Este documento explica cómo configurar el acceso a la consola en un sistema Red Hat Enterprise Linux. Describe cómo deshabilitar el apagado a través de Ctrl+Alt+Del, deshabilitar el acceso de usuarios a programas de consola, y definir los permisos de archivos y dispositivos accesibles desde la consola. También cubre cómo permitir que otras aplicaciones sean accesibles desde la consola.

1. Parte IV. Configuración del sistema
Part of a system administrator's job is configuring the system for various tasks, types of users, and
hardware configurations. This section explains how to configure a Red Hat Enterprise Linux system.

2. 453
Acceso a consola
Cuando los usuarios normales (no root) se registran en un equipo localmente, se les conceden dos
tipos de permisos especiales:
1. Pueden ejecutar ciertos programas que de otra forma no podrían ejecutar.
2. Pueden tener acceso a ciertos archivos (normalmente archivos de dispositivos especiales usados
para acceder a disquetes, CD-ROMs, etc) a los que no tendrían acceso de otro manera.
Puesto que un equipo tiene varias consolas y varios usuarios pueden registrarse a la vez localmente,
uno de los usuarios tiene que ganar la carrera para acceder a los archivos. El primer usuario que se
registra en la consola será el propietario de dichos archivos. Una vez que el primer usuario sale de la
sesión, el siguiente usuario que se registra pasa a ser el propietario de los archivos.
En contraste, cada usuario que se registra en la consola podrá ejecutar programas que realizan
tareas normalmente restringidas para ser ejecutadas por el usuario root. Si se ejecuta el sistema X,
estas acciones se pueden incluir como elementos del menú en una interfaz gráfica de usuario. Tal
y como se distribuyen, los programas accesibles desde una consola incluyen los comandos halt,
poweroff, y reboot.
27.1. Deshabilitando el apagado a través de Ctrl+Alt+Del
Por defecto, /etc/inittab especifica que su sistema está configurado para apagarse y rearrancar
el sistema si se utiliza la combinación de teclas Ctrl+Alt+Del en la consola. Si desea desactivar
completamente esta opción, deberá colocar en comentario la línea /etc/inittab colocando un
símbolo de numeral o almohadilla (#) en frente a ella:
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
Opcionalmente, puede que también quiera permitir a algunos usuarios no root a que tengan derechos
para apagar el sistema desde la consola con la combinación de teclas Ctrl+Alt+Del. Para limitar
este privilegio a determinados usuarios, siga los pasos siguientes:
1. Agregue la opción -a a la línea /etc/inittab mostrada arriba, de modo que se lea lo
siguiente:
ca::ctrlaltdel:/sbin/shutdown -a -t3 -r now
El indicador -a indica al comando shutdown que debe buscar el archivo /etc/
shutdown.allow.
2. Cree un archivo denominado shutdown.allow en /etc. El archivo shutdown.allow debe
mostrar los nombres de los usuarios que pueden apagar el sistema con la combinación de teclas
Ctrl+Alt+Del. El formato del archivo shutdown.allow es una lista de nombres de usuario en
cada línea. Por ejemplo:
stephen
jack
sophie
De acuerdo a este archivo de ejemplo shutdown.allow los usuarios stephen, jack y sophie
pueden apagar el sistema desde la consola con Ctrl+Alt+Del . Cuando se utiliza esta combinación

