AIX用户管讲义理与安全策略
AIX操作系统安全配置规范
AIX安全配置程序1 账号认证编号：安全要求-设备-通用-配置-1编号：安全要求-设备-通用-配置-22密码策略编号：安全要求-设备-通用-配置-3编号：安全要求-设备-通用-配置-4编号：安全要求-设备-通用-配置-5编号：安全要求-设备-通用-配置-63审核授权策略编号：安全要求-设备-通用-配置-7(1)设置全局审核事件配置/etc/security/audit/config文件，审核特权帐号和应用管理员帐号登录、注销，用户帐号增删，密码修改，执行任务更改，组更改，文件属主、模式更改，TCP连接等事件。
classes:custom = USER_Login,USER_Logout,USER_SU,PASSWORD_Change,USER_Create,USER_Change,USER_Remove,USER_Chpass,GROUP_Create,GROUP_Change,GROUP_Remove,CRON_J obAdd,CRON_JobRemove,TCPIP_config,TCPIP_host_id,TCPIP_connect,TCPIP_access,TCPIP_route,USER _Reboot,USER_SetGroups,INSTALLP_Inst,INSTALLP_Exec,FS_Rmdir,FS_Chroot,PORT_Locked,PORT_ Change,PROC_kill,PROC_Reboot,FS_Mount,FS_Umount,PROC_Settimer,PROC_Adjtime(2)审核系统安全文件修改配置/etc/security/audit/objects文件，审核如下系统安全相关文件的修改。
/etc/security/environ:w = "S_ENVIRON_WRITE"/etc/security/group:w = "S_GROUP_WRITE"/etc/security/limits:w = "S_LIMITS_WRITE"/etc/security/login.cfg:w = "S_LOGIN_WRITE"/etc/security/passwd:r = "S_PASSWD_READ"w = "S_PASSWD_WRITE"/etc/security/user:w = "S_USER_WRITE"/etc/security/audit/config:w = "AUD_CONFIG_WR"编号：安全要求-设备-通用-配置-8编号：安全要求-设备-AIX-配置-94日志配置策略本部分对AIX操作系统设备的日志功能提出要求，主要考察设备所具备的日志功能，确保发生安全事件后，设备日志能提供充足的信息进行安全事件定位。
账户管理系统中的账号安全策略设计
账户管理系统中的账号安全策略设计随着互联网的发展，越来越多的个人和企业开始注重账户安全，因为账户安全关系到个人隐私和资产安全，一旦账户被盗取，用户就可能面临经济损失和形象受损的风险。
因此，账户管理系统中的账号安全策略设计十分重要。
一、密码安全策略在账户管理系统中，最基本的安全策略就是密码安全策略了。
由于很多用户在设置密码时比较随意，例如设置的密码过于简单或者用同一个密码多个账户共用，这样会很容易被黑客破解。
因此，应该设计一个密码复杂度策略，要求用户设置包含大小写字母、数字和特殊字符的复杂密码，并限制使用过于简单的密码。
此外，要求用户定期更换密码，以保证账户的安全。
二、多重身份认证策略除了设置密码之外，账户管理系统还应该采用多重身份认证策略，提高账户的安全级别。
多重身份认证包括短信验证、邮件验证、指纹识别和人脸识别等。
当用户在进行敏感操作时（如修改密码、转账等），需要通过多种身份认证方式进行确认，这样可有效防止黑客利用社会工程学攻击的手段窃取用户的账户信息。
三、IP白名单策略账户管理系统应该为用户提供IP白名单策略，即用户可以设置只有特定IP地址才可以登录账户。
通过这种方式，用户可以限制账号的登录范围以及使用时间，有效地提高账号的安全性。
四、异常登录检测策略账户管理系统应该设置异常登录检测策略，当发现用户登录设备、地点或时间与正常情况不同，系统应该立即将其标记成异常登录，并要求用户进行重新认证。
这种策略可避免黑客通过盗用账户或者暴力破解账户密码等方式登录账号，从而窃取用户的隐私信息。
五、账户锁定策略账户管理系统应该设置账户锁定策略，当用户多次输入错误密码或多次输入错误的验证码时，账户会被自动锁定一段时间，限制黑客的暴力破解。
此外，当发现用户账户出现异常行为时，应该采取及时的锁定措施，避免黑客利用漏洞进行攻击。
六、日志监控策略账户管理系统应该设置日志监控策略，记录用户每次登录日志、修改密码等操作，以及用户操作的时间、地点、IP地址等情况。
2024版年度aix认证教程ppt学习教案
系统性能监控与优化方法
性能监控工具
使用vmstat、iostat、 netpmon等工具监控 系统性能。
性能优化方法
根据监控结果，采取 调整内存分配、优化 磁盘I/O、优化网络配 置等措施提高系统性 能。
系统日志分析
分析系统日志文件， 定位和解决系统问题。
备份与恢复
定期备份重要数据， 掌握系统恢复方法， 确保系统安全稳定运 行。
04
存储管理与备份恢复策略
2024/2/2
15
存储概念及原理简介
存储基本概念
包括存储设备、存储介质、 存储接口等。
常见存储技术
介绍RAID、NAS、SAN 等常见存储技术及其特点。
2024/2/2
存储原理简介
阐述数据存储的基本原理， 如数据编码、存储访问方 式等。
16
AIX存储管理实践
AIX存储管理概述
硬件故障
包括电源、主板、内存、 硬盘等硬件出现问题，可 能导致系统无法启动或运 行异常。
2024/2/2
软件故障
操作系统或应用程序出现 错误，可能导致系统崩溃、 应用程序无法运行等问题。
网络故障
网络连接异常、配置错误 等，可能导致无法访问网 络资源或网络性能下降。
20
故障诊断方法和工具使用指南
观察法
02
AIX系统管理基础
2024/2/2
7
AIX系统架构与组成
01 AIX系统概述
AIX是IBM公司开发的UNIX操作系统，广泛应用 于IBM Power Systems服务器。
02 系统架构
AIX系统采用分层架构，包括硬件层、内核层、系 统调用接口层、应用层等。
03 主要组件
