Administration à distance de Trusted Extensions (liste des tâches)

La liste ci-dessous décrit les tâches utilisées pour administrer un système Trusted Extensions à distance.

Procédure de connexion à distance à partir de la ligne de commande dans Trusted Extensions

Avant de commencer

L'utilisateur et le rôle doivent être définis de façon identique sur le système local et le système distant.

Le rôle doit disposer de l'autorisation Remote Login (connexion à distance). Par défaut, cette autorisation se trouve dans les profils de droits Remote Administration (Administration à distance) et Maintenance and Repair (Maintenance et réparations).

L'administrateur de sécurité a effectué la procédure Activation de la connexion à distance par un rôle dans Trusted Extensions du Guide de configuration d’Oracle Solaris Trusted Extensions sur tous les systèmes pouvant être administrés à distance. Lorsque le système peut être administré à partir d'un système sans étiquette, la procédure Activation de la connexion à distance à partir d’un système sans étiquette du Guide de configuration d’Oracle Solaris Trusted Extensions est également effectuée.

• Dans l'espace de travail d'un utilisateur capable d'assumer un rôle, connectez-vous à l'hôte distant.

  Utilisez la commande rlogin, ssh ou ftp.

  • Si vous utilisez la commande rlogin -l ou ssh pour vous connecter, toutes les commandes qui se trouvent dans les profils de droits du rôle sont disponibles.

  • Si vous utilisez la commande ftp, reportez-vous à page de manuel ftp(1) pour connaître les commandes disponibles.

Procédure d'administration à distance de Trusted Extensions avec dtappsession

Le programme dtappsession permet à un administrateur d'administrer un système distant exécutant CDE.

dtappsession est utile lorsqu'un système distant ne possède pas d'écran. Par exemple, dtappsession est souvent utilisé pour administrer les domaines sur des serveurs de grande capacité. Pour plus d'informations, reportez-vous à la page de manuel dtappsession(1).

Avant de commencer

Sur un système étiqueté, vous devez être dans un rôle d'administration dans la zone globale. Sur un système sans étiquette, vous devez assumer un rôle défini sur le système distant. Vous devez ensuite exécuter la connexion à distance à partir du shell du profil du rôle.

1. (Facultatif) Créez un espace de travail dédié à la session distante.

   Afin d'éviter toute confusion entre les applications CDE distantes et les applications locales, dédiez un espace de travail de rôle d'administration à cette procédure. Pour plus d'informations, reportez-vous à la section Procédure d’ajout d’un espace de travail possédant une étiquette particulière du Guide de l’utilisateur Oracle Solaris Trusted Extensions.

2. Connectez-vous à l'hôte distant.

   Vous pouvez utiliser la commande rlogin ou la commande ssh.

   $ ssh remote-host

3. Démarrez l'administration à distance.

   Dans la fenêtre de terminal, saisissez la commande dtappsession suivie du nom de l'hôte local.

   $ /usr/dt/bin/dtappsession local-host

   Le gestionnaire d'applications (Application Manager) en cours d'exécution sur l'hôte distant s'affiche sur l'hôte local. Une boîte de dialogue Exit (Quitter) s'affiche également.

4. Administrez l'hôte distant.

   Si vous avez appelé la session à distance à partir de Trusted CDE, vous pouvez utiliser des actions du dossier Trusted_Extensions.

5. Lorsque vous avez terminé, cliquez sur Exit (Quitter).
   

   ---

   Attention - La fermeture du gestionnaire d'applications ne met pas fin à la session de connexion et sa fermeture est déconseillée.

   ---

6. Dans la fenêtre de terminal, quittez la session de connexion à distance.

   Utilisez ensuite la commande hostname pour vérifier que vous vous trouvez bien sur votre hôte local.

   $ exit
   $ hostname
   local-host

Procédure d'administration à distance des systèmes à l'aide de la Console de gestion Solaris dans un système Trusted Extensions

La Console de gestion Solaris fournit une interface d'administration à distance pour la gestion des utilisateurs, des droits, des rôles et du réseau. Pour l'utiliser, vous devez assumer un rôle. Durant cette procédure, vous devez lancer la console sur le système local et indiquer le système distant comme serveur.

