Tivoli Secureway Security Manager. Suplemento para Ms Windows Versão 3.7

Transcrição

1 Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 Versão 3.7

2

3 Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 Versão 3.7

4 Suplemento do Tivoli Secureway Security Manager para Windows 2000 (Outubro de 2000) Aviso de Copyright Copyright IBM Corporation Todos os direitos reservados. Pode ser utilizado somente mediante um Acordo de Licenças de Software da Tivoli Systems, um Acordo de Licenças de Software IBM ou Adendo para Produtos Tivoli ao Acordo de Licenças ou Cliente IBM. Nenhuma parte desta publicação pode ser reproduzida, transmitida, transcrita, armazenada em um sistema de recuperação ou traduzida em qualquer linguagem de computador, de qualquer forma ou por qualquer meio, eletrônico, mecânico, magnético, ótico, químico, manual, ou de outra maneira, sem permissão prévia, por escrito, da IBM Corporation. A IBM Corporation concede ao Cliente permissão limitada para fazer cópia impressa ou outras reproduções de qualquer documentação legível pela máquina para uso próprio, desde que cada reprodução contenha o aviso de copyright da IBM Corporation. Nenhum outro direito sob copyright é concedido sem permissão prévia, por escrito, da IBM Corporation. O documento não é planejado para produção e é fornecido como está, sem garantia de nenhum tipo. Todas as garantias neste documento são, por meio deste, rejeitadas, incluindo as garantias de mercado e adequação a um determinado objetivo. Marcas IBM, o logotipo da IBM, Tivoli, o logotipo da Tivoli, AIX, AS/400, Cross-Site, NetView, OS/2, OS/390, OS/400, Policy Director, RACF, RS/6000, SecureWay, S/390, Tivoli Certified, Tivoli Enterprise, Tivoli Ready e TME são marcas ou marcas registradas da International Business Machines Corporation ou da Tivoli Systems Inc. nos Estados Unidos e/ou em outros países. Lotus é uma marca registrada da Lotus Development Corporation. Microsoft, Windows, Windows NT, Windows 2000, e o logotipo do Windows são marcas da Microsoft Corporation nos Estados Unidos e/ou em outros países. UNIX é uma marca registrada da The Open Group nos Estados Unidos e em outros países. Java e todas as marcas baseadas em Java são marcas da Sun Microsystems, Inc. nos Estados Unidos e/ou em outros países. Novell, NetWare, NetWare Directory Services e NDS são marcas da Novell, Inc. Outros nomes de companhias, produtos e serviços podem ser marcas ou marcas de serviço de terceiros. Observações Referências nesta publicação a produtos, programas ou serviços Tivoli Systems ou IBM não significa que os mesmos estarão disponíveis em todos os países onde a Tivoli Systems ou IBM operam. Qualquer referência a esses produtos, programas ou serviços não significa que apenas os produtos, programas ou serviços Tivoli Systems ou IBM possam ser utilizados. Qualquer produto, programa ou serviço funcionalmente equivalente, que não infrinja nenhum direito de propriedade intelectual da Tivoli Systems ou da IBM ou outros direitos legalmente protegidos, poderá ser utilizado em substituição a este programa, produto ou serviço. A avaliação e verificação da operação em conjunto com outros produtos, exceto aqueles expressamente designados pela Tivoli Systems ou IBM, são de inteira responsabilidade do Cliente. A Tivoli Systems ou a IBM pode ter patentes ou solicitações de patentes relativas a assuntos tratados nesta publicação. O fornecimento desta publicação não garante ao Cliente nenhum direito sobre tais patentes. Pedidos de licença devem ser enviados, por escrito, à Gerência de Relações Comerciais e Industriais da IBM Brasil, Av. Pasteur , Botafogo, CEP Rio de Janeiro - RJ.

5 Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 iii

6 iv Versão 3.7

7 Índice Prefácio... Quem Deve Utilizar Este Guia... ix Pré-Requisitos e Documentos Relacionados... ix Conteúdo deste Guia... ix Convenções deste Guia... x Informações Específicas da Plataforma... xi Ícones... xi Acessando Publicações Online.... xii Solicitando Publicações... xii Fornecendo Feedback sobre as Publicações.... xiii Entrando em Contato com o Suporte ao Cliente... xiii Capítulo 1. Introdução... 1 Por que Gerenciar Informações de Segurança do Nome do Produto sem TME10 ou Tivoli da Tivoli?... 2 Tivoli Secureway Security Manager e Native Security... 3 Domínios do Modo Nativo e do Modo Misto do Nome do Produto sem TME10 ou Tivoli... 4 Gerenciamento de Segurança e Administração do Usuário... 5 Capítulo 2. Instalando... 7 Requisitos de Software... 8 Requisitos de Hardware Instalando com o Serviço de Instalação de Software Tivoli... 8 Instalando o Tivoli Secureway Security Manager para Windows Desktop... 9 Linha de Comandos ix Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 v

8 Capítulo 3. Incluindo Registros de Segurança Criando um Registro de Grupo Considerações Gerais Definindo Atributos de Grupo Específicos do Nome do Produto sem TME10 ou Tivoli Especificando um Nome de Grupo Específico do Nome do Produto sem TME10 ou Tivoli Atribuindo Nomes de Grupos SAM do Nome do Produto sem TME10 ou Tivoli Atribuindo Usuários do Nome do Produto sem TME10 ou Tivoli a um Registro de Grupo Definindo Horas de Acesso Exemplos da Linha de Comandos Criando um Registro de Recurso Permissões e Herança no Nome do Produto sem TME10 ou Tivoli Definindo Permissões e Herança na GUI Definindo Permissões e Herança na CLI Definindo Atributos de Recursos Criando um Registro de Recurso do Nome do Produto sem TME10 ou Tivoli Definindo Permissões de Acesso Padrão e Herança de Permissões Definindo Permissões de Acesso à Rede Definindo Permissões de Auditoria de Acesso Padrão e Herança de Permissões Definindo Propriedades de Diretório Compartilhadas Exemplos da Linha de Comandos Criando um Registro de Função Considerações Gerais Atributos de Função Específicos do Nome do Produto sem TME10 ou Tivoli vi Versão 3.7