AIX系统安全配置指南1.0
AIX系统安全配置指南1. 远程访问控制 ........................................................................... - 2 -1.1.登陆限制 .......................................................................... - 2 -1.2.登陆屏幕欢迎词 .............................................................. - 2 -1.3.离开时锁定 ...................................................................... - 3 -1.4.强制自动注销 .................................................................. - 3 -2. 用户帐户安全 ........................................................................... - 4 -2.1. Root 帐户......................................................................... - 4 -2.2. 禁用直接 root 用户登录................................................ -4 -2.3. 用户帐户控制 .................................................................. - 5 -2.4. 禁用不需要的默认帐户 .................................................. - 6 -3. 密码安全 ................................................................................... - 7 -3.1. 设置强密码 ...................................................................... - 7 -3.2.设置密码策略 .................................................................. - 7 -4. AIX系统日常检查 ................................................................... - 9 -1. 远程访问控制1.1. 登陆限制要防止潜在黑客较难通过猜测密码来攻击系统，请在/etc/security/login.cfg 文件中设置登陆控制： 属性 用于PtYs(网络) 用于TTYs 建议值注释Sad_enabled Y Y false 很少需要“安全注意键”。
AIX 用户组和目录文件权限及安全(有修改)
AIX 用户权限管理来自：推动者社区用户管理和用户1. 用户管理概念用户账号：每个用户账号都有唯一的用户名、用户id和口令；文件所有者依据用户id判定；文件所有者一般为创建文件的用户，但root用户可以改变一个文件的所有者；固定用户：root 为超级用户，adm、adm、bin……..大多数系统文件的所有者，但不能用这些用户登录。
用户组：需要访问同一文件或执行相同功能的多个用户可放置到一个用户组，文件所有者组给了针对文件所有者更多的控制；固有用户组：system，管理者组；staff普通用户组！AIX将用户分为root用户、管理型用户和组、普通用户和组三个层次。
基本的系统安全机制是基于用户账号的。
每当用户登录后，系统就使用其用户id号作为检验用户请求权限的唯一标准；拥有创建文件的那个进程的用户id，就是被创建文件初始的所有者id，除了文件所有者root,任何其他用户不能改变文件所有者；需要共享对一组文件的访问的多咯用户可放置在一个用户组中，一个用户可属于多个用户组，每个用户组有唯一的用户组名和用户组id，当文件创建时，拥有创建文件的那个进程的用户所在的主用户组，就是被创建文件的所有者组id。
如无特殊需求，锁定与设备运行、维护等工作无关的账号,除root外的系统初始帐户都需要锁定，包括如下账户：deamon,bin,sys,adm,uucp, pconsole,nuucp,guest,nobody,lpd, esaadmin,lp,sshd,snapp, ipsec, invscout。
锁定方法如下：# chuser account_locked=TRUE username 给用户加锁检查方法：lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011'例子# lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011'root false true truedaemon false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd false true truelp false true trueinvscout false true truesnapp false true falseipsec false true truenuucp false true truepconsole false false trueesaadmin false false falsesshd true false falsenrpadm false true trueoranrp false true truesapadm false true true禁用lpd用户# chuser account_locked=true lpd查看# lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011' root false true truedaemon false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd true true truelp false true trueinvscout false true truesnapp false true falseipsec false true truenuucp false true truepconsole false false trueesaadmin false false falsesshd true false false# pwdadm -q sapadmsapadm:lastupdate = 1453417902flags = ADMCHG2. 