Montages NFS dans Trusted Extensions

Les montages NFS dans Trusted Extensions sont similaires aux montages d'Oracle Solaris. Ils ne présentent de différences qu'au niveau de l'utilisation du nom de chemin racine de zone lors du montage d'une zone étiquetée dans Trusted Extensions et de l'application de la stratégie MAC.

Les partages NFS dans Trusted Extensions sont similaires aux partages d'Oracle Solaris dans une zone globale. Cependant, le partage des fichiers d'une zone étiquetée sur un système multiniveau est propre à Trusted Extensions :

• Partages et montages dans la zone globale : les procédures de partage et de montage de fichiers dans la zone globale d'un système Trusted Extensions sont presque identiques aux procédures correspondantes dans le SE Oracle Solaris. Le montage de fichiers peut être effectué à l'aide de l'automonteur, du fichier vfstab ou de la commande mount. Le partage de fichiers est réalisé à l'aide du fichier dfstab.

• Montages dans des zones étiquetées : le montage de fichiers dans des zones étiquetées de Trusted Extensions est presque identique au montage de fichiers dans des zones non globales du SE Oracle Solaris. Le montage de fichiers peut être effectué à l'aide de l'automonteur, du fichier vfstab ou de la commande mount. Dans Trusted Extensions, un fichier de configuration automount_home_étiquette spécifique existe pour chaque zone étiquetée.

• Partages dans des zones étiquetées : les fichiers d'une zone étiquetée peuvent être partagés sous l'étiquette de la zone à l'aide d'un fichier dfstab ; ce fichier se trouve sous l'étiquette de la zone, mais est uniquement visible depuis la zone globale. Par conséquent, c'est l'administrateur de la zone globale qui, dans la zone globale, configure une zone étiquetée de manière à ce qu'elle partage ses fichiers. Ce fichier de configuration n'est pas visible depuis la zone étiquetée correspondante. Pour plus d'informations, reportez-vous à la section Processus de zone globale et zones étiquetées.

Les étiquettes déterminent quels fichiers peuvent être montés. Les fichiers sont partagés et montés sous une étiquette particulière. Pour qu'un client Trusted Extensions écrive dans un fichier qui est monté via NFS, le fichier doit être monté avec des autorisations en lecture/écriture et doit posséder la même étiquette que le client. Si vous montez un fichier entre deux hôtes de Trusted Extensions, le serveur et le client doivent disposer de modèles d'hôte distant de type cipso compatibles. Si vous montez un fichier entre un hôte de Trusted Extensions et un hôte sans étiquette, les fichiers possédant l'étiquette unique spécifiée pour l'hôte sans étiquette dans le fichier tnrhdb peuvent être montés. Les fichiers qui sont montés avec LOFS peuvent être visualisés, mais ne peuvent pas être modifiés. Pour plus d'informations sur les montages NFS, reportez-vous à la section Accès aux répertoires montés via NFS dans Trusted Extensions.

Les étiquettes déterminent également quels répertoires et fichiers peuvent être affichés. Par défaut, les objets de niveau inférieur sont disponibles dans l'environnement d'un utilisateur. Par conséquent, dans la configuration par défaut, un utilisateur standard peut visualiser les fichiers appartenant à une zone de niveau inférieur au niveau actuel de l'utilisateur. Par exemple, les utilisateurs peuvent visualiser leurs répertoires personnels de niveau inférieur à partir d'une étiquette supérieure. Pour plus d'informations, reportez-vous à la section Création de répertoires personnels dans Trusted Extensions.

Si la sécurité du site interdit l'affichage des objets de niveau inférieur, vous pouvez rendre les répertoires de niveau inférieur invisibles pour l'utilisateur. Pour plus d'informations, reportez-vous à la section Procédure de désactivation du montage pour les fichiers de niveau inférieur .

La stratégie de montage dans Trusted Extensions n'offre pas de possibilité de contourner le MAC. Les fichiers montés visibles depuis une étiquette inférieure ne peuvent jamais être modifiés par un processus d'étiquette supérieure. Cette stratégie MAC s'applique également dans la zone globale. Un processus de zone globale ADMIN_HIGH ne peut pas modifier un fichier monté via NFS d'étiquette inférieure, tel qu'un fichier PUBLIC ou un fichier ADMIN_LOW. Les stratégies MAC appliquent la configuration par défaut et sont invisibles pour les utilisateurs standard. Les utilisateurs standard ne peuvent pas visualiser d'objets, à moins qu'ils ne disposent d'un accès MAC à ces derniers.