9 Especificando um Nome de Função Específico do Nome do Produto sem TME10 ou Tivoli Atribuindo um Nome de Início de Sessão SAM Definindo uma Lista de Grupos do Nome do Produto sem TME10 ou Tivoli Definindo uma Lista de Acesso ao Recurso do Nome do Produto sem TME10 ou Tivoli Definindo Direitos de Acesso aos Recursos do Nome do Produto sem TME10 ou Tivoli Definindo uma Lista de Acesso ao Recurso do TME do Nome do Produto sem TME10 ou Tivoli Definindo Direitos de Acesso aos Recursos do TME do Nome do Produto sem TME10 ou Tivoli Examinando o Acesso ao Recurso do Nome do Produto sem TME10 ou Tivoli Examinando o Acesso ao Recurso do TME do Nome do Produto sem TME10 ou Tivoli Exemplos da Linha de Comandos Capítulo 4. Preenchendo e Distribuindo Perfis de Segurança Preenchendo a partir de um Nó de Extremidade do Nome do Produto sem TME10 ou Tivoli Preenchendo Registros de Grupo Preenchendo Exemplos de Grupos Globais Preenchendo Registros de Função Preenchendo Exemplos de Grupos Locais Preenchendo Registros de Recursos Preenchendo Exemplos de Direitos de Acesso Preenchendo Exemplos de Direitos de Auditoria Distribuindo para um Nó de Extremidade do Nome do Produto sem TME10 ou Tivoli Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 vii

10 Apêndice A. Tipos de Recursos Suporte ao Atributo de Tipo de Recurso do Nome do Produto sem TME10 ou Tivoli Permissões de Acesso aos Recursos DIRECTORY FILE REGISTRY PRINTER SHARE Apêndice B. Atributos Atributos de Níveis de Perfis Atributos de Grupo Atributos de Recursos Atributos de Função Apêndice C. Mensagens Índice Remissivo viii Versão 3.7

11 Prefácio O Tivoli Secureway Security Manager para Windows 2000 fornece administração de segurança com base na função centralizada para nós de extremidade do Nome do Produto sem TME10 ou Tivoli. Quem Deve Utilizar Este Guia O público alvo deste guia são os administradores de sistema, responsáveis pela manutenção da segurança em um ambiente do Nome do Produto sem TME10 ou Tivoli. Os usuários do guia devem ter algum conhecimento sobre: Princípios básicos de segurança O sistema operacional Microsoft Windows 2000 Pré-Requisitos e Documentos Relacionados Os manuais a seguir são um pré-requisito para este guia: Guia do Usuário do Tivoli Secureway Security Manager Os manuais a seguir estão relacionados a este guia: Guia do Usuário da Tivoli Management Framework Guia de Instalação e Planejamento da Tivoli Management Framework Manual de Referência da Tivoli Management Framework Conteúdo deste Guia Este guia contém as seguintes seções: Introdução - fornece uma visão geral do Tivoli Secureway Security Manager para Windows 2000 e define seus componentes principais. Instalando - descreve como instalar o produto a partir do desktop Tivoli e a partir da linha de comandos. Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 ix

12 Prefácio Incluindo Registros de Segurança - descreve como incluir registros de segurança utilizando o Tivoli Secureway Security Manager para Windows Preenchendo e Distribuindo Perfis de Segurança - descreve como preencher e distribuir perfis de usuários do e para o nó de extremidade do Nome do Produto sem TME10 ou Tivoli. Tipos de Recursos - descreve os tipos de recursos suportados pelo Tivoli Secureway Security Manager para Windows Atributos - descreve os atributos dos comandos wcrtsec e wmodsec relacionados aos nós de extremidade do Nome do Produto sem TME10 ou Tivoli. Mensagens - descreve as mensagens de erro emitidas pelo Tivoli Secureway Security Manager para Windows Convenções deste Guia Este guia utiliza várias convenções de tipo de caractere para termos e ações especiais. Essas convenções possuem o seguinte significado: Bold Comandos, palavras-chave, nomes de arquivos, funções de autorização, URLs ou outras informações que você deve utilizar aparecem literalmente assim, em negrito. Nomes de janelas, diálogos e outros controles também aparecem assim, em negrito. Itálico Variáveis e valores que você deve fornecer aparecem assim, emitálico. Palavras e frases que são enfatizadas também aparecem assim, emitálico. Espaçamento fixo Exemplos de códigos, saída e mensagens do sistema aparecem assim, em uma fonte com espaçamento fixo. Este guia utiliza a convenção do UNIX para especificar variáveis de ambiente e notação de diretório. Ao utilizar a linha de comandos do Windows NT, substitua $variável por %variável% para variáveis de ambiente e substitua cada barra (/) por uma barra invertida (\) nos caminhos de diretórios. x Versão 3.7

13 Nota: Quando utilizar a shell bash em um sistema Windows NT, você poderá utilizar as convenções do UNIX. Prefácio Muitos procedimentos contidos neste manual incluem ícones na margem esquerda. Estes ícones fornecem contexto para a execução de uma etapa em um procedimento. Por exemplo, se você iniciar um procedimento dando um clique duplo sobre um ícone de região de política, este ícone aparecerá na margem esquerda, próximo à primeira etapa. Se a quarta etapa do procedimento o instruir para abrir outro ícone, este ícone aparecerá à margem esquerda, próximo à quarta etapa. Informações Específicas da Plataforma Para obter uma lista das versões de plataformas suportadas, consulte o Guia do Usuário do Tivoli Secureway Security Manager. Para obter informações mais detalhadas e atualizadas, consulte as Notas de Release do Tivoli Secureway Security Manager. Ícones Os seguintes ícones representam recursos de segurança: perfil de segurança registros de política do sistema registros de grupo registros de recursos registros de função Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 xi