用户组一个用户组包含一个或多个用户，每个用户都必须属于至少一个用户组，一个用户可属于多咯用户组，可以使用groups 或setgroups命令查看用户所属的组；建立用户组以便组织并区分用户，是系统管理的重要组成部分，它与系统安全策略密切相关；组管理员拥有增加、删除组中用户和组管理员的权限，有三种类型的用户组：自建用户组，根据用户情况和安全策略建立的用户组；系统管理员组，system，这个组的成员可以执行一些系统管理任务；系统定义的组：有若干个系统定义的固有用户组，某些只是为系统所有，不应当随意为其添加用户，例如，bin，sys等等；所有非系统管理员组成员的用户属于staff组；security组成员可以执行部分安全安全性管理的任务。
AIX操作系统安全配置要求及操作指南
AIX操作系统安全配置要求及操作指南
一、AIX操作系统安全配置要求
1.分级访问控制：要实施分级访问控制机制，明确管理者和普通用户
的访问等级，并分配不同的权限，使不同的用户层次由不同的权限控制。
2. 加强密码的安全策略：要加强密码的安全策略，包括定期更改密码，禁止使用过于简单的密码，不要在没有严格安全限制的情况下使用
root 权限。
3. 运行级别：禁止用户以root 身份登录系统，只有当用户需要以root 身份执行一些操作时，才能以root 身份登录，否则以普通用户身
份登录。
4.防火墙：根据网络的具体情况，采用专用防火墙或者网络模式的防
火墙，控制和限制外部计算机的访问权限。
5. 禁止外部访问：禁止外部访问系统，如FTP，telnet，外部的terminal访问等，除非有必要。
启用SSL/TLS 加密 socket 服务，防止
攻击者窃取数据。
6.定期备份：定期对重要的数据进行备份，以便在发生意外时及时进
行恢复。
7.实施流量监测：实施流量监测，实时检测系统中的网络流量和活动，以便及时捕获非法活动。
本文将详细讲述 AIX Security Expert的管理和使用方法
本文将详细讲述AIX Security Expert的管理和使用方法，当然，前提是，你需要对所有的安全指标、系统参数、系统服务都有比较深入的了解，有可能的话，我将逐步分节的加以介绍AIX系统安全的设计和管理重要性就不用多说了，大大小小的、内部外部的攻击、审计、检查等，无不涉及我们的系统安全，作为AIX系统管理员，构建一个安全可靠的生产系统运行平台，也是份内之事，事实上，如何构建出一种更好、更安全、更可靠、更合理的方式，并将统一个安全规范、安全管理、安全策略部署到IDC内所有的AIX系统，2007年年初，AIX V5.3 推出Technology Level 5，在该TL的版本中，引进了一个新的功能 --- AIX Security Expert，该工具可以在单一界面提供管理 300 多个系统安全设置的能力，而且，IBM AIX V6的版本已经推出，据悉，该功能在V6的版本中继续得到了增强，可以将安全模板直接存储在 Lightweight Directory Protocol (LDAP) 目录中，简化了在整个系统环境中安全性一致的实现。
考虑到将来我们一定会升级AIX操作系统的版本，所以，提前了解、熟悉和掌握这个新的安全配置和管理工具，对我们今后的系统管理不无裨益。
1、获得AIX® Security Expert简单的说，获得AIX Security Expert的功能是非常简单的，两个必要条件1、aix v5 v5.3 or above2、TL : 05 or above验证方式：# oslevel –s2、使用AIX® Security Expert使用一个工具，我们需要从整体上对这个工具有所了解，个人建议通过web system management的方式进行AIX Security Expert的操作和管理，这样更直观，更简单，也不容易出错，而且，安全的设置，其实操作本身是非常简单的，最重要的是，对每一个设置点的把握和理解，还有就是安全策略的制定，而这些，都需要结合具体业务系统的实际需求进行定制。
谈AIX的安全管理
Ｅ ｔｎ ｅ ｒ ｓｉｎ ｘｅ ｄ ｄｐ ｍｉｓΒιβλιοθήκη ｓ ｅ ｏ Ｅ ａ ｌｄ ｎｂｅ
Ｐｒ ｔ － ｅ ｍｉ － ｕＷ ｉ ｒ－ 一 ： ｌ ｍａ
Ｓ ｃｆ － ｕ ｉ， ｓｅ ｅａｉｓｇ ｔｆ ｅ ｙ＇ ｐ ｉ Ｉ Ｘ ：ｅｇ ｅ ｒ ｔｒ ，：ａ ｌ ： ｅ ｓ
以上 例 子 表 示 。 件 所 有 者 为 用 户 Ｆ Ｅ 有 读 写 权 限 ． 文 Ｒ Ｄ。 同
和 口令 Ｐ Ｓ ＷＯ Ｄ 每 个 用 户 都 要 保 护好 自己 的 口令 ． 防 泄 组 用 户有 读 写权 限 。 它用 户 无操 作 权 限 。允 许 使 用 Ａ Ｌ． 许 ＡＳ Ｒ 以 其 Ｃ 允 密 。 其 是 系 统管 理 员 一 定 要保 护好 超 级 用 户 Ｒ Ｏ 尤 Ｏ Ｔ的 口令 ． 否 用 户 ＷＩＭＡ 读 文 件 ． 许 用 户 ｌ ． ｓｃｒｔＳ和 ｓ ｆ执 行 文 Ｌ 允 ｉ 组 ｅｕｅ ｅ ｅ ｉ ｍ 则 ．将会 造 成 不 可 估 量 的后 果 口令 的选 择 要 注 意 以下 几 条 规 件 。
维普资讯
２０ ０ ６年第 １ 期 １
福 建 电
脑
８ ９
谈 Ａ Ｘ的安全管理 Ｉ
岁 蕾
（中 国农 业 银 行 河 南省 分 行 科技 处 河 南 郑 州 ４ ０ ５ ５０ ２）
【 要】 Ｉ 摘 ：ＡＸ是一种流行 的操作 系统 ， 广泛应用于金 融、 险、 保 电信等部 门。随着应 用的不断深入 ， １ Ａ Ｘ的安 全问题也
