOTE) should be used.
  46.        When authentication is set to NONE, all requests from remote
  47.        systems will be authenticated using a mechanism that
  48.        involves private keys that are known only to the super-users
  49.        on the local and remote systems.  Requests originating on
  50.        systems that do not have these private keys will be
  51.        rejected.  For more details, see the section on
  52.        "Authentication Information" in arrayd.conf(4).
  53.  
  54.        arrayd does not support mapping user, group or project names
  55.        between two different namespaces; all members of an array
  56.        are assumed to share the same namespace for users, groups
  57.        and projects.  Thus, if systems "A" and "B" are members of
  58.        the same array, then username "abc" on system A is assumed
  59.  
  60.  
  61.  
  62.  
  63.  
  64.  
  65.  
  66.  
  67.  
  68.  
  69.  
  70.                                   - 2 -
  71.  
  72.  
  73.  
  74.        to be the same user as username "abc" on system B.  This is
  75.        most significant in the case of username "root".
  76.        Authentication should be used if necessary to prevent access
  77.        to an array by machines using a different namespace.
  78.  
  79.  
  80.  
  81.  
  82.  
  83.  
  84.  
  85.  
  86.  
  87.  
  88.  
  89.  
  90.  
  91.  
  92.  
  93.  
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.  
  109.  
  110.  
  111.  
  112.  
  113.  
  114.  
  115.  
  116.  
  117.  
  118.  
  119.  
  120.  
  121.  
  122.  
  123.  
  124.  
  125.  
  126.  
  127.  
  128.  
  129.  
  130.  
  131.  
  132.  
  133.