3. 454
Colocar los archivos accesibles desde la consola
de teclas, shutdown -a en /etc/inittab comprueba si alguno de los usuarios en /etc/
shutdown.allow (o root) están conectados en una consola virtual. Si alguno de ellos lo está, el
apagado del sistema continuará; en caso contrario,se registrará un mensaje de error en la consola
del sistema.
Para más información sobre shutdown.allow, consulte la página man para shutdown.
27.2. Desactivación del acceso a programas de la consola
Para desactivar el acceso de los usuarios a los programas de la consola, debe ejecutar el siguiente
comando como root:
rm -f /etc/security/console.apps/*
En los entornos en los que la consola tiene otro sistema de seguridad (se han establecido
contraseñas en la BIOS y en el gestor de arranque, se ha desactivado la combinación de
teclas Ctrl+Alt+Delete, se han desabilitado los interruptores de encendido y reinicio, etc.),
probablemente no desee que ningún usuario que trabaje en una consola ejecute los comandos
poweroff, halt, y reboot, a los que de manera predeterminada se puede tener acceso desde la
consola.
Para quitar estas opciones, ejecute los siguientes comandos como root:
rm -f /etc/security/console.apps/poweroff
rm -f /etc/security/console.apps/halt
rm -f /etc/security/console.apps/reboot
27.3. Definición de la consola
El módulo pam_console.so usa el archivo /etc/security/console.perms para determinar los
permisos que tienen los usuarios en la consola del sistema. La sintaxis del archivo es muy flexible;
puede modificar el archivo para que estas instrucciones dejen de ser válidas. Sin embargo, el archivo
por defecto tiene una línea similar a la siguiente:
<console>=tty[0-9][0-9]* vc/[0-9][0-9]* :[0-9].[0-9] :[0-9]
Cuando los usuarios se registran, se conectan a algún terminal, bien sea un servidor X con un nombre
como :0 o mymachine.example.com:1.0 o un dispositivo como /dev/ttyS0 o /dev/ pts/2. La
opción por defecto es definir esas consolas virtuales locales y que los servidores X locales se
consideren locales, pero si desea considerar también el terminal serial próximo en el puerto /dev/
ttyS1 puede cambiar la línea para que muestre:
<console>=tty[0-9][0-9]* vc/[0-9][0-9]* :[0-9].[0-9] :[0-9] /dev/ttyS1

4. 455
Colocar los archivos accesibles desde la consola
27.4. Colocar los archivos accesibles desde la consola
La configuración predeterminada para las definiciones de permisos y de clases de dispositivos
individuales se encuentran definidas en /etc/security/console.perms.d/50-
default.perms. Para modificar permisos de archivos y de dispositivos se aconseja que cree
un nuevo archivo predeterminado en /etc/security/console.perms.d/ que contenga
su configuración preferida para un grupo especial de archivos o dispositivos. El nombre de un
archivo nuevo predeterminado debe comenzar con un número mayor que 50 (por ejemplo, 51-
default.perms) para substituir 50-default.perms.
Para lograr esto, cree un nuevo archivo denominado 51-default.perms en /etc/security/
console.perms.d/:
touch /etc/security/console.perms.d/51-default.perms
Abra el archivo predeterminado original perms, 50-default.perms. La primera sección define
clases de dispositivos de una manera similar a esto:
<floppy>=/dev/fd[0-1]*
/dev/floppy/* /mnt/floppy*
<sound>=/dev/dsp* /dev/audio* /dev/midi*
/dev/mixer* /dev/sequencer
/dev/sound/* /dev/beep
/dev/snd/*
<cdrom>=/dev/cdrom* /dev/cdroms/* /dev/cdwriter* /mnt/cdrom*
Items enclosed in brackets name the device; in the above example, <cdrom> refers to the CD-
ROM drive. To add a new device, do not define it in the default 50-default.perms file; instead,
define it in 51-default.perms. For example, to define a scanner, add the following line to 51-
default.perms:
<scanner>=/dev/scanner /dev/usb/scanner*
Por supuesto, debe utilizar el nombre apropiado del dispositivo. Asegúrese de que /dev/scanner es
realmente su scanner y no el disco duro, por ejemplo.
Una vez que haya definido apropiadamente un dispositivo o un archivo, el segundo paso
es especificar sus definiciones de permisos. La segunda sección de /etc/security/
console.perms.d/50-default.perms define esto de una manera similar a esto:
<console> 0660 <floppy> 0660 root.floppy
<console> 0600 <sound> 0640 root
<console> 0600 <cdrom> 0600 root.disk
Para definir permisos para un escáner añada una línea similar a esta en 51-default.perms:
<console> 0600 <scanner> 0600 root
Luego, cuando se registre en la consola, tendrá derechos de propiedad sobre el dispositivo /dev/
scanner y los permisos serán 0600 (permiso exclusivo de lectura y escritura). Cuando cierre la
sesión, el dispositivo será propiedadde root y seguirá teniendo permisos 0600 (ahora: permiso
exclusivo de lectura y escritura para el usuario root).