则： ①尽量使用数字与非字母及 大小写字母混用 ； 口令的长度 ２ 保 护 系统 的 安全 文 件 ② ． ＡＸ提供两种方式 ： Ｏ Ｍ用 来存放 系统 配置信息 、 Ｉ ① Ｄ 设备 要在 ６ 字符 以上 ； 要定期更 改 自己的 口 ： 禁止使用与个 个 ③ 令 ④ 人 联 系紧 密 的 字 符 ， ： 如 电话 、 出生 年 月 、 姓名 等 。 及一些重要产品数据 ； Ｃ （ｒ ｔ ｏ ｐｒｇ ａ ） ￣Ｔ ＢＴ ｓ ｄ ｍ ｕｎ ｓ 可信计算 ｕ ｅＣ ｉ Ｂｅ
AIX培训教材(IBM内部培训)之一
UNIX管理员AIX快速入门何为系统管理?●在很多操作系统中，系统管理包括不同的任务：⏹用户控制⏹设备管理⏹网络管理⏹性能调整⏹操作系统安装⏹备份●本专题讨论会将涉及以上所有内容日程安排⏹第一单元-AIX介绍⏹第二单元-启动AIX -第一次使用⏹第三单元-SMIT⏹第四单元-网络⏹第五单元-磁盘、逻辑卷管理⏹第六单元-文件系统(JFS)和换页空间⏹第七单元-其它设备⏹第八单元-安全管理⏹第九单元-AIX安装⏹第十单元-性能监测第一单元AIX介绍什么是AIX●运行在P系列服务器上的操作系统●A dvanced I nteractive e X ecutive⏹带有BSD附加件的UNIX System V系统⏹遵循UNIX标准●获得系统管理方面的奖项●有着更多的特性和功能连续6年保持UNIX操作系统总体性能第一Internet和Web应用功能排名第一AIX 的几项第一...●AIX 在很多技术方面都是第一，其中包括：⏹LVM●Logical Volume Manager 逻辑卷管理器●内置在操作系统中⏹JFS、JFS2●Journal File System 日志文件系统⏹动态内核●增加新设备，更改配置不需要重建AIX内核⏹mksysb●制作系统启动映像⏹SMIT●System Management Interface Tool●系统管理界面AIX 的当前情况...●AIX 5L⏹运行在32位或64位硬件上⏹有32位和64位两种核心⏹32位应用程序二进制兼容老版本AIX⏹64位应用程序需要在5L上重新编译⏹运行在单处理器、SMP和SP并行机器上⏹AIX5.1可以在所有的RS/6000, P系列服务器上运行⏹AIX 5.2支持动态逻辑分区⏹AIX 5.2不支持MCA体系结构的RS/6000机器还提供高可用性...●高可用性High Availability Cluster Multi Processor⏹HACMP程序包●软件和服务⏹可在所有的P系列服务器上运行⏹使用外置共享磁盘和HACMP软件⏹多达32台机器的集群●通常使用两台机器⏹空闲备用–机器A 正在运行应用–机器B 处于空闲状态–机器A 发生故障●机器B 重新启动一些（或所有）应用–机器A 修复好●机器B 停止应用，然后在A 上重新启动客户机A B 快速处理器备份处理器CGOHASALV1.0-10HACMP -两种流行的配置客户机A B两个处理能力相当的服务器⏹互为备份–机器A 和B 都在运行独立的应用–机器发生故障，假设为B ●机器A 运行所有（或局部）应用–机器修复后●机器A 停止机器B 的应用，然后在B 上重新启动sAIX 的相关软件...●编译器编译器，可单独购买⏹在AIX中不提供C●VisualAge C++ for AIX●C for AIX●DB2 通用数据库⏹采用Web集成的数据库⏹运行在很多平台上●WebSphere⏹电子商务产品集⏹完整的连锁部件集●Tivoli⏹完整的系统管理解决方案●Performance Toolbox/6000⏹监视多个RS/6000系统总结●RS/6000,P系列服务器和AIX●所有的UNIX都各有特点⏹包括AIX⏹不能称之为好与坏-只是不同●我们希望，通过学习您会越来越喜欢AIX⏹它的一些特性使系统管理员能够更加简单地完成管理任务。
AIX 操作系统安全配置要求及操作指南
补丁
1
应根据需要及时进行补丁装 载。对服务器系统应先进行 兼容性测试。
1
设备应配置日志功能，对用 户登录进行记录，记录内容 包括用户登录使用的账号， 登录是否成功，登录时间， 以及远程登录时，用户使用 的IP 地址。
日志
2（可选）
启用记录cron行为日志功能 和cron/at的使用情况
3
设备应配置权限，控制对日 志文件读取、修改和删除等 操作。
1、参考配置操作 修改配置文件 vi /etc/syslog.conf，加上这几行： \t\t/var/adm/authlog *.info;auth.none\t\t/var/adm/syslog\n" 建立日志文件，如下命令： touch /var/adm/authlog /var/adm/syslog chown root:system /var/adm/authlog 重新启动 syslog 服务，依次执行下列命令： stopsrc -s syslogd startsrc -s syslogd AIX 系统默认不捕获登录信息到syslogd，以上配置增加了验证信 息发送到/var/adm/authlog 和/var/adm/syslog 2、补充操作说明 1、参考配置操作 cron/At的相关文件主要有以下几个： /var/spool/cron/crontabs 存放cron任务的目录 /var/spool/cron/cron.allow 允许使用crontab命令的用户 /var/spool/cron/cron.deny 不允许使用crontab命令的用户 /var/spool/cron/atjobs 存放at任务的目录 /var/spool/cron/at.allow 允许使用at的用户 /var/spool/cron/at.deny 不允许使用at的用户 使用crontab和at命令可以分别对cron和at任务进行控制。 #crontab -l 查看当前的cron任务 #at -l 查看当前的at 任务
AIX操作系统的安全管理与优化措施的论文
AIX操作系统的安全管理与优化措施的论文aix操作系统的安全管理与优化措施引言在ibm rs／6000上运行的操作系统aix是unix的一种变体。
随着时间的推移和aix的广泛使用，系统的安全性越来越重要。
目前，aix ver 已经提供了强大的安全管理功能。
为了保障系统的安全运行，有必要深入了解aix的安全机制，从而采取有效的安全策略与技术。
在aix中，安全机制可分为五类：1）保护私有文件和数据不受他人侵犯；2）保护操作系统中的关键系统文件不受破坏；3）保护机器的物理安全性；4）保护系统免受黑客的非法入侵；5）对系统敏感事件的跟踪和审计。