14 Prefácio Recursos de perfis de segurança são criados no contexto de um gerenciador de perfis. Depois da distribuição inicial de um perfil de usuário ou de grupo, o ícone do perfil aparece no diálogo de exibição de assinantes. Acessando Publicações Online O site da Tivoli Customer Support na Web ( oferece um guia para dar suporte a serviços (o Manual de Suporte ao Cliente); FAQs (perguntas feitas com freqüência); e informações técnicas, incluindo notas de release, guias do usuário, redbooks e white papers. Você pode acessar as publicações online da Tivoli em A documentação para alguns produtos está disponível nos formatos PDF e HTML. Documentos traduzidos também estão disponíveis para alguns produtos. Para acessar a maioria da documentação, você precisa de um ID e uma senha. Para obter um ID para uso no site de suporte da Web, vá para Os revendedores devem consultar para mais informações sobre como obter suporte e documentação técnica da Tivoli. Os Parceiros Comerciais devem consultar Solicitando Publicações para obter mais informações sobre como obter a documentação técnica da Tivoli. Solicitando Publicações Solicite publicações online da Tivoli em ou ligando para um dos seguintes números de telefone: Clientes dos Estados Unidos: (800) Clientes do Canadá: (800) xii Versão 3.7

15 Fornecendo Feedback sobre as Publicações Gostaríamos de receber informações sobre sua experiência com os produtos e a documentação Tivoli e também sugestões para que possamos fazer melhorias. Se você tiver comentários ou sugestões sobre nossos produtos e documentação, entre em contato conosco de uma das seguintes maneiras: Envie para pubs@tivoli.com. Preencha nossa pesquisa de feedback do cliente em Entrando em Contato com o Suporte ao Cliente Prefácio Se você precisar de suporte para este ou qualquer outro produto Tivoli, entre em contato com a Tivoli Customer Support de uma das seguintes maneiras: Submeta um PMR (registro de gerenciamento de problemas) eletronicamente a partir de nosso site da Web em Para informações sobre como obter suporte por meio do site da Tivoli Customer Support na Web, vá para Submeta um PMR eletronicamente por meio do sistema IBMLink. Para obter informações sobre registro e acesso do IBMLink, consulte a página da IBM na Web em Envie para support@tivoli.com. Os clientes nos EUA podem ligar para TIVOLI8 ( ). Os clientes fora dos Estados Unidos devem consultar o site da Tivoli Customer Support na Web em para obter os números de telefone do suporte ao cliente. Tivoli Secureway Security Manager Suplemento para Ms Windows 2000 xiii

16 Prefácio Quando entrar em contato com a Tivoli Customer Support, tenha em mãos o número do cliente de sua empresa para que o pessoal de suporte possa auxiliá-lo prontamente. xiv Versão 3.7

17 1 1. Introdução Introdução O Tivoli Secureway Security Manager fornece um ponto simples de controle para gerenciar informações de segurança do Nome do Produto sem TME10 ou Tivoli, Windows NT, UNIX, NetWare, OS/2, OS/400 e OS/390. Ao incluir o Tivoli Secureway Security Manager para Windows 2000 em sua instalação, você inclui a capacidade de gerenciar, criar, modificar e excluir informações de segurança para nós de extremidade do Nome do Produto sem TME10 ou Tivoli a partir de uma interface simples e comum (linha gráfica ou de comandos). O Tivoli Secureway Security Manager para Windows 2000 atualiza o produto de gerenciamento de segurança da Tivoli para incluir novas opções de diálogo e também novos atributos que permitem gerenciar dados de segurança do Nome do Produto sem TME10 ou Tivoli. O Tivoli Secureway Security Manager fornece um gerenciamento de segurança cliente/servidor distribuído com base na função que integra, explora e estende a funcionalidade das disciplinas de gerenciamento dos sistemas Tivoli e dos produtos de segurança do sistema existente e específicos do aplicativo. A TMA (Tivoli Management Agent) serve como um veículo de comunicação para nós de extremidade em uma variedade de plataformas Nome do Produto sem TME10 ou Tivoli, Windows NT, UNIX, NetWare, OS/2, OS/400 e OS/390 e permite que você preencha informações de segurança dos nós de extremidade e distribua informações de segurança a estes nós. Tivoli Secureway Security Manager Suplemento para Ms Windows

18 Introdução Consulte o Capítulo 1 do Guia do Usuário do Tivoli Secureway Security Manager para obter informações sobre o seguinte: Tivoli Secureway Security Manager e seus recursos Os conceitos de política, grupo, recurso e função do sistema A integração com a Tivoli Distributed Monitoring e a Tivoli Enterprise Console As funções de autorização O grupo de notificação Por que Gerenciar Informações de Segurança do Nome do Produto sem TME10 ou Tivoli da Tivoli? Atualmente, para gerenciar informações de segurança do Nome do Produto sem TME10 ou Tivoli, você ou seu administrador deve iniciar sessão em um sistema do Nome do Produto sem TME10 ou Tivoli. Embora isso não seja um problema, é uma limitação. Quando você está com a sessão iniciada em um sistema, você está limitado a gerenciar as informações de segurança associadas a esse tipo de sistema operacional. Além disso, para gerenciar a segurança do Nome do Produto sem TME10 ou Tivoli, você ou o seu administrador deve ser um especialista em todos os aspectos das informações de segurança do Nome do Produto sem TME10 ou Tivoli. Este esforço relaciona recursos valiosos. Depois de ter instalado o Tivoli Secureway Security Manager na instalação existente da Tivoli, você pode gerenciar informações de segurança do Nome do Produto sem TME10 ou Tivoli, Windows NT, UNIX, NetWare, OS/2, OS/400 e OS/390 de um único local. Isto reduz o número de interfaces do usuário que você deve aprender para proteger seus negócios. Além disso, o administrador que está gerenciando as informações de segurança não precisa ser um especialista em nenhuma das plataformas a Tivoli Framework e o Tivoli Secureway Security Manager fornecem essa habilidade. Enquanto você precisará de um administrador de sistemas especialista para configurar aspectos específicos da instalação de 2 Versão 3.7

19 Introdução segurança, você não precisará mais deste especialista para executar as tarefas diárias de gerenciamento de segurança. Tivoli Secureway Security Manager e Native Security O diagrama a seguir ilustra a relação entre o Tivoli Secureway Security Manager e os sistemas de segurança em alguns dos tipos de nós de extremidade suportados. 1. Introdução O perfil de segurança contém a definição de todos os grupos, recursos, funções e políticas de todo o sistema, cada um dos quais é armazenado no seu próprio tipo de registro. Os registros são armazenados em um formato independente do sistema que permite que os registros de perfil sejam distribuídos ao longo de uma empresa que contenha muitos tipos diferentes de sistemas. Tivoli Secureway Security Manager Suplemento para Ms Windows