5. 456
Colocar los archivos accesibles desde la consola
Advertencia
Nunca debe modificar el archivo por defecto 50-default.perms. Para modificar
permisos para un dispositivo que ya ha sido definido en 50-default.perms añada
la definición del permiso deseado para ese dispositivo en 51-default.perms. Esto
sustituirá los permisos definidos en 50-default.perms.
27.5. Activación del acceso a la consola para otras
aplicaciones
Si desea que los usuarios de la consola puedan acceder a otras aplicaciones tendrá que trabajar un
poco más.
En primer lugar, el acceso a la consola sólo funciona para las aplicaciones que residen en /sbin/
o /usr/sbin/, de modo que la aplicación que desee ejecutar deberá estar ubicada en este lugar.
Después de verificar esto, siga los siguientes pasos:
1. Cree un vínculo del nombre de la aplicación, como el programa ejemplo foo, en la aplicación /
usr/bin/consolehelper:
cd /usr/bin ln -s consolehelper foo
2. Cree el archivo /etc/security/console.apps/foo:
touch /etc/security/console.apps/foo
3. Cree un archivo de configuración de PAM para el servicio foo en /etc/pam.d/. Un modo
sencillo de realizar esto es empezar con una copia del archivo de configuración del servicio halt
y luego modificar el archivo si desea cambiar su comportamiento:
cp /etc/pam.d/halt /etc/pam.d/foo
Now, when /usr/bin/foo is executed, consolehelper is called, which authenticates the user with
the help of /usr/sbin/userhelper. To authenticate the user, consolehelper asks for the user's
password if /etc/pam.d/foo is a copy of /etc/pam.d/halt (otherwise, it does precisely what is
specified in /etc/pam.d/foo) and then runs /usr/sbin/foo with root permissions.
En el archivo de configuración PAM, una aplicación puede ser configurada para usar el módulo
pam_timestamp para recordar (caché) un intento de conexión exitoso. Cuando una aplicación inicia y
se proporciona una autentificación adecuada (la contraseña de root), se crea un archivo timestamp.
Por defecto, una validación con éxito está cacheada durante cinco minutos. Durante este tiempo,
cualquier otra aplicación que sea configurada para usar pam_timestamp y ejecutar desde la misma
sesión, está automáticamente autenticada para el usuario — el usuario no tiene que introducir la
contraseña de root de nuevo.
Este módulo está incluido en el paquete pam. Para activar esta característica, el archivo de
configuración PAM en etc/pam.d/ debe incluir las líneas siguientes:

6. 457
Colocar los archivos accesibles desde la consola
auth include config-util
account include config-util
session include config-util
Estas líneas pueden ser copiadas desde cualquier archivo de configuración
/etc/pam.d/system- config-*. Observe que estas líneas se tienen que añadir por
debajo de cualquier otra línea auth sufficient session optional en su archivo de
configuración PAM.
If an application configured to use pam_timestamp is successfully authenticated from the
Applications (the main menu on the panel), the icon is displayed in the notification
area of the panel if you are running the GNOME or KDE desktop environment. After the
authentication expires (the default is five minutes), the icon disappears.
El usuario puede seleccionar olvidar la autentificación cacheada al pulsar el icono y
seleccionar la opción de olvidar la autentificación.
27.6. El Grupo floppy
If, for whatever reason, console access is not appropriate for you and your non-root users
require access to your system's diskette drive, this can be done using the floppy group.
Add the user(s) to the floppy group using the tool of your choice. For example, the
gpasswd command can be used to add user fred to the floppy group:
gpasswd -a fred floppy
Now, user fred is able to access the system's diskette drive from the console.