1 私有数据的保护注册名和口令在aix中，安全性的核心是每一个用户的注册名logins和口令password。
每个用户都要保护好自己的口令，以防泄密。
尤其是系统管理员一定要保护好超级用户root的口令，否则，将会造成不可估量的后果。
口令的选择要注意几条规则：①尽量使用数字与非字母及大小写字母混用；②口令的长度要在6个字符以上；③要定期更改自己的口令；④禁止使用与个人联系紧密的字符，如电话、出生年月、姓名等。
文件的创建权限aix将文件权限分为三个层次：用户、同组人员、其他用户。
每一层次都可读、写、执行。
应注意缺省的文件权限unmask。
unmask是对文件权限的屛蔽，应当设置合适的unmask，保证用户文件的安全。
约束shell通过对shell程序功能的限制，例如：不让用户更改目录、用户受限于主目录、用户不能更改path变量、不可使用全路经命令和文件、不可重定向等来限制用户的活动。
aix的特色访问控制列表acl真正体现aix安全控制特色的应是acl（access controllists）。
acl的提出基于如下需求：若用户a拥有文件file1，是很敏感的私人数据，那么，他如何使用户b很容易拥有file1的读权限呢？通常是这样解决的：①root用户将文件file1通过chown给用户b，但这样用户a 将不能使用file1；②用户a可以给用户b拷贝一份，但这样系统中同时存在两份文件，会带来数据的不一致；③用户a和用户b同时加入一个新组，但如果经常使用这种作法，会给系统管理带来很大工作量，并且系统管理员很容易掌握使用情况；④最好的方法就是用户a 把用户b加入一个特殊列表，用来指使用户b可以读file1，acl正是起这个作用的一个列表本文由收集aix提供了三个命令aclget、aclput、acledit对acl进行操作。
HMCAIX用户基础手册和管理基础手册
HMC&AIX用户手册和管理手册目录目录.............................................................................................. 错误!未定义书签。
1Basic operation............................................................ 错误!未定义书签。
1.1登录HMC............................................................ 错误!未定义书签。
1.2注销HMC............................................................ 错误!未定义书签。
1.3重启HMC............................................................ 错误!未定义书签。
1.4查看网络拓状态(View Network Topology). 错误!未定义书签。
2Service Management常见功效项:............................ 错误!未定义书签。
2.1状态栏功效....................................................... 错误!未定义书签。
3Service Plans ............................................................... 错误!未定义书签。
3.1怎样查看小型机资源配置：........................... 错误!未定义书签。
3.2怎样开关机及激活分区：............................... 错误!未定义书签。
AIX用户组和目录文件权限及安全(有修改)
AIX用户权限管理来自：推动者社区用户管理和用户1.用户管理概念用户账号：每个用户账号都有唯一的用户名、用户id和口令；文件所有者依据用户id判定；文件所有者一般为创建文件的用户，但root用户可以改变一个文件的所有者；固定用户：root 为超级用户，adm、adm、bin ........... ••大多数系统文件的所有者，但不能用这些用户登录。
用户组：需要访问同一文件或执行相同功能的多个用户可放置到一个用户组，文件所有者组给了针对文件所有者更多的控制；固有用户组：system，管理者组；staff普通用户组！AIX将用户分为root用户、管理型用户和组、普通用户和组三个层次。
基本的系统安全机制是基于用户账号的。
每当用户登录后，系统就使用其用户id号作为检验用户请求权限的唯一标准；拥有创建文件的那个进程的用户id,就是被创建文件初始的所有者id,除了文件所有者root,任何其他用户不能改变文件所有者；需要共享对一组文件的访问的多咯用户可放置在一个用户组中，一个用户可属于多个用户组，每个用户组有唯一的用户组名和用户组id,当文件创建时，拥有创建文件的那个进程的用户所在的主用户组，就是被创建文件的所有者组id。
如无特殊需求，锁定与设备运行、维护等工作无关的账号，除root外的系统初始帐户都需要锁定，包括如下账户：deam on,bin, sys,adm,uucp, peon sole ,nu ucp,guest ,n obody,lpd, esaadm in, lp,sshd,s napp, ipsec, in vseout。
