Trusted Extensions 中的常见任务（任务列表）

下面的任务列表介绍了为 Trusted Extensions 管理员设置工作环境的过程。

如何将所选的编辑器指定为可信编辑器

可信编辑器使用 $EDITOR 环境变量的值作为其编辑器。

开始之前

您必须是全局区域中的一个角色。

1. 确定 $EDITOR 变量的值。

   # echo $EDITOR

   以下是可能存在的编辑器。也可能没有设置 $EDITOR 变量。

   • /usr/dt/bin/dtpad—是 CDE 提供的编辑器。

   • /usr/bin/gedit—是 Java Desktop System Release number 提供的编辑器。Solaris Trusted Extensions (JDS) 是该桌面的可信版本。

   • /usr/bin/vi—是可视编辑器。

2. 设置 $EDITOR 变量的值。
   • 要永久性地设置该值，请在角色的 shell 初始化文件中修改该值。

     例如，在角色的起始目录中，修改 Korn shell 的 .kshrc 文件和 C shell 的 .cshrc 文件。

   • 要为当前 shell 设置该值，请在终端窗口中设置该值。

     例如，在 Korn shell 中，请使用以下命令：

     # setenv EDITOR=pathname-of-editor
     # export $EDITOR

     在 C shell 中，请使用以下命令：

     # setenv EDITOR=pathname-of-editor

     在 Bourne shell 中，请使用以下命令：

     # EDITOR=pathname-of-editor
     # export EDITOR

示例 5-1 指定可信编辑器的编辑器

编辑系统文件时，"Security Administrator"（安全管理员）角色希望使用 vi。承担该角色的用户修改角色的起始目录中的 .kshrc 初始化文件。

$ cd /home/secadmin
$ vi .kshrc

## Interactive shell
set -o vi
...
export EDITOR=vi

下次任何用户承担 "Security Administrator"（安全管理员）角色时，vi 是可信编辑器。

如何更改 root 的口令

"Security Administrator"（安全管理员）角色有权使用 Solaris Management Console 在任何时候更改任意帐户的口令。但是，Solaris Management Console 无法更改系统帐户的口令。系统帐户是 UID 低于 100 的帐户。root 是一个系统帐户，因为它的 UID 为 0。

1. 成为超级用户。

   如果您的站点已使超级用户成为 root 角色，请承担 root 角色。

2. 在 "Trusted Path"（可信路径）菜单中，选择 "Change Password"（更改口令）。
   • 在 Trusted JDS 中，单击可信窗口条中的可信符号。

     从可信路径菜单中，选择 "Change Password"（更改口令）。

     
     
   • 在 Solaris Trusted Extensions (CDE) 中，打开 "Trusted Path"（可信路径）菜单。
     1. 在工作区切换区域上单击鼠标右键。
     2. 在 "Trusted Path"（可信路径）菜单中，选择 "Change Password"（更改口令）。
     
     
3. 更改口令，然后确认更改。

示例 5-2 更改角色的口令

可承担在 LDAP 中定义的某个角色的任何用户都可以使用 "Trusted Path"（可信路径）菜单来更改该角色的口令。然后，口令将在 LDAP 中针对试图承担该角色的所有用户进行更改。

与在 Oracle Solaris OS 中一样，"Primary Administrator"（主管理员）角色可以使用 Solaris Management Console 更改角色的口令。在 Trusted Extensions 中，"Security Administrator"（安全管理员）角色可以使用 Solaris Management Console 更改其他角色的口令。

如何重新获得对桌面当前焦点的控制权

“安全注意”键组合可用来中断不可信的应用程序对指针或键盘的抓取。该键组合还可用来验证指针或键盘是否已被可信的应用程序抓取。在已被骗显示多个可信窗口条的多显示端系统中，该键组合可使指针切换到经授权的可信窗口条。

1. 要重新获得对 Sun 键盘的控制权，请使用以下键组合。

   同时按这些键可重新获得对当前桌面焦点的控制权。在 Sun 键盘上，菱形是 Meta 键。

   <Meta> <Stop>

   如果抓取（例如指针）不可信，则指针会移动到窗口条。可信指针不会移动到可信窗口条。

2. 如果您使用的不是 Sun 键盘，请使用以下键组合。

   <Alt> <Break>

   在手提电脑中，同时按这些键可重新获得对当前桌面焦点的控制权。

示例 5-3 测试口令提示符是否可信

在使用 Sun 键盘的 x86 系统上，已提示用户输入口令。光标已被抓取，并且位于口令对话框中。要检查该提示是否可信，用户可同时按 <Meta> <Stop> 键。如果指针保留在对话框中，则用户可以判定该口令提示符是可信的。