Avant de commencer

Vous avez effectué les procédures suivantes :

• Sur les deux systèmes : Initialisation du serveur Console de gestion Solaris dans Trusted Extensions du Guide de configuration d’Oracle Solaris Trusted Extensions

• Sur le système distant : Activation de la connexion à distance par un rôle dans Trusted Extensions du Guide de configuration d’Oracle Solaris Trusted Extensions et Activation de la Console de gestion Solaris afin qu’elle accepte les communications réseau du Guide de configuration d’Oracle Solaris Trusted Extensions

• Sur le système distant utilisé en tant que serveur LDAP : Configuration de la Console de gestion Solaris pour LDAP (liste des tâches) du Guide de configuration d’Oracle Solaris Trusted Extensions

1. Connectez-vous au système local à l'aide du rôle de l'utilisateur défini de façon identique sur le système distant.
2. Assumez le rôle que vous avez l'intention d'utiliser pour administrer le système.
3. Dans le rôle, démarrez la Console de gestion Solaris.

   Pour plus d'informations, reportez-vous à la section Initialisation du serveur Console de gestion Solaris dans Trusted Extensions du Guide de configuration d’Oracle Solaris Trusted Extensions.

   1. Dans la boîte de dialogue Server (Serveur), saisissez le nom du serveur distant.
      • Si vous utilisez LDAP comme service de nommage, saisissez le nom du serveur LDAP.

        Choisissez ensuite l'une des étendues suivantes.

        • Pour administrer les bases de données dans le service de nommage, choisissez la boîte à outils Scope=LDAP.

          Cet ordinateur (ldap-server : Scope=LDAP, Policy=TSOL)

        • Pour administrer les fichiers locaux sur le serveur LDAP, choisissez la boîte à outils Scope=Files.

          Cet ordinateur (ldap-server : Scope=Files, Policy=TSOL)

      • Si vous n'utilisez pas LDAP en tant que service de nommage, saisissez le nom du système distant que vous souhaitez administrer.

        Choisissez ensuite la boîte à outils Scope=Files.

        Cet ordinateur (remote-system : Scope=Files, Policy=TSOL)

4. Sélectionnez un outil sous System Configuration (Configuration du système).

   Lorsque vous sélectionnez un outil tel que User (Utilisateur), une boîte de dialogue affiche le nom de serveur de la Console de gestion Solaris, votre nom d'utilisateur, votre nom de rôle ainsi qu'un espace pour la saisie du mot de passe du rôle. Assurez-vous que les entrées sont correctes.

5. Connectez-vous au serveur de la Console de gestion Solaris à l'aide du rôle défini de façon identique sur le système local et le système distant.

   Saisissez le mot de passe du rôle, puis appuyez sur Login as Role (Connexion à l'aide d'un rôle). Vous pouvez maintenant utiliser la Console de gestion Solaris pour gérer le système.

   ---

   Remarque - Bien qu'il soit possible d'utiliser la Console de gestion Solaris pour exécuter dtappsession, le moyen le plus simple d'utiliser dtappsession est décrit dans la section Procédure d'administration à distance de Trusted Extensions avec dtappsession.

   ---

Procédure d'administration à distance des systèmes à l'aide de la Console de gestion Solaris depuis un système sans étiquette

Dans le cadre de cette procédure, vous exécutez le client et le serveur de la Console de gestion Solaris sur le système distant et vous affichez la console sur le système local.

Avant de commencer

Le système Trusted Extensions doit avoir assigné l'étiquette ADMIN_LOW au système local.

Le serveur de la Console de gestion Solaris du système distant doit être configuré pour accepter la connexion à distance. Pour connaître la procédure, reportez-vous à la section Activation de la Console de gestion Solaris afin qu’elle accepte les communications réseau du Guide de configuration d’Oracle Solaris Trusted Extensions.

Les deux systèmes doivent avoir le même utilisateur, auquel le même rôle permettant d'utiliser la Console de gestion Solaris doit être assigné. La plage d'étiquettes de l'utilisateur peut être celle d'un utilisateur standard mais son rôle doit posséder la plage allant de ADMIN_LOW à ADMIN_HIGH.

Vous devez être dans un rôle d'administration dans la zone globale.