锁定方法如下：# chuser acco un t_locked=TRUE user name 给用户加锁检查方法：lsuser -c -a accou nt_locked logi n rlogi n ALL | sed '/A#.*/d' | tr ':' '\011'例子# lsuser -c -a accou nt_locked logi n rlogi n ALL | sed '/A#.*/d' | tr ':' '\011'root false true truedaem on false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd false true truelp false true trueinvscoutfalse true true sn app false true falseipsec false true true nu ucp false true truepeon sole false false trueesaadm in false false falsesshd true false falsen rpadm false true trueoranrp false true truesapadm false true true禁用Ipd用户# chuser acco un t_locked=true Ipd查看# Isuser -c -a accou nt_locked logi n rlogi n ALL | sed '/A#.*/d' | tr ':' '\011root false true truedaem on false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd true true truelp false true trueinfalse true truevscoutsn app false true falseipsec false true truenu ucp false true truepeon sole false false trueesaadm in false false falsesshd true false false要样改这个文件Jft好使用系统命令，在以后的AIK版本中町能不支持其他的修改方法. 用门夔修改门L_L的密码就用passwd命令，作为security组的用八修改其他用户的密码时, 就便用pwdadm命令，超级用户root修改ft他用户密码眩，就用passwd命令°这个文件也只能由root用户僅接读写.该丈件的权W ^j/etc/passwd文件权限不一致°# pwdadm -q sapadmsapadm:lastupdate = 1453417902flags = ADMCHG2.用户组一个用户组包含一个或多个用户，每个用户都必须属于至少一个用户组，一个用户可属于多咯用户组，可以使用groups或setgroups命令查看用户所属的组；建立用户组以便组织并区分用户，是系统管理的重要组成部分，它与系统安全策略密切相关；组管理员拥有增加、删除组中用户和组管理员的权限，有三种类型的用户组：自建用户组，根据用户情况和安全策略建立的用户组；系统管理员组，system，这个组的成员可以执行一些系统管理任务；系统定义的组：有若干个系统定义的固有用户组，某些只是为系统所有，不应当随意为其添加用户，例如，bin，sys等等；所有非系统管理员组成员的用户属于staff组；security组成员可以执行部分安全安全性管理的任务。
AIX系统安全配置基线
AIX系统安全配置基线AIX是IBM公司推出的一款UNIX操作系统，常用于企业级服务器和工作站。
为了确保系统的安全稳定运行，需要进行合理的安全配置。
下面是关于AIX系统安全配置的基线建议。
1. 硬件和系统环境安全- 定期检查服务器硬件并确保没有损坏或异常- 设置密码保护BIOS和引导设备- 控制机房的物理访问权限- 定期清理服务器内部和外部的灰尘，并确保服务器通风良好2. 用户账户安全- 禁止使用默认账户和密码- 最小化系统管理员账户的数量- 启用密码复杂性策略，要求密码包括大小写字母、数字和特殊字符- 定期审计和删除未使用的账户3. 文件系统和文件权限设置- 使用ACL（访问控制列表）来更细粒度地控制文件和目录的权限- 定期审计系统文件和目录的权限设置- 设置敏感文件和目录的访问监控4. 网络安全- 使用防火墙和网络隔离来保护系统免受外部攻击- 定期更新操作系统和网络设备的补丁- 禁止不必要的网络服务和端口5. 日志和监控- 启用系统日志和监控，并定期审计日志内容- 配置入侵检测系统和安全监控系统- 对系统异常行为进行实时响应和处理6. 使用安全加密通信- 对远程访问和数据传输使用SSL/TLS协议- 配置安全的VPN来保护远程访问综上所述，AIX系统安全配置基线是确保系统安全稳定地运行的关键。
通过合理的安全配置，可以降低系统被攻击的风险，保护企业的重要数据和业务运行。
同时，定期审计和更新安全配置也是必不可少的。
希望以上建议对您进行AIX系统安全配置提供帮助。
AIX操作系统是一种UNIX操作系统，通常用于企业级服务器和工作站。
它提供了一些强大的功能和性能，但是也需要进行严格的安全配置和管理，以确保系统的安全性。
本文将继续讨论AIX系统安全配置的相关内容，并详细阐述如何执行这些配置。
7. 安全更新和漏洞管理- 定期更新操作系统和安装补丁，以修复已知的漏洞和安全问题- 使用安全更新工具来自动化漏洞管理和补丁安装- 及时关注厂商发布的安全公告和漏洞通告，并采取相应的措施8. 加密和认证- 使用安全的加密算法保护数据，如AES、RSA等- 采用双因素认证来增强用户身份验证的安全性- 配置安全的SSH协议以实现加密的远程访问9. 安全审计和合规性- 使用安全审计工具来监控用户的操作行为，并记录系统级事件- 遵循合规性标准，如PCI DSS、ISO 27001等，对系统进行合规性审计- 对系统的安全配置和操作进行定期评估和测试，以确保安全性10. 系统备份和恢复- 建立系统备份和恢复的策略，确保系统可以在遭受攻击或硬件故障时快速恢复- 对备份数据进行加密和保护，以防止数据泄露和篡改- 进行恢复测试，确保备份数据的可靠性和完整性11. 终端安全- 确保终端设备的安全性，包括台式机、笔记本、移动设备等- 对终端设备进行加密和远程锁定- 安装终端安全软件，如防病毒、防恶意软件等，进行实时监控和保护12. 灾难恢复和紧急响应- 制定灾难恢复计划和紧急响应计划，以应对系统遭受自然灾害、攻击或人为错误- 执行定期的灾难恢复演练和紧急响应演练，以验证计划的有效性- 建立紧急响应小组，进行系统事件的及时响应和处置以上是AIX系统安全配置基线的相关内容，从硬件安全到灾难恢复，都需要综合考虑来确保系统的安全性和稳定性。
AIXTCPIP命令安全性
TCP/IP 命令安全性TCP/IP 中的一些命令提供操作过程中的安全环境。
这些命令是ftp、rexec和telnet。
ftp功能提供文件传送过程中的安全性。
rexec命令为在外部主机上运行命令提供安全环境。
