Wer darf was mit welchen Daten?
Zugriffskontrolle legt fest, wer welche Daten lesen, ändern oder löschen darf. Das Prinzip der minimalen Rechte sagt: Jede Person bekommt nur die Rechte, die ihre Aufgabe braucht.
Ein Praktikant in einer Verwaltung bekommt am ersten Tag Zugriff auf alle Gehaltsdaten, weil das schneller geht. Ein Klick auf die falsche Mail, und ein Fremder hat alles.
Am Ende dieser Lektion
Notiz
Ich kann entscheiden, wer was tun darf.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Zugriffskontrolle | die Regeln, die festlegen, wer was tun darf | |
| Recht | die Erlaubnis zu einer Handlung | lesen |
| Rolle | eine Gruppe von Rechten für eine Aufgabe | |
| Minimale Rechte | nur die Rechte, die die Aufgabe braucht | |
| Funktionstrennung | eine Person erledigt nie alle Schritte allein | |
| Rechtetabelle | eine Liste, wer welche Rechte hat |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Eine Regel nennt Person, Recht und Ressource
Jede Regel beantwortet drei Fragen. Wer? Eine Person oder eine Gruppe. Was? Ein Recht wie lesen, schreiben, freigeben oder löschen. Womit? Eine Ressource wie eine Datei oder ein Dienst.
Alles, was nicht erlaubt ist, ist verboten. Ein System, das nur Verbote aufzählt, vergisst immer eines.
Ein Beispiel: Rechte je Rolle
| Rolle | lesen | schreiben | freigeben | löschen |
|---|---|---|---|---|
| Gast | ja | nein | nein | nein |
| Mitarbeit | ja | ja | nein | nein |
| Leitung | ja | ja | ja | nein |
| Verwaltung | ja | nein | nein | ja |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Minimale Rechte begrenzen den Schaden
Wer nur die nötigen Rechte hat, kann auch nur dort Schaden anrichten. Das gilt für Irrtümer und für gestohlene Konten.
Vergeben Sie Rechte über Rollen, nicht einzeln. Wechselt eine Person das Team, ändern Sie die Rolle. So bleiben keine alten Rechte zurück.
Funktionstrennung verhindert Alleingänge
Bei wichtigen Abläufen sollen zwei Personen mitwirken. Wer eine Überweisung anlegt, gibt sie nicht selbst frei. Wer Programmtext schreibt, spielt ihn nicht allein auf den Server.
In der Rechtetabelle erkennen Sie das daran, dass keine Person schreiben und freigeben zugleich darf.
Ein häufiger Fehler
Warnung
Viele glauben, vorsichtshalber lieber zu viele Rechte zu vergeben, dann beschwert sich niemand. Doch zu viele Rechte vergrößern den Schaden jedes Fehlers und jedes gestohlenen Kontos. Beginnen Sie mit wenig und erweitern Sie auf Anfrage.
Auf Linux sind Rechte an jeder Datei sichtbar
Im Lab zeigt stat für jede Datei Modus, Besitzer und Gruppe. Die Kontenliste /etc/passwd darf jede Person lesen, nur root darf sie ändern. Die Passwortdatei /etc/shadow darf nur root und die Gruppe shadow lesen.
Die Ausgabe sind zwei Zeilen: -rw-r--r-- root root und -rw-r----- root shadow.
Rechte von Kontenliste und Passwortdatei
stat -c '%A %U %G' /etc/passwd /etc/shadowHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die Gruppe sudo hat viele Rechte
Wer in der Gruppe sudo ist, darf Befehle mit den Rechten von root ausführen. Das ist die mächtigste Rolle auf dem Server und gehört nur wenigen Personen.
Der Befehl zeigt Name und Nummer der Gruppe: sudo:27. Die Mitglieder zeigt er bewusst nicht.
Name und Nummer der Gruppe sudo
getent group sudo | cut -d: -f1,3Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Eine Rechtetabelle lässt sich auszählen
Eine Rechtetabelle hat eine Zeile je Person und Recht. Der nächste Befehl nimmt drei erfundene Zeilen, schneidet die Namen aus und zählt sie. Sam hat zwei Rechte, Alex eins.
Rechte je Person zählen
printf 'alex;lesen\nsam;lesen\nsam;schreiben\n' | cut -d';' -f1 | sort | uniq -cHier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.