20 Introdução Domínios do Modo Nativo e do Modo Misto do Nome do Produto sem TME10 ou Tivoli Os domínios do Nome do Produto sem TME10 ou Tivoli podem operar no modo nativo ou no modo misto. No modo nativo, todos os controladores de domínio devem executar servidores do Windows Os clientes e servidores de membros ainda podem estar executando versões anteriores do Windows, como Windows NT, Windows 98 ou Windows 95. No modo misto, controladores de domínio do Windows NT 4.0 podem estar presentes no domínio juntamente com clientes e servidores de membros que ainda estão executando versões anteriores do Windows, como Windows NT, Windows 98 ou Windows 95. O modo misto é o modo padrão quando um domínio é criado. Este primeiro release do nó de extremidade do Tivoli Secureway Security Manager para Windows 2000 suporta apenas limitações do modo misto. O Tivoli Secureway Security Manager para Windows 2000 é executado em domínios do Nome do Produto sem TME10 ou Tivoli do modo nativo, mas segue as regras do modo misto. Um domínio de modo nativo fornece todos os recursos de grupo do Windows 2000, que incluem: Grupos universais disponíveis como grupos de segurança e grupos de distribuição Aninhamento do grupo inteiro Conversão entre grupos de segurança e grupos de distribuição Conversão de grupos globais e grupos locais de domínio em grupos universais Um domínio de modo misto impõe as seguintes condições: Os grupos de segurança globais podem conter apenas contas do usuário. Os grupos de segurança locais do domínio podem conter outros grupos globais e contas de usuários. Os grupos de segurança universais não podem ser criados. 4 Versão 3.7

21 Introdução Os grupos de distribuição universais podem ser criados. Apenas os grupos de distribuição podem ser aninhados. Nenhuma conversão de escopo ou tipo é permitida. O Tivoli Secureway Security Manager não suportará grupos de distribuição no primeiro release do nó de extremidade do Windows Além disso, ele não fornecerá suporte à política do sistema utilizando objetos de política de grupo no modo nativo. O Tivoli Secureway Security Manager suportará grupos locais e globais e seguirá regras de domínio do modo misto para os membros do grupo. Ele mapeará registros de grupo TME para grupos globais do Diretório Ativo e mapeará registros de função TME para grupos locais de domínio do Diretório Ativo em controladores de domínio e para grupos SAM locais em servidores e estações de trabalho. Este mapeamento continuará até que o suporte ao modo nativo seja fornecido em um release futuro do nó de extremidade do Tivoli Secureway Security Manager para Windows Introdução Gerenciamento de Segurança e Administração do Usuário O Tivoli Secureway Security Manager é integrado com a Tivoli Framework e a Tivoli SecureWay User Administration. Instalar a Tivoli SecureWay User Administration ajuda a simplificar o processo de inclusão de usuários em um grupo de segurança, mas o produto não é requerido. Em ambientes onde a Tivoli User Administration é instalada, os usuários Tivoli definidos em perfis estão disponíveis como membros potenciais de uma lista de membros do grupo de segurança. Para incluir um membro em um grupo de segurança a partir do ambiente de trabalho, você seleciona o perfil do usuário no qual o potencial membro está definido e dá um clique duplo no nome do usuário. Incluir usuários em um perfil de usuário cria uma situação em que a ordem em que os perfis de usuário e de segurança são distribuídos é importante. Um perfil de usuário contendo um novo usuário deve ser distribuído antes do perfil de segurança que contém o grupo ao qual o usuário está associado. Tivoli Secureway Security Manager Suplemento para Ms Windows

22 6 Versão 3.7

23 2 Instalando O Tivoli Secureway Security Manager para Windows 2000 contém os seguintes componentes principais que são instalados separadamente: Tivoli Secureway Security Manager para Windows 2000, Versão 3.7, Servidor Este produto deve ser instalado em todos os TMRs e nós gerenciados do Nome do Produto sem TME10 ou Tivoli a partir dos quais você gerencia gateways e nós de extremidade do Nome do Produto sem TME10 ou Tivoli. Tivoli Secureway Security Manager para Windows 2000, Versão 3.7, Gateway Este produto deve ser instalado em sistemas que servirão como um gateway para nós de extremidade. Quando você distribui para, ou preenche de, um nó de extremidade, os arquivos requeridos para esse tipo de nó de extremidade são enviados do gateway para o nó de extremidade. 2. Instalando Antes de tentar instalar o Tivoli Secureway Security Manager para Windows 2000, certifique-se de ter lido as seguintes seções: Requisitos de Software na página 8 Requisitos de Hardware na página 8 Tivoli Secureway Security Manager Suplemento para Ms Windows

24 Instalando Além disso, você deve ler as Notas de Release do Tivoli Secureway Security Manager. As notas de release incluem todas as alterações no procedimento de instalação, bem como as resoluções para os problemas conhecidos. Requisitos de Software É necessário ter os seguintes produtos instalados antes de tentar instalar o Tivoli Secureway Security Manager para Windows 2000: Tivoli Management Framework, Versão Tivoli Secureway Security Manager, Versão 3.7 Requisitos de Hardware Para obter informações sobre os requisitos de hardware para este aplicativo, consulte as Notas de Release do Tivoli Secureway Security Manager. Instalando com o Serviço de Instalação de Software Tivoli O SIS (Serviço de Instalação de Software) Tivoli é um produto que permite instalar múltiplos produtos Tivoli em múltiplos sistemas em paralelo. Este produto baseado em Java pode, portanto, instalar mais produtos em mais sistemas em muito menos tempo que o recurso de instalação do Framework. O SIS realiza verificações de pré-requisitos dos produtos, e, se definido, verificações de pré-requisitos definidas pelo usuário, garantindo o menor número de falhas de instalação possível. Na maioria dos casos, as falhas agora ocorrem somente quando as máquinas são desligadas ou removidas da rede. O SIS também cria um IR (repositório de instalação) para o qual você pode importar a imagem de instalação de um ou mais produtos Tivoli. Você pode importar apenas os tipos de interpretador necessários no seu ambiente, o que economiza espaço em disco e 8 Versão 3.7