telnet 功能为登录外部主机提供安全性。
ftp、rexec和telnet命令仅在它们操作过程中提供安全性。
也就是说，它们并不建立与其它命令一起使用的安全环境。
为了保护系统进行其它操作，使用securetcpip命令。
此命令通过禁用非可信守护程序和应用程序，及提供保护IP 层网络协议的选项，提供您保护系统安全的能力。
ftp、rexec、securetcpip和telnet命令提供以下形式的系统及数据安全性：ftp ftp命令提供传送文件的安全环境。
当用户对外部主机调用ftp命令时，提示用户输入登录标识。
显示的缺省登录标识为：用户在本地主机的当前登录标识。
提示用户输入远程主机的密码。
自动登录过程搜索本地用户的$HOME/.netrc文件以获取用于外部主机的用户标识及密码。
对于安全性，$HOME/.netrc文件的许可权必须设置为600（只能由所有者读写）。
否则，自动登录失败。
注：因为.netrc文件的使用需要将密码存储在非加密文件中，当系统配置了securetcpip命令时，ftp命令的自动登录功能不可用。
通过将ftp命令从/etc/security/config文件的tcpip 节中除去可以重新启用此功能。
要使用文件传送功能，ftp命令需要两个TCP/IP 连接，一个用于“文件传输协议”（FTP），另一个用于数据传输。
协议连接是主要的而且是安全的，因为它建立在可靠的通信端口上。
第二连接是实际数据传输所必需的，且本地及远程主机都验证了此连接的另一端由与主要连接相同的主机建立的。
如果主要连接和第二连接不是由相同主机建立，ftp命令首先显示错误消息，指出数据连接未认证，然后退出。
第二连接的这种验证防止第三主机拦截要送至另一主机的数据。
AIX-用户组和目录文件权限及安全（有修改）
AIX-用户组和目录文件权限及安全（有修改）AIX 用户权限管理来自：推动者社区用户管理和用户1. 用户管理概念用户账号：每个用户账号都有唯一的用户名、用户id和口令；文件所有者依据用户id判定；文件所有者一般为创建文件的用户，但root用户可以改变一个文件的所有者；固定用户：root为超级用户，adm、adm、bin……..大多数系统文件的所有者，但不能用这些用户登录。
用户组：需要访问同一文件或执行相同功能的多个用户可放置到一个用户组，文件所有者组给了针对文件所有者更多的控制；固有用户组：system，管理者组；staff普通用户组！AIX将用户分为root用户、管理型用户和组、普通用户和组三个层次。
基本的系统安全机制是基于用户账号的。
每当用户登录后，系统就使用其用户id号作为检验用户请求权限的唯一标准；拥有创建文件的那个进程的用户id，就是被创建文件初始的所有者id，除了文件所有者root,任何其他用户不能改变文件所有者；需要共享对一组文件的访问的多咯用户可放置在一个用户组中，一个用户可属于多个用户组，每个用户组有唯一的用户组名和用户组id，当文件创建时，拥有创建文件的那个进程的用户所在的主用户组，就是被创建文件的所有者组id。
如无特殊需求，锁定与设备运行、维护等工作无关的账号,除root 外的系统初始帐户都需要锁定，包括如下账户：deamon,bin,sys,adm,uucp,pconsole,nuucp,guest,nobody,lpd, esaadmin,lp,sshd,snapp, ipsec,invscout。
锁定方法如下：# chuser account_locked=TRUE username 给用户加锁检查方法：lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011'例子# lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011' root false true truedaemon false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd false true truelp false true trueinvscout false true truesnapp false true falseipsec false true truenuucp false true truepconsole false false trueesaadmin false false falsesshd true false falsenrpadm false true trueoranrp false true truesapadm false true true禁用lpd用户# chuser account_locked=true lpd查看# lsuser -c -a account_locked login rlogin ALL | sed '/^#.*/d' | tr ':' '\011' root false true truedaemon false true truebin false true truesys false true trueadm false true trueuucp false false falseguest false true truenobody false true truelpd true true truelp false true trueinvscout false true truesnapp false true falseipsec false true truenuucp false true truepconsole false false trueesaadmin false false falsesshd true false false# pwdadm -q sapadmsapadm:lastupdate = 1453417902flags = ADMCHG2. 用户组一个用户组包含一个或多个用户，每个用户都必须属于至少一个用户组，一个用户可属于多咯用户组，可以使用groups 或setgroups 命令查看用户所属的组；建立用户组以便组织并区分用户，是系统管理的重要组成部分，它与系统安全策略密切相关；组管理员拥有增加、删除组中用户和组管理员的权限，有三种类型的用户组：自建用户组，根据用户情况和安全策略建立的用户组；系统管理员组，system，这个组的成员可以执行一些系统管理任务；系统定义的组：有若干个系统定义的固有用户组，某些只是为系统所有，不应当随意为其添加用户，例如，bin，sys等等；所有非系统管理员组成员的用户属于staff组；security组成员可以执行部分安全安全性管理的任务。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
