Trusted Extensions を構成するシステムごとに、確認しておくべき情報、および構成に関して決定しておくべき事項があります。たとえば、ラベル付きゾーンを作成するには、ゾーンのクローンを Solaris ZFS ファイルシステムとして作成できるディスク容量を確保します。Solaris ZFS によって、ゾーン用の分離領域がさらに提供されます。
システムのメインホスト名および IP アドレスを確認します。
このホスト名はネットワーク上のホストの名前であり、大域ゾーンです。Solaris システムでは、次のように getent コマンドを実行するとホスト名が返されます。
# getent hosts machine1 192.168.0.11 machine1 |
ラベル付きゾーンに対して IP アドレスの割り当てを決定します。
2 つの IP アドレスを持つシステムは、マルチレベルサーバーとして動作します。IP アドレスが 1 つのシステムは、印刷またはマルチレベルタスクを実行するためには、マルチレベルサーバーにアクセスする必要があります。IP アドレスのオプションについては、「マルチレベルアクセスの計画」を参照してください。
ほとんどのシステムでは、ラベル付きゾーンのために 2 つめの IP アドレスが必要になります。ラベル付きゾーン用に 2 つめの IP アドレスを持つホストの場合の例を、次に示します。
# getent hosts machine1-zones 192.168.0.12 machine1-zones |
LDAP 構成情報を収集します。
Trusted Extensions ソフトウェアを実行する LDAP サーバーの場合、次の情報が必要です。
LDAP サーバーがサービスを提供する Trusted Extensions ドメインの名前
LDAP サーバーの IP アドレス
ロードする LDAP プロファイル名
LDAP プロキシサーバーの場合、LDAP プロキシのパスワードも必要です。
Trusted Extensions を構成するシステムごとに、ソフトウェアの有効化に先立って、構成に関する決定を行います。
システムハードウェアをどれくらい安全に保護する必要があるかを決定します。
セキュリティー保護されたサイトでは、このステップはすべてのインストール済み Solaris システムに関して行われています。
SPARC システムの場合、PROM セキュリティーレベルおよびパスワードが提供されています。
x86 システムの場合は BIOS が保護されています。
すべてのシステムで、root がパスワードで保護されています。
label_encodings ファイルを準備します。
サイト独自の label_encodings ファイルがある場合、その他の構成タスクを開始する前にファイルを確認してインストールします。サイト独自の label_encodings ファイルがない場合、Sun 提供のデフォルトファイルを使用できます。デフォルト以外の label_encodings ファイルも /etc/security/tsol ディレクトリにあります。Sun のファイルはデモファイルです。本番システムには適さないことがあります。
サイトに合わせてファイルをカスタマイズするには、『Solaris Trusted Extensions ラベルの管理』を参照してください。
label_encodings ファイルのラベルのリストから、作成する必要のあるラベル付きゾーンのリストを作成します。
次の表に、デフォルトの label_encodings ファイルでの、ラベル名と推奨されるゾーン名の一覧を示します。
ラベル |
ゾーン名 |
---|---|
PUBLIC |
public |
CONFIDENTIAL : INTERNAL |
internal |
CONFIDENTIAL : NEED TO KNOW |
needtoknow |
CONFIDENTIAL : RESTRICTED |
restricted |
NFS マウントを簡単にするため、特定のラベルのゾーン名はすべてのシステムで同じにする必要があります。マルチレベルのプリンタサーバーなどの一部のシステムでは、ラベル付きゾーンがインストールされている必要はありません。ただし、ラベル付きゾーンをプリンタサーバーにインストールする場合、そのゾーン名はネットワーク上のほかのシステムのゾーン名と同じにする必要があります。
役割をいつ作成するかを決定します。
役割になって Trusted Extensions を管理するようにサイトのセキュリティーポリシーで求められることがあります。このような場合、または、評価された構成の基準を満たすようにシステムを構成する場合、構成プロセスの早い段階で役割を作成してください。
役割を使用してシステムを構成する必要がない場合、スーパーユーザーとしてシステムを構成できます。この構成方法はあまり安全ではありません。構成時にどのユーザーがスーパーユーザーであったかは、監査レコードには示されません。スーパーユーザーはシステム上であらゆるタスクを実行できますが、役割が実行できるタスクは制限されます。したがって、役割によって構成を実行する場合、より細かく制御できます。
ゾーンの作成方法を選択します。
最初からのゾーンの作成、ゾーンのコピー、またはゾーンのクローンの作成があります。これらの方法は、作成にかかる時間、ディスク容量の要件、および堅牢性が異なります。それぞれの利点および欠点については、「Trusted Extensions でのゾーン計画」を参照してください。
LDAP 構成を計画します。
ネットワーク接続されないシステムでは、ローカルファイルを使用した管理が実用的です。
LDAP は、ネットワーク接続された環境用のネームサービスです。複数のマシンを構成する場合、データ入力された LDAP サーバーが必要です。
既存の Sun Java System Directory Server (LDAP サーバー) がある場合、Trusted Extensions を実行するシステムに LDAP プロキシサーバーを作成できます。マルチレベルのプロキシサーバーは、ラベルなしの LDAP サーバーとの通信を取り扱います。
LDAP サーバーがない場合、Trusted Extensions ソフトウェアを実行するシステムをマルチレベルの LDAP サーバーとして構成できます。
各システムおよびネットワークのセキュリティーに関するその他の問題を決定します。
たとえば、次のようなセキュリティーに関する問題を検討します。
システムに接続し、使用のために割り当てることができるデバイスがどれかを指定します。
どのラベルの、どのプリンタをシステムからアクセス可能にするかを決定します。
ゲートウェイシステム、パブリックキオスクなど、制限されたラベル範囲を持つシステムを特定します。
特定のラベルなしシステムと通信できるラベル付きシステムを決定します。