25 Instalando tempo de importação. Em seguida, o IR torna-se a origem de todas as suas instalações da Tivoli. Você pode até compartilhar um único IR entre vários TMRs. A Tivoli recomenda que você atualize o recurso de instalação do Framework em sua instalação da Tivoli atual, através da instalação do SIS. Se você estiver instalando a Tivoli pela primeira vez, instale o SIS no primeiro nó gerenciado executando um sistema operacional suportado pelo SIS. Quando instalado, você deve utilizar o SIS para instalar outros produtos Tivoli. Consulte o Guia do Usuário do Serviço de Instalação do Software Tivoli para obter instruções sobre como instalar o SIS na instalação da Tivoli e como instalar produtos utilizando o SIS. Instalando o Tivoli Secureway Security Manager para Windows 2000 Você pode instalar os componentes do Tivoli Secureway Security Manager a partir do desktop Tivoli ou da linha de comandos. Desktop Utilize as etapas a seguir para instalar os componentes do Tivoli Secureway Security Manager a partir do desktop Tivoli: 2. Instalando Tivoli Secureway Security Manager Suplemento para Ms Windows

26 Instalando 1. Selecione a opção Instalar -> Instalar Produto... no menu Desktop para exibir o diálogo Instalar Produto. 2. Se o produto que você deseja instalar ainda não estiver exibido, clique no botão Selecionar Mídia... para exibir o diálogo Navegador de Arquivos. 10 Versão 3.7

27 Instalando O diálogo Navegador de Arquivos permite identificar ou especificar o caminho para a mídia de instalação. 2. Instalando Se você souber o caminho para a imagem de CD-ROM: a. Digite o caminho completo no campo Nome do Caminho. b. Dê um clique no botão Definir Caminho para alterar para o diretório especificado. c. Dê um clique no botão Definir Mídia e Fechar para salvar o novo caminho da mídia e retornar para o diálogo Instalação do Produto. O diálogo agora contém o produto disponível para instalação. Se você não conhecer o caminho exato para a imagem de CD-ROM: a. Na lista de deslocamento Hosts, selecione o host no qual a mídia de instalação está montada. Escolher um host atualiza a lista de rolamento Diretórios. b. Na lista de rolamento Diretórios, selecione o diretório que contém a mídia de instalação. Tivoli Secureway Security Manager Suplemento para Ms Windows

28 Instalando c. Dê um clique no botão Definir Mídia e Fechar para salvar o novo caminho da mídia e retornar para o diálogo Instalação do Produto. O diálogo agora contém o produto disponível para instalação. 3. Na lista de rolamento Selecionar Produto a Instalar, selecione uma das opções a seguir: Tivoli Secureway Security Manager para Windows 2000, Versão 3.7, Servidor Deve ser instalado em servidores TMR e nós gerenciados. Tivoli Secureway Security Manager para Windows 2000, Versão 3.7, Gateway Deve ser instalado em todas as máquinas que servirão como um gateway para os nós de extremidade do Nome do Produto sem TME10 ou Tivoli que você deseja gerenciar. 4. Para especificar os servidores TMR ou os gateways nos quais você deseja instalar o componente selecionado, utilize as teclas de seta para mover os nomes de máquinas entre a lista de rolamento Clientes Onde Será Feita a Instalação e a lista de rolamento Clientes Disponíveis. 5. Clique no botão Instalar para iniciar a instalação do componente. O processo de instalação solicita a você um diálogo Instalação do Produto. Este diálogo fornece a lista de operações que ocorrerão durante o processo de instalação. Ele também o avisa sobre qualquer problema que você queira corrigir antes de instalar o componente. 6. Clique no botão Continuar Instalação para iniciar o processo de instalação e exibir o diálogo de status Instalação de Produto. O diálogo de status Instalação de Produto apresenta informações de status como os procedimentos de instalação. Quando a instalação estiver concluída, o diálogo Instalação de Produto retornará uma mensagem de conclusão. 7. Dê um clique no botão Fechar para encerrar o diálogo. 12 Versão 3.7

29 8. Repita as etapas de 3 na página 12 a 7 na página 12 até que tenha instalado os componentes do Tivoli Secureway Security Manager em todas as máquinas em que deve instalá-los. Linha de Comandos O comando de exemplo a seguir instala os componentes do Tivoli Secureway Security Manager. Consulte o Manual de Referência da Tivoli Framework para obter mais informações sobre o comando winstall. winstall ccdrom_dir icomp_name node1 node2 Instalando onde: c cdrom_dir Especifica o caminho da imagem de CD-ROM. i comp_name Especifica o arquivo de índice a partir do qual o componente do Tivoli Secureway Security Manager é instalado. O argumento comp_name pode ser qualquer um dos seguintes: SECW2K.IND Instala o pacote de instalação do Servidor Tivoli. SECW2KGW.IND Instala o pacote de instalação da Tivoli Gateway. node1 node2 Especifica os nomes dos servidores TMR ou dos gateways nos quais instalar o componente. Se nenhuma máquina for especificada, a instalação será executada em todos os clientes da região atual. 2. Instalando Tivoli Secureway Security Manager Suplemento para Ms Windows

30 Instalando 14 Versão 3.7

31 3 Incluindo Registros de Segurança Depois de instalar o Tivoli Secureway Security Manager para Windows 2000, você pode trabalhar com os perfis de segurança conforme descrito no Guia do Usuário do Tivoli Secureway Security Manager. A maioria dos procedimentos descritos no guia também são válidos quando você gerencia perfis de segurança para nós de extremidade do Nome do Produto sem TME10 ou Tivoli. Este capítulo descreve como gerenciar perfis de segurança para nós de extremidade do Nome do Produto sem TME10 ou Tivoli e lista as considerações gerais que podem ser úteis no gerenciamento destes perfis. São suportados tipos de grupos, de recursos e de registros de funções. Os registros de política do sistema não são suportados no release atual do nó de extremidade do Tivoli Secureway Security Manager para Windows Os seguintes procedimentos são descritos neste capítulo: Como criar um registro de grupo Como criar um registro de recurso Como criar um registro de função 3. Incluindo Registros de Segurança Consulte Preenchendo a partir de um Nó de Extremidade do Nome do Produto sem TME10 ou Tivoli na página 49 e Distribuindo para um Nó de Extremidade do Nome do Produto sem TME10 ou Tivoli na página 54 para obter informações sobre como preencher e distribuir perfis de segurança. Tivoli Secureway Security Manager Suplemento para Ms Windows