组的划分
在AIX系统中，一些组的成员如 system 、security 、printq 、 adm等能够执行特定的系统管理 任务
系统定义的组
system 管理大多数系统配置和维护标准软硬件
printq 管理打印队列。该组成员有权执行的典型 命令有enable、disable、qadm、qpri等
用户环境
用户环境由以下文件来建立 /etc/environment /etc/security/environ /etc/security/limits /etc/security/user
/etc/motd
/etc/motd shell
login过程将当前目录设置为用户的主目录，并 且在$HOME/.hushlogin文件不存在的情况下， 将显示/etc/motd文件的内容和关于上次登录的 信息
管理用户
为了保护重要的用户和组不受security组成员的 控制，AIX设置管理用户和管理组 只有root才能添加删除和修改管理用户和管理组 系统中的用户均可以被指定为管理用户,可查看文 件/etc/security/user的admin属性
# cat /etc/security/user user1: admin=true
三种类型组
用户组 系统管理员组 系统定义的组
三种类型组(2)
用户组 系统管理员按照用户共享文件的需要创建的，例 如同一部门，同一工程组的成员所创建的组
系统管理员组 系统管理员自动成为system组的成员，该组的成 员可以执行某些系统管理任务而无需是root用户
三种类型组(3)
系统定义的组 系统预先定义了几个组，如staff是系统中新创建 的非管理用户的缺省组，security组则可以完成 有限的安全性管理工作。其他系统定义的组用来 控制一些子系统的管理任务
§ 6.2 安全性策略 § 6.2.1 安全性的概念 § 6.2.2 文件和目录的存取许可权 § 6.2.3 安全性文件 § 6.2.4 合法性检查 § 6.2.5 安全性策略要旨 § 6.2.6 测试题
第六章 用户管理与安全策略(3)
本章要点
定义用户和组的概念 掌握添加更改删除用户的方法 掌握添加更改删除组的方法 掌握用户口令的管理 掌握与用户通信的方法 掌握控制root 特权的原则 掌握许可权位的含义及使用
6. 1. 4 安全性和用户菜单
# smitty security
6. 1. 5 用户管理
# smitty users
列示用户
# smitty lsuser
lsuser命令
在SMIT菜单选择List All Users选项时，得到的 输出是用户名、用户id、和主目录的列表；也可 以直接用lsuser命令来列示所有用户(ALL)或部 分用户的属性
AIX用户管理与安全策略
第六章 用户管理与安全策略
§ 6.1 用户和组管理 § 6.1.1 用户登陆和初始化 § 6.1.2 组的分类 § 6.1.3 用户划分 § 6.1.4 安全性和用户菜单 § 6.1.5 用户管理 § 6.1.6 组的管理 § 6.1.7 管理员和用户通信工具
第六章 3 用户划分
root用户 管理用户 普通用户
root用户
超级用户（特权用户） 可执行所有的系统管理工作，不受任何权限限制
大多数系统管理工作可以由非root的其他用户来 完成，如指定的 system、 security、printq、 cron、adm、audit组的成员。
lsuser命令的输出用到以下文件: /etc/passwd、 /etc/security/limits和/etc/security/user
组的特点 组是用户的集合，组成员需要存取组内的共享文件 每个用户至少属于一个组，同时也可以充当多个组 的成员 用户可以存取自己组集合(group set )中的共享文件， 列出组集合可用groups 或者setgroups 命令 文件主修改主组可用newgrp 或setgroups 命令
分组策略
组的划分尽量与系统的安全性策略相一致，不要 定义太多的组，如果按照数据类型和用户类型的 每种可能组合来划分组，又将走向另一个极端， 会使得日常管理过于复杂 每个组可以任命一到多个组管理员，组管理员有 权增减组成员和任命本组的管理员
security 管理用户和组、口令和控制资源限制。该 组成员有权执行的典型命令有mkuser、 rmuser、pwdadm、chuser、chgroup等
系统定义的组(2)
adm 执行性能、cron 、记帐等监控功能
staff 为所有新用户提供的缺省的组，管理员可以 在文件/usr/lib/security/mkuser.defaults中 修改该设置
/etc/profile 设置系统范围内公共变量的shell文件，设置如TERM、 MAILMSG 、MAIL等环境变量
/etc/environment 指定对所有进程适用的基本环境变量。如HOME、 LANG、TZ 、NLSPATH等
$HOME/.profile 用户在主目录下的设置文件
6. 1. 2 组的分类
6. 1. 1 用户登陆和初始化
getty
login
用户输入用户名
系统验证用户 名和密码
读取
/etc/environment /etc/profile
shell
$HOME/.profile
显示/etc/motd
设置用户环境
用户登陆
提示信息 用户名 口令
对直接连接的可用端口，由init启动的getty进程 将在终端上显示登录提示信息，该提示可在文件 /etc/security/login.cfg中设置 用户键入登录名后,系统将根据文件/etc/passwd 和/etc/security/passwd检查用户名及用户口令
最后控制权被传递给登录shell(在/etc/passwd 中定义) ，对于Bourne和Korn Shell，将运行 /etc/profile和$HOME/.profile文件，对Csh,则 执行$HOME/.login和$HOME/.cshrc文件
环境变量
用户登录时系统设置用户环境主要依据下述文件