Uso del servicio de nombres en Trusted Extensions

Para alcanzar una uniformidad entre el usuario, el host y los atributos de red dentro de un dominio de seguridad con varios sistemas Trusted Extensions, se usa un servicio de nombres para distribuir la mayor parte de la información de configuración. LDAP es un ejemplo de un servicio de nombres. El archivo nsswitch.conf determina qué servicio de nombres se utiliza. LDAP es el servicio de nombres recomendado para Trusted Extensions.

El servidor de directorios puede proporcionar el servicio de nombres LDAP para los clientes de Trusted Extensions y Oracle Solaris. El servidor debe incluir bases de datos de red de Trusted Extensions, y los clientes de Trusted Extensions deben conectarse al servidor mediante un puerto de varios niveles. El administrador de la seguridad especifica el puerto de varios niveles cuando configura Trusted Extensions.

Trusted Extensions agrega dos bases de datos de red de confianza al servidor LDAP: tnrhdb y tnrhtp. Estas bases se administran mediante la herramienta Security Templates de Solaris Management Console. Una caja de herramientas de Scope=LDAP, Policy=TSOL almacena los cambios de configuración en el servidor de directorios.

• Para obtener información sobre el uso del servicio de nombres LDAP en el SO Oracle Solaris, consulte la Guía de administración del sistema: Servicios de nombres y directorios (DNS, NIS y LDAP).

• La configuración de los clientes del servidor de directorios para Trusted Extensions se describe en la Guía de configuración de Oracle Solaris Trusted Extensions. Los sistemas Trusted Extensions pueden ser clientes de un servidor LDAP de Oracle Solaris mediante un servidor proxy LDAP que esté configurado con Trusted Extensions.

Sistemas Trusted Extensions que no están en red

Si un servicio de nombres no se usa en un sitio, los administradores deben asegurarse de que la información de configuración para los usuarios, los hosts y las redes sea idéntica en todos los hosts. Si se realiza un cambio en un host, dicho cambio debe aplicarse también en todos los demás hosts.

En un sistema Trusted Extensions que no está en red, la información de configuración se mantiene en los directorios /etc, /etc/security y /etc/security/tsol. Las acciones de la carpeta Trusted_Extensions le permiten modificar algunas partes de la información de configuración. La herramienta Security Templates de Solaris Management Console le permite modificar los parámetros de la base de datos de red. Los usuarios, los roles y los derechos se modifican mediante las herramientas User Accounts, Administrative Roles y Rights. Una caja de herramientas en This Computer con Scope=Files, Policy=TSOL almacena localmente los cambios de configuración.

Bases de datos LDAP de Trusted Extensions

Trusted Extensions amplía el esquema del servidor de directorios para acomodar las bases de datos tnrhdb y tnrhtp. Trusted Extensions define dos atributos nuevos, ipTnetNumber y ipTnetTemplateName, y dos clases de objeto nuevas, ipTnetTemplate y ipTnetHost.

Los atributos se definen de la siguiente manera:

ipTnetNumber
   ( 1.3.6.1.1.1.1.34 NAME 'ipTnetNumber'
     DESC 'Trusted network host or subnet address'
     EQUALITY caseExactIA5Match
     SYNTAX 1.3.6.1.4.1.1466.115.121.1.26
     SINGLE-VALUE )

ipTnetTemplateName
   ( 1.3.6.1.1.1.1.35 NAME 'ipTnetTemplateName'
     DESC 'Trusted network template name'
     EQUALITY caseExactIA5Match
     SYNTAX 1.3.6.1.4.1.1466.115.121.1.26
     SINGLE-VALUE )

Las clases de objeto se definen de la siguiente manera:

ipTnetTemplate
   ( 1.3.6.1.1.1.2.18 NAME 'ipTnetTemplate' SUP top STRUCTURAL
     DESC 'Object class for Trusted network host templates'
     MUST ( ipTnetTemplateName )
     MAY ( SolarisAttrKeyValue ) )

ipTnetHost
   ( 1.3.6.1.1.1.2.19 NAME 'ipTnetHost' SUP top AUXILIARY
     DESC 'Object class for Trusted network host/subnet address
           to template mapping'
     MUST ( ipTnetNumber $ ipTnetTemplateName ) )

La plantilla de definición cipso en LDAP es similar a la siguiente:

ou=ipTnet,dc=example,dc=example1,dc=exampleco,dc=com
 objectClass=top
 objectClass=organizationalUnit
 ou=ipTnet

 ipTnetTemplateName=cipso,ou=ipTnet,dc=example,dc=example1,dc=exampleco,dc=com
 objectClass=top
 objectClass=ipTnetTemplate
 ipTnetTemplateName=cipso
 SolarisAttrKeyValue=host_type=cipso;doi=1;min_sl=ADMIN_LOW;max_sl=ADMIN_HIGH;

 ipTnetNumber=0.0.0.0,ou=ipTnet,dc=example,dc=example1,dc=exampleco,dc=com
 objectClass=top
 objectClass=ipTnetTemplate
 objectClass=ipTnetHost
 ipTnetNumber=0.0.0.0
 ipTnetTemplateName=internal