如果指针移动到了可信窗口条，则用户可判定该口令提示符可能不可信，然后可以与管理员联系。

示例 5-4 强制将指针移动到可信窗口条

在本示例中，用户没有运行任何可信的进程，但无法看到鼠标指针。要将指针移回到可信窗口条的中心，用户需同时按 <Meta> <Stop> 键。

如何获取标签的十六进制等效值

此过程提供标签的内部十六进制表示形式。此表示形式可安全地用于在公共目录中进行存储。有关更多信息，请参见 atohexlabel(1M) 手册页。

开始之前

您必须具有全局区域中的 "Security Administrator"（安全管理员）角色。有关详细信息，请参见如何进入 Trusted Extensions 的全局区域。

• 要获取标签的十六进制值，请执行下列操作之一。
  • 要获取敏感标签的十六进制值，请将标签传递到命令。

    $ atohexlabel "CONFIDENTIAL : NEED TO KNOW"
    0x0004-08-68

  • 要获取安全许可的十六进制值，请使用 -c 选项。

    $ atohexlabel -c "CONFIDENTIAL NEED TO KNOW"
    0x0004-08-68

    ---

    注 - 人类可阅读的敏感标签和安全许可标签是根据 label_encodings 文件中的规则构成的。每种类型的标签使用该文件的一个单独部分中的规则。敏感标签和安全许可标签都表达相同的基础级别的敏感度时，这些标签具有相同的十六进制形式。但是，标签可具有不同的人类可阅读形式。接受人类可阅读的标签作为输入的系统接口预期输入一种类型的标签。如果标签类型的文本字符串有所差异，则这些文本字符串无法互换使用。

    在缺省的 label_encodings 文件中，安全许可标签的等效文本不包括冒号 (:)。

    ---

示例 5-5 使用 atohexlabel 命令

当您以十六进制格式传递有效标签时，命令会返回参数。

$ atohexlabel 0x0004-08-68
0x0004-08-68

当您传递管理标签时，命令会返回参数。

$ atohexlabel admin_high
ADMIN_HIGH
atohexlabel admin_low
ADMIN_LOW

故障排除

错误消息 atohexlabel parsing error found in <string> at position 0（在位置 0 处的 <string> 中发现 atohexlabel 解析错误）表明传递到 atohexlabel 的 <string> 参数不是有效的标签或安全许可。请检查您的键入内容，并检查该标签是否存在于已安装的 label_encodings 文件中。

如何通过标签的十六进制形式获取可读标签

此过程提供了一种方法来修复存储在内部数据库中的标签。有关更多信息，请参见 hextoalabel(1M) 手册页。

开始之前

您必须具有全局区域中的 "Security Administrator"（安全管理员）角色。

• 要获取标签的内部表示形式的等效文本，请执行下列步骤之一。
  • 要获取敏感标签的等效文本，请传递标签的十六进制形式。

    $ hextoalabel 0x0004-08-68
    CONFIDENTIAL : NEED TO KNOW

  • 要获取安全许可的等效文本，请使用 -c 选项。

    $ hextoalabel -c 0x0004-08-68
    CONFIDENTIAL NEED TO KNOW

如何在系统文件中更改安全缺省值

在 Trusted Extensions 中，安全管理员可以更改或访问系统中的缺省安全设置。

/etc/security 和 /etc/default 目录中的文件包含安全设置。在 Oracle Solaris 系统中，超级用户可编辑这些文件。有关 Oracle Solaris 安全信息，请参见《System Administration Guide: Security Services》中的第 3  章 "Controlling Access to Systems (Tasks)"。

---

注意 - 仅当站点安全策略允许时您才能放宽系统安全缺省值。

---

开始之前

您必须具有全局区域中的 "Security Administrator"（安全管理员）角色。

• 使用可信编辑器来编辑系统文件。

  有关详细信息，请参见如何在 Trusted Extensions 中编辑管理文件。

  下表列出了安全文件以及要在这些文件中更改的安全参数。

  
  

  文件 任务 更多信息 /etc/default/login 减少允许的口令尝试次数。 请参见《System Administration Guide: Security Services》中的"How to Monitor All Failed Login Attempts"中的示例。 passwd(1) 手册页 /etc/default/kbd 禁用键盘关机。 《System Administration Guide: Security Services》中的"How to Disable a System’s Abort Sequence" 注 - 在管理员用于调试的主机上，KEYBOARD_ABORT 的缺省设置允许访问 kadb 内核调试器。有关调试器的更多信息，请参见 kadb(1M) 手册页。 /etc/security/policy.conf 要求为用户口令使用更强大的算法。 从该主机的所有用户中删除一项基本特权。 将该主机的用户的权限限制到基本的 Solaris 用户授权。 policy.conf(4) 手册页 /etc/default/passwd 要求用户经常更改口令。 要求用户创建差异最大的口令。 要求使用较长的用户口令。 要求使用无法在字典中找到的口令。 passwd(1) 手册页