32 Criando um Registro de Grupo Criando um Registro de Grupo Grupos do Tivoli Secureway Security Manager mapeiam grupos globais em um Diretório Ativo do Nome do Produto sem TME10 ou Tivoli. Os grupos globais do Windows 2000 podem ser criados apenas em controladores de domínio do Windows Os procedimentos descritos aqui para criar um registro de grupo são semelhantes aos procedimentos descritos no Capítulo 5 do Guia do Usuário do Tivoli Secureway Security Manager. Esta seção lista considerações gerais sobre como criar um registro de grupo para um nó de extremidade do Nome do Produto sem TME10 ou Tivoli e descreve ações e subações de registro de grupo da GUI do Tivoli Secureway Security Manager específicas do Nome do Produto sem TME10 ou Tivoli, que correspondem a atributos de comando da CLI do Tivoli Secureway Security Manager específicos do Nome do Produto sem TME10 ou Tivoli. Esta seção também fornece exemplos de como utilizar os atributos de comandos da CLI. Para obter informações e definições adicionais dos atributos de comandos, consulte Atributos na página 69. Considerações Gerais Antes de criar um registro de grupo para um nó de extremidade do Nome do Produto sem TME10 ou Tivoli, considere o seguinte: Os grupos globais são armazenados no Diretório Ativo e replicados para controladores de domínios dentro de um domínio. Para evitar colisões de dados e réplica desnecessária de registros de grupo, o Tivoli Secureway Security Manager requer que você especifique o domínio e o controlador de domínio onde devem ocorrer as atualizações do Diretório Ativo. Os nomes distintos identificam onde os grupos globais são criados no Diretório Ativo. O Tivoli Secureway Security Manager requer o formato de nome canônico para grupos globais, por exemplo: secw2k/tivoli/group1 16 Versão 3.7

33 Criando um Registro de Grupo Nota: O Tivoli Secureway Security Manager não cria objetos de contêineres. Portanto, o contêiner secw2k/tivoli deve existir no Diretório Ativo antes que o group1 possa ser criado. O nome da conta SAM de nível inferior de um grupo global deve conter menos de 20 caracteres e deve ser exclusivo dentro de um domínio. Definindo Atributos de Grupo Específicos do Nome do Produto sem TME10 ou Tivoli Ao criar um registro de segurança, você especifica valores para os atributos que definem o registro. A partir da GUI (interface gráfica com o usuário), você define valores de atributo clicando nas opções e digitando dados nos campos de texto, conforme descrito nas seções a seguir deste capítulo. O diálogo da GUI que exibe os registros de um determinado tipo de registro para um perfil também exibe os valores de atributo para cada registro. Na CLI (interface da linha de comandos), você define valores de atributos conforme descrito em Atributos na página 69. Além dos atributos gerais do grupo, você pode utilizar as seguintes subações da GUI para definir atributos de grupo específicos do Nome do Produto sem TME10 ou Tivoli, que estão listados entre parênteses: Nomes de Grupos (W2KName) Nomes de Grupos Especiais do W2K (W2KSamName) Lista de Usuários do W2K (W2KUserMembers) Tempos de Início de Sessão do W2K (W2KLoginTimes) Notas: 1. Os usuários atribuídos a um grupo devem estar no formato de nome canônico. 2. Os nomes de grupos devem estar no formato de nome canônico. 3. Incluindo Registros de Segurança Tivoli Secureway Security Manager Suplemento para Ms Windows

34 Criando um Registro de Grupo Especificando um Nome de Grupo Específico do Nome do Produto sem TME10 ou Tivoli Para especificar um nome de grupo específico do Nome do Produto sem TME10 ou Tivoli diferente do valor digitado no campo Nome de Grupo no diálogo Propriedades do Registro de Grupo, execute as etapas a seguir: 1. Ao clicar em Incluir Registro, em um diálogo Registros de Grupo de Segurança, será exibido o diálogo Propriedades do Registro de Grupo. 2. Se ainda não estiver exibido, selecione Editar Nomes de Grupo na lista de opções Ações para exibir a caixa de grupo Nomes de Grupo. 18 Versão 3.7

35 Criando um Registro de Grupo 3. Digite um nome de grupo no formato canônico no campo W2K. O formato canônico é mostrado no exemplo a seguir: secw2k.com/users/thisisagroup Atribuindo Nomes de Grupos SAM do Nome do Produto sem TME10 ou Tivoli Para atribuir um nome de início de sessão que suportará clientes e servidores de versões anteriores de sistemas operacionais Microsoft Windows, execute as etapas a seguir no diálogo Propriedades do Registro de Grupo: 1. Selecione Editar Nomes de Grupo na lista de opções Ações. 2. Selecione o atributo Nomes de Grupos Especiais do W2K na lista de subação. Será exibida a caixa de grupo a seguir. 3. Incluindo Registros de Segurança 3. Digite um nome de início de sessão que não contenha mais de 20 caracteres e que seja exclusivo dentro do domínio. Se for digitado um nome maior, ele ficará truncado. Nota: Se um nome SAM não for especificado, o nome comum do nome distinto W2KName será utilizado. Por exemplo, Tivoli Secureway Security Manager Suplemento para Ms Windows

36 Criando um Registro de Grupo se o nome de grupo distinto for secw2k.com/users/thisisagroup, o nome comum será ThisIsAGroup. 4. Clique no botão Criar ou Salvar (dependendo se estiver criando um novo registro ou editando um registro existente) para incluir o nome SAM no registro. Atribuindo Usuários do Nome do Produto sem TME10 ou Tivoli a um Registro de Grupo Para atribuir usuários do Nome do Produto sem TME10 ou Tivoli a um registro de grupo, execute as etapas a seguir no diálogo Propriedades do Registro de Grupo: 1. Selecione Editar Lista de Membros na lista de opções Ações. 2. Selecione o atributo Lista de Usuários do W2K. Será exibida a caixa de grupo a seguir. 3. Selecione um nó de extremidade na lista de subação Nós de Extremidade. Uma lista de usuários definidos para esse nó de extremidade é exibida na lista Usuários Disponíveis. 4. Dê um clique duplo sobre um nome de usuário ou início de sessão para incluir o usuário selecionado no registro de grupo que você está definindo. O nome distinto será exibido na lista Usuários Selecionados. Você também pode selecionar um nome de usuário e clicar no botão de seta para a direita para mover usuários para a lista Usuários Selecionados. Notas: a. Os botões e o campo de digitação abaixo da lista Usuários Disponíveis fornecem opções para navegar, selecionar tudo, limpar seleções e pesquisar. 20 Versão 3.7

