Кратко

  • RFC 3165 отделил хранимый сценарий управления от строки запуска, выбирающей программу, аргументы и параметры исполнения.
  • В примере VACM для аварийных сценариев младшая группа могла записывать только объекты запуска и аргументов заранее настроенной строки; установка сценариев и настройка кнопок оставались за старшей группой.

Опубликованный в августе 2001 года RFC 3165 предлагал выполнять управляющие функции ближе к системам, которыми нужно управлять. Script MIB позволял передать и включить сценарий, запустить его, наблюдать за выполнением, приостановить или завершить его и получить результат. Стандарт не задавал язык программирования или среду исполнения. Поддерживающая реализация могла запускать даже скомпилированный нативный код. Поэтому речь шла не просто о синтаксисе удалённой команды, а о жизненном цикле делегированной административной работы.

Ключевое решение — отделить сценарий от способа его запуска. Строка smScriptTable обозначала код и его источник. Строка smLaunchTable — «кнопка запуска» в терминологии RFC — связывала сценарий с аргументами и параметрами, например с пределом одновременных запусков. Одной операции SNMP SET было достаточно, чтобы вызвать заранее подготовленную строку. Отдельная таблица запусков показывала состояние экземпляра, его результат и доступные управляющие действия.

У этих строк были разные понятия владельца. smLaunchOwner обозначал административного владельца строки запуска; запущенные из неё экземпляры наследовали это значение. smLaunchScriptOwner и smLaunchScriptName указывали на сам сценарий. В MIB значение owner — это административный индекс и точка привязки правил, а не доказательство того, какой человек или системная учётная запись прошли аутентификацию.

Раздел 8.3 показывает это на примере. Группа VACM junior получает право читать сценарии, кнопки и результаты владельца emergency. Её представление для записи открывает только smLaunchStart и smLaunchArgument для таких строк. Старшая группа может устанавливать аварийные сценарии и настраивать подходящие кнопки. Значит, младший оператор способен запустить уже подготовленное действие, но не получает тех же прав MIB, что нужны для создания или перенастройки этого действия.

Это пример конфигурации из стандарта, а не отчёт о реальном внедрении. RFC 3165 не определяет и универсальную песочницу. В нём сказано, что среда исполнения может использовать владельца для применения профиля безопасности, однако устройство среды и языка оставлено реализациям. Стандарт не указывает системную учётную запись сценария, доступные ему файлы или сетевые адреса и не гарантирует безопасность аргументов. Ограниченное представление SNMP сужает набор изменяемых объектов, но не делает выбранную программу безвредной.

Право запуска — не единственная значимая поверхность. Если оператор может задавать аргументы, он способен влиять на поведение подготовленного сценария. Авторство кода, владелец строки запуска, право вызвать сценарий и привилегии среды связаны, но это разные меры контроля. RFC 3165 заменил RFC 2592 1999 года, не предоставляя данных о распространённости. Его более точный исторический вклад — возможность разделить создание, настройку, запуск и наблюдение за управляющей функцией вместо передачи всех прав одному всесильному оператору.

Источники: RFC 3165, §§ 3–5, 8.1–8.3 и 10; RFC 2592; RFC 2575, модель управления доступом по представлениям; RFC 3415, более поздняя спецификация VACM; RFC 3411, архитектура SNMP.

Для проверки истории документов и границ стандартов — не как доказательства распространения — использованы текст RFC 3165 в Datatracker, карточка RFC 3165, Internet-Draft версии 04, RFC 3414 о USM, RFC 3416 об операциях протокола, RFC 3417 о транспортных отображениях, RFC 3418 о MIB и реестр IANA номеров SMI и языков.