1. Activez le serveur X local pour afficher la Console de gestion Solaris distante.

   # xhost + TX-SMC-Server
   # echo $DISPLAY
   :n.n

2. Sur le système local, devenez l'utilisateur autorisé à assumer un rôle pour la Console de gestion Solaris.

   # su - same-username-on-both-systems

3. Sous l'identité de cet utilisateur, connectez-vous au serveur distant en tant que rôle.

   $ rlogin -l same-rolename-on-both-systems TX-SMC-Server

4. Assurez-vous que les valeurs des variables d'environnement utilisées par la Console de gestion Solaris sont correctes.
   1. Définissez la valeur de la variable DISPLAY.

      $ DISPLAY=local:n.n
      $ export DISPLAY=local:n.n

   2. Définissez la valeur de la variable LOGNAME sur le nom d'utilisateur.

      $ LOGNAME=same-username-on-both-systems
      $ export LOGNAME=same-username-on-both-systems

   3. Définissez la valeur de la variable USER sur le nom du rôle.

      $ USER=same-rolename-on-both-systems
      $ export USER=same-rolename-on-both-systems

5. Dans le rôle, démarrez la Console de gestion Solaris à partir de la ligne de commande.

   $ /usr/sbin/smc &

6. Sélectionnez un outil sous System Configuration (Configuration du système).

   Lorsque vous sélectionnez un outil tel que User (Utilisateur), une boîte de dialogue affiche le nom de serveur de la Console de gestion Solaris, votre nom d'utilisateur, votre nom de rôle ainsi qu'un espace pour la saisie du mot de passe du rôle. Assurez-vous que les entrées sont correctes.

7. Connectez-vous au serveur à l'aide du rôle.

   Saisissez le mot de passe du rôle, puis appuyez sur Login as Role (Connexion à l'aide d'un rôle). Vous pouvez maintenant utiliser la Console de gestion Solaris pour gérer le système.

   ---

   Remarque - Lorsque vous tentez d'accéder à des informations de base de données réseau à partir d'un système autre que le serveur LDAP, l'opération échoue. La console vous permet de vous connecter à l'hôte distant et d'ouvrir la boîte à outils. Cependant, lorsque vous tentez d'accéder aux informations ou de les modifier, le message d'erreur suivant indique que vous avez sélectionné Scope=LDAP sur un système qui n'est pas le serveur LDAP :

   Management server cannot perform the operation requested.
   ...
   Error extracting the value-from-tool.
   The keys received from the client were machine, domain, Scope.
   Problem with Scope.

   ---

Procédure d'octroi à des utilisateurs spécifiques de l'autorisation de se connecter à distance à la zone globale dans Trusted Extensions

La plage d'étiquettes par défaut de l'utilisateur et le comportement par défaut de la zone sont modifiés pour permettre la connexion à distance d'un utilisateur sans rôle. Vous pouvez être amené à effectuer cette procédure pour un testeur utilisant un système étiqueté distant. Pour des raisons de sécurité, le système du testeur doit exécuter une étiquette disjointe de celle des autres utilisateurs.

Avant de commencer

Vous devez avoir une très bonne raison de laisser cet utilisateur se connecter à la zone globale.

Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.

1. Pour permettre à des utilisateurs spécifiques de se connecter à la zone globale, assignez-leur une plage d'étiquettes d'administration.

   Utilisez la Console de gestion Solaris pour assigner une autorisation ADMIN_HIGH et une étiquette minimale de ADMIN_LOW à chaque utilisateur. Pour plus d'informations, reportez-vous à la section Procédure de modification de la plage d'étiquettes d'un utilisateur dans la Console de gestion Solaris .

   Les zones étiquetées de l'utilisateur doivent elles aussi permettre la connexion.

2. Pour autoriser la connexion à distance dans la zone globale à partir d'une zone étiquetée, procédez comme suit :
   1. Ajoutez un port multiniveau pour la connexion à distance à la zone globale.

      Utilisez la Console de gestion Solaris. Le port 513 sur le protocole TCP permet la connexion à distance. Pour un exemple, reportez-vous à la section Procédure de création d'un port multiniveau pour une zone.