37 Criando um Registro de Grupo b. Os botões e o campo de digitação abaixo da lista Usuários Selecionados fornecem opções para incluir um nome de usuário distinto digitado no formato canônico e para excluir nomes selecionados da lista. 5. Repita as etapas 3e4atéquetenha listado os usuários definidos pela Tivoli que devem ser membros do registro de grupo. Definindo Horas de Acesso O Tivoli Secureway Security Manager permite definir quando os inícios de sessão são permitidos para membros do grupo. Você pode permitir que os usuários iniciem sessão a qualquer dia e a qualquer hora ou pode restringir as horas de acesso a dias e extensões de tempo específicas. As horas de acesso devem ser especificadas em notação de 24 horas. Para definir as horas de acesso, execute as etapas a seguir no diálogo Propriedades do Registro de Grupo: 1. Selecione Editar Restrições de Tempo de Início de Sessão na lista Ações. 2. Selecione Tempos de Início de Sessão do W2K na lista de subação para exibir a caixa de grupo Tempos de Início de Sessão do W2K. 3. Clique nos dias em que os usuários podem acessar os recursos definidos no registro de recursos. O procedimento para definir restrições de tempo de acesso global é o mesmo. Você pode selecionar um ou mais dias da semana como também os seguintes botões: 3. Incluindo Registros de Segurança Tivoli Secureway Security Manager Suplemento para Ms Windows

38 Criando um Registro de Grupo Todos os Dias Possibilita aos usuários acessarem os recursos em qualquer dia. Dias da Semana Permite aos usuários acessar os recursos às segundas, terças, quartas, quintas e sextas-feiras. Limpar Desativa os inícios de sessão em todos os dias. Esta opção é freqüentemente utilizada para cancelar seleções anteriores. 4. Selecione os horários nos quais o recurso pode ser acessado. Para permitir o acesso em todas as horas, clique na caixa de opções Qualquer hora. Caso contrário, selecione as horas nos menus popup Hora de Início e Hora de Término. Para recursos terminais, especifique o deslocamento de hora e a direção do terminal relativo ao processador ao qual ele está conectado. Esta etapa precisará ser executada apenas se o terminal não estiver no mesmo fuso horário do processador e você também estiver especificando restrições de hora de acesso para limitar o acesso ao terminal a períodos de tempo específicos. Se você não especificar uma direção no menu popup Direção, qualquer valor selecionado nos menus popup hora e minutos será ignorado. Nota: Utilize os comandos wcrtsec e wmodsec para especificar os minutos que não podem ser selecionados no menu popup. Exemplos da Linha de Comandos Esta seção fornece exemplos de como definir atributos W2K para um registro de grupo: 1. O exemplo a seguir cria um grupo chamado ThisIsAGroup no Diretório Ativo na pasta da unidade de organização Tivoli no domínio secw2k.com e atribui Tim Martin e Fred Durkin como membros usuários. Fred Durkin é atribuído à pasta interna Usuários no domínio secw2k.com e Tim Martin é atribuído à pasta organizacional Dev no domínio secw2k.com. Ele também 22 Versão 3.7

39 Criando um Registro de Grupo define as restrições de hora de início de sessão aos dias da semana a qualquer hora e fornece uma descrição informativa do grupo. wcrtsec Group s W2KName= secw2k.com/tivoli/thisisagroup \ -s W2KUserMembers= secw2k.com/dev/tim Martin, \ secw2k.com/users/fred Durkin \ -s W2KLoginTimes= dias(dias da semana) hora(qualquer hora) \ -s Description= This is a global group \ -s ThisIsAGroup Nota: O caminho para o registro de grupo (secw2k.com/tivoli) deve existir no nó de extremidade na distribuição. Os membros usuários Tim Martin e Fred Durkin também devem existir no nó de extremidade na distribuição. 2. O exemplo a seguir cria um grupo denominado Staff no domínio microsoft.com na organização Dev e atribui um membro usuário de um perfil de usuário denominado Ed Smothers. wmodsec Group s W2KName= microsoft.com/dev/staff \ -s TMEUserMembers= up:ed Smothers \ -s Staff Criando um Registro de Recurso Os procedimentos descritos aqui para criar um registro de recurso são semelhantes aos procedimentos descritos no Capítulo 5 do Guia do Usuário do Tivoli Secureway Security Manager. Esta seção lista considerações sobre como criar vários tipos de registros de recursos para um nó de extremidade do Nome do Produto sem TME10 ou Tivoli e descreve ações e subações da GUI do Tivoli Secureway Security Manager, que correspondem a atributos de comando da CLI do Tivoli Secureway Security Manager. Esta seção também fornece exemplos de como utilizar os atributos de comandos da CLI. Para obter informações e definições adicionais dos atributos de comandos, consulte Atributos na página 69. Permissões e Herança no Nome do Produto sem TME10 ou Tivoli O Nome do Produto sem TME10 ou Tivoli melhora a segurança do sistema de arquivos primeiramente permitindo o controle mais 3. Incluindo Registros de Segurança Tivoli Secureway Security Manager Suplemento para Ms Windows

