Administração de usuários no AIX: mkuser/chuser/lsuser, /etc/security/user e como forçar a troca de senha

O que é

O AIX distribui os dados das contas de usuário por mais arquivos do que um modelo mental mínimo do Linux, baseado somente em /etc/passwd, faria supor. mkuser, chuser e lsuser são os comandos suportados para criar, alterar e listar contas; eles gravam em /etc/passwd e no banco de dados de segurança, principalmente /etc/security/user (atributos de política por usuário, como restrições de horário de login) e /etc/security/passwd (hash da senha e flags); o histórico de senhas é mantido à parte, em /etc/security/pwdhist. O mkuser deliberadamente não define senha: a man page informa que ele não cria informações de senha para o usuário. Por isso, uma conta recém-criada tem um asterisco no campo de senha e não consegue fazer login com senha até que um administrador defina uma, normalmente com passwd ou pwdadm.

O pwdadm administra as flags relacionadas à senha separadamente do valor da senha em si: pwdadm -f ADMCHG <user> força a troca na próxima vez que o usuário fizer login, independentemente de definir uma senha específica (uma senha definida por um administrador normalmente já traz essa flag), e pwdadm -q <user> mostra as flags atuais. O /etc/security/user também contém restrições de login como logintimes, que limita quando uma conta pode fazer login. Como esse atributo fica fora de /etc/passwd, uma falha de login sem causa óbvia em /etc/passwd muitas vezes tem origem nesse arquivo, e a saída do lsuser pode parecer inconsistente se o valor estiver malformado, e não apenas restritivo.

O Enhanced Role Based Access Control (RBAC) é o mecanismo do AIX para delegar comandos privilegiados específicos sem dar acesso total de root: lsattr -El sys0 -a enhanced_RBAC mostra se ele está ativo; lssecattr -F -c <path> verifica se um comando já tem uma associação de privilégio/papel antes de você criar uma personalizada; um papel (role) é exibido com lsrole -f <rolename> e atribuído com chuser roles=<rolename> <user>. As alterações em papéis ou em entradas de comandos privilegiados só chegam ao kernel depois que o setkst é executado; em seguida, o usuário ativa um papel atribuído com swrole <rolename>, que solicita a senha desse usuário.

Por que importa

Tratar o /etc/passwd como o quadro completo faz perder os controles que de fato condicionam o acesso: uma conta bloqueada, uma restrição de horário ou uma flag de troca forçada podem impedir o login, enquanto o /etc/passwd parece normal. O RBAC permite executar uma tarefa operacional sem compartilhar a senha de root, mas só se o administrador verificar antes se já existe um privilégio/papel; duplicá-lo gera autorizações conflitantes.

Como aplicar

• Crie as contas com mkuser (como root), depois defina uma senha inicial e garanta que ADMCHG esteja definida (pwdadm -q <user>; se não estiver, pwdadm -f ADMCHG <user>), para que a senha temporária nunca seja a credencial de longo prazo da conta.
• Quando um login falhar inesperadamente, inspecione o banco de dados de segurança, não apenas o /etc/passwd: use lsuser -a logintimes <user> e olhe diretamente o /etc/security/user na stanza desse usuário.
• Antes de escrever um script com um papel RBAC personalizado para um comando, verifique com lssecattr -F -c /path/to/command se ele já tem um.
• Confirme o modo Enhanced RBAC antes de depender de papéis: lsattr -El sys0 -a enhanced_RBAC.

Armadilhas

• Supor que uma conta nova criada com mkuser já é utilizável de imediato; ela não tem senha até que uma seja definida.
• Ler apenas o /etc/passwd e não perceber um logintimes ou restrição semelhante em /etc/security/user.
• Criar um novo papel RBAC para um comando que já tem uma autorização, produzindo dois caminhos sobrepostos para o mesmo privilégio.