   2. Intégrez les modifications tnzonecfg dans le noyau.

      # tnctl -fz /etc/security/tsol/tnzonecfg

   3. Redémarrez le service de connexion à distance.

      # svcadm restart svc:/network/login:rlogin

Procédure d'utilisation de Xvnc afin d'accéder à distance à un système Trusted Extensions

La technologie VNC (Virtual Network Computing) connecte un client à un serveur distant et affiche le bureau du serveur distant dans une fenêtre sur le client. Xvnc est la version UNIX de VNC, laquelle est basée sur un serveur X standard. Trusted Extensions, permet aux clients de n'importe quelle plate-forme de se connecter à un programme Xvnc exécutant le logiciel Trusted Extensions d'accéder au serveur Xvnc et de visualiser et travailler dans un bureau multiniveau.

Avant de commencer

Vous avez installé et configuré le logiciel Trusted Extensions sur le système qui sera utilisé en tant que serveur Xvnc. Vous avez créé et initialisé les zones étiquetées. Votre serveur Xvnc reconnaît les clients VNC par nom d'hôte ou adresse IP.

Vous êtes superutilisateur dans la zone globale du système qui sera utilisé en tant que serveur Xvnc.

1. Configurez le serveur Xvnc.

   Pour plus d'informations, reportez-vous aux pages de manuel Xvnc(1) et vncconfig(1).

   ---

   Attention - Si vous exécutez la version Solaris 10 10/08 ou Solaris 10 5/08, vous devez mettre à niveau votre système avant de configurer le serveur. Pour un système SPARC, installez la dernière version du patch 125719. Pour un système x86, installez la dernière version du patch 125720.

   ---

   1. Créez le répertoire de configuration Xservers.

      # mkdir -p /etc/dt/config

   2. Copiez le fichier /usr/dt/config/Xservers dans le répertoire /etc/dt/config.

      # cp /usr/dt/config/Xservers /etc/dt/config/Xservers

   3. Modifiez le fichier /etc/dt/config/Xservers pour démarrer le programme Xvnc plutôt que Xserver ou Xorg.

      Dans cet exemple, l'entrée est configurée pour permettre la connexion au serveur sans mot de passe. Pour réussir à se connecter au bureau, l'UID local doit être none au lieu de console.

      L'entrée est fractionnée pour permettre son affichage. L'entrée doit être sur une seule ligne.

      #   :0  Local local_uid@console root /usr/X11/bin/Xserver :0 -nobanner
        :0  Local local_uid@none root /usr/X11/bin/Xvnc :0 -nobanner 
        -AlwaysShared -SecurityTypes None -geometry 1024x768x24 -depth 24

      ---

      Remarque - Une configuration plus sûre consiste à exiger un mot de passe à l'aide du paramètre -SecurityTypes VncAuth. La page de manuel Xvnc(1) décrit les exigences de mot de passe.

      ---

   4. Redémarrez le serveur ou démarrez le serveur Xvnc.

      # reboot

      Après le redémarrage, assurez-vous que le programme Xvnc est en cours d'exécution.

      # ps -ef | grep Xvnc
        root  2145  932  0  Jan 18 ?  6:15 /usr/X11/bin/Xvnc :0 -nobanner 
        -AlwaysShared -SecurityTypes None -geometry 1024

2. Sur chaque client VNC du serveur Xvnc de Trusted Extensions, installez le logiciel client VNC.

   Pour le système client, vous disposez d'un choix de logiciels. Cet exemple utilise le logiciel Sun VNC.

   # cd SUNW-pkg-directory
   # pkgadd -d . SUNWvncviewer

3. Dans une fenêtre de terminal sur un client VNC, connectez-vous au serveur.

   % /usr/bin/vncviewer Xvnc-server-hostname

4. Dans la fenêtre qui s'affiche, saisissez votre nom et votre mot de passe.

   Poursuivez la procédure de connexion. Pour une description des étapes restantes, reportez-vous à la section Connexion à Trusted Extensions du Guide de l’utilisateur Oracle Solaris Trusted Extensions.

   Si vous vous êtes connecté au serveur en tant que superutilisateur, vous pouvez l'administrer directement. Si vous vous êtes connecté au serveur en tant qu'utilisateur, vous devez assumer un rôle pour administrer le système.