40 Criando um Registro de Recurso minucioso sobre as permissões e fornecendo recursos de propagação e de bloqueio mais flexíveis. Agora, você pode permitir ou negar acesso a qualquer permissão. Como antes, permitir de forma explícita uma permissão a um usuário especificamente dá a ele a autorização para executar as ações associadas a essa permissão. O aperfeiçoamento do Nome do Produto sem TME10 ou Tivoli é que você pode negar de forma explícita uma permissão a um usuário, revogando, assim, ativamente a autorização para executar as ações associadas a essa permissão. As permissões serão ainda automaticamente propagadas através da árvore de diretórios por padrão. No Windows NT 4, a única maneira de bloquear a herança de permissões de uma pasta de nível superior era atribuir permissões diferentes ao objeto. No Nome do Produto sem TME10 ou Tivoli, você pode bloquear essa herança de definições de permissão definindo um sinalizador em um objeto filho. Os recursos do tipo DIRECTORY, FILE, REGISTRY e PRINTER suportam o controle mais minucioso sobre as permissões e os novos aperfeiçoamentos do Nome do Produto sem TME10 ou Tivoli nos recursos de propagação e de bloqueio. Recursos do tipo SHARE suportam o controle mais minucioso sobre as permissões, mas não suportam a herança de permissões. Para obter uma listagem das permissões e dos sinalizadores de aplicação disponíveis para cada tipo de recurso suportado em Tivoli Secureway Security Manager para Windows 2000, consulte Tipos de Recursos na página 57. Definindo Permissões e Herança na GUI Na GUI do Tivoli Secureway Security Manager para Windows 2000, você pode definir permissões para Permitir ou Negar acesso clicando nas caixas de opções nas colunas Permitir e Negar para cada permissão. Se o objeto for um objeto de contêiner como um DIRECTORY, você poderá especificar quais objetos filhos herdarão estas permissões definindo sinalizadores de aplicação de uma lista de opções. Por exemplo, os sinalizadores de aplicação da GUI para o tipo de recurso DIRECTORY são: Apenas arquivos Apenas subpastas e arquivos Apenas subpastas 24 Versão 3.7

41 Criando um Registro de Recurso Esta pasta e arquivos Esta pasta e subpastas Apenas esta pasta (A caixa de opções Recurse será desmarcada se este sinalizador for selecionado.) Esta pasta, subpastas e arquivos O sinalizador de aplicação padrão deve aplicar permissões ao objeto de contêiner em si. Ao aplicar permissões aos objetos filhos, se você deixar a caixa de opções Recurse desmarcada, as permissões herdadas serão aplicadas apenas aos objetos filhos no contêiner. Se você marcar a caixa de opções Recurse, as permissões serão redirecionadas através da árvore de diretórios para outros contêineres e seus filhos. Você pode permitir ou bloquear a herança de permissões pai a objetos filhos para os registros de recursos DIRECTORY, FILE e REGISTRY clicando na caixa de opções Permitir permissões herdadas de pai para propagar para este objeto. Além disso, ao definir os registros de recurso DIRECTORY, FILE e REGISTRY, você pode marcar ou desmarcar a caixa de opções Permitir permissões herdadas de pai para propagar para este objeto para aceitar ou bloquear a herança de um objeto pai. Definindo Permissões e Herança na CLI Na CLI do Tivoli Secureway Security Manager para Windows 2000, as permissões negadas são incluídas com o símbolo x. Por exemplo, xread ou xr significa negar leitura, enquanto que Read ou R significa permitir leitura. Se você não especificar o sinalizador recurse, as permissões serão aplicadas apenas aos objetos e contêineres dentro do contêiner atual. Se especificar o sinalizador recurse, as permissões redirecionarão a árvore de diretórios com base nos sinalizadores de aplicação. Você pode definir os atributos InheritPerms e InheritAuditPerms para T ou F para aceitar ou negar a herança de um objeto pai (se não especificado, o padrão será T). Para obter uma listagem das permissões e dos sinalizadores de aplicação da CLI disponíveis para cada tipo de recurso suportado em Tivoli Secureway Security Manager para Windows 2000, consulte Tipos de Recursos na página Incluindo Registros de Segurança Tivoli Secureway Security Manager Suplemento para Ms Windows

42 Criando um Registro de Recurso No Access no atributo DefAccess em Tivoli Secureway Security Manager para Windows 2000 remove o grupo Todos da DACL (lista de controle de acesso arbitrário) do objeto. Isto permite que um administrador remova o grupo Todos da DACL e ainda permita o acesso de outros grupos ao recurso. O Tivoli Secureway Security Manager para Windows 2000 não permite negar No Access. Notas: 1. A palavra-chave recurse não é válida, a não ser que seja utilizada com a palavra-chave apply. 2. A palavra-chave recurse não será válida se for aplicada apenas ao objeto do contêiner. O exemplo a seguir é inválido: apply(folder) recurse Definindo Atributos de Recursos Além dos atributos gerais descritos no Capítulo 5 do Guia do Usuário do Tivoli Secureway Security Manager, você pode utilizar os seguintes campos, subações e caixas de opções da GUI para definir atributos de recursos do Nome do Produto sem TME10 ou Tivoli, que estão listados entre parênteses: Nome de Recurso (Name) Descrição (Description) Acesso Padrão (DefAccess) Permissões de Acesso Pai de Herança (InheritPerms) Acesso Interativo (IacAccess) Acesso à Rede (NwAccess) Acesso ao Sistema Operacional (SysAccess) Acesso a Usuários Autenticados (AuAccess) Criar Acesso do Proprietário (CoAccess) Controle de Auditoria de Acesso (ResAccessAudit) Permissões de Auditoria Pai de Herança (InheritAuditPerms) 26 Versão 3.7

43 Criando um Registro de Recurso Controle de Auditoria de Acesso Interativo (IacAccessAudit) Controle de Auditoria de Acesso à Rede (NwAccessAudit) Controle de Auditoria de Acesso ao Sistema Operacional (SysAccessAudit) Controle de Auditoria de Acesso a Usuários Autenticados (AuAccessAudit) Controle de Auditoria de Acesso ao Proprietário Criador (CoAccessAudit) Compartilhar Caminho (SharePath) Limite do Usuário (UserLimit) Notas: 1. Ao especificar o nome de um registro de recurso FILE ou DIRECTORY, utilize um caminho completo (<drive>:<\path\object>), conforme mostrado no exemplo a seguir: C:\security\pwfile 2. Ao definir grupos especiais para tipos de recursos que suportam as opções apply e recurse, você pode definir estas opções para cada grupo especial. Criando um Registro de Recurso do Nome do Produto sem TME10 ou Tivoli Execute as etapas a seguir para especificar o nome do recurso, a descrição e o tipo de recurso para um registro de recurso do Nome do Produto sem TME10 ou Tivoli: 3. Incluindo Registros de Segurança Tivoli Secureway Security Manager Suplemento para Ms Windows