用于配置 Trusted Extensions 的核对表

以下汇总了在站点上启用和配置 Trusted Extensions 所需执行的操作。其中交叉引用了别处介绍的任务。

1. 阅读。

   • 阅读《Oracle Solaris Trusted Extensions 管理员规程》的前五章。

   • 了解站点安全要求。

   • 阅读站点安全策略和 Trusted Extensions。

2. 准备。

   • 确定 root 口令。

   • 确定 PROM 或 BIOS 安全级别。

   • 确定 PROM 或 BIOS 口令。

   • 确定是否允许连接外围设备。

   • 确定是否允许访问远程打印机。

   • 确定是否允许访问无标签的网络。

   • 确定区域创建方法。

3. 启用 Trusted Extensions。

   1. 安装 Oracle Solaris OS。

      • 对于远程管理，请安装开发者群组或更大的 Solaris 软件包组。

      • 对于克隆区域创建方法，请选择 "Custom Install"（定制安装），然后安排 /zone 分区。

   2. 启用 Trusted Extensions 服务 svc:/system/labeld。

4. 如果使用 IPv6，则为 Trusted Extensions 启用 IPv6。

5. 如果使用不同于 1 的 DOI，请在 /etc/system 和 /etc/security/tsol/tnrhtp 文件中设置 DOI。

6. （可选的）创建用来克隆区域的 ZFS 池。

7. 配置标签。

   1. 完成您的站点的 label_encodings 文件。

   2. 检查并安装该文件。

   3. 重新引导。

8. 为全局区域和有标签区域配置接口。

9. 配置 Solaris Management Console。

10. 配置命名服务。

    • 使用文件命名服务（无需配置）。

    • 或者，配置 LDAP

      1. 创建一个 Trusted Extensions 代理服务器或 Trusted Extensions LDAP 服务器。

      2. 使 Solaris Management Console 服务器能够接受网络连接。

      3. 向 LDAP 注册 Solaris Management Console。

      4. 为 Solaris Management Console 创建 LDAP 工具箱。

11. 为 LDAP 配置网络连接。

    • 在远程主机模板中，将一个 LDAP 服务器或代理服务器指定给 cipso 主机类型。

    • 在远程主机模板中，将本地系统指定给 cipso 主机类型。

    • 使本地系统成为 LDAP 服务器的客户机。

12. 创建有标签区域。

    • 选项 1：使用 txzonemgr script（txzonemgr 脚本） 脚本。

    • 选项 2：使用 Trusted CDE 操作。

      1. 配置有标签区域

         1. 在 Solaris Management Console 中，将区域名称与特定标签进行关联。

         2. 运行 "Configure Zone"（配置区域）操作。

      2. 运行 "Install Zone"（安装区域）操作。

      3. 运行 "Initialize for LDAP"（为 LDAP 进行初始化）操作。

      4. 运行 "Start Zone"（启动区域）操作。

      5. 定制正在运行的区域。

      6. 运行 "Shut Down Zone"（关闭区域）操作。

      7. 在区域关闭后定制区域。

      8. （可选的）创建 ZFS 快照。

      9. 从头开始创建其余区域，或者通过使用 "Copy Zone"（复制区域）或 "Clone Zone"（克隆区域）操作创建其余区域。

13. 配置网络。请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"配置可信网络数据库（任务列表）"。

    • 标识单标签主机和有限范围主机。

    • 确定要应用于来自无标签主机的传入数据的标签。

    • 定制远程主机模板。

    • 将各个主机指定给模板。

    • 为模板指定子网。

14. 建立静态路由。请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"在 Trusted Extensions 中配置路由并检查网络信息（任务列表）"。

15. 配置本地用户和本地管理角色。

    • 要强制实现职责分离，请创建定制权限配置文件。

    • 创建 "Security Administrator"（安全管理员）角色。

    • 创建一个可以担任安全管理员角色的本地用户。

    • 创建其他角色，以及要担任这些角色的其他本地用户。

16. 在 NFS 服务器上创建起始目录。

    • 在用户可以访问的每个标签处为每个用户创建起始目录。

    • （可选的）阻止用户从其较低级别的起始目录进行读取。

17. 配置打印。请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"在 Trusted Extensions 中管理打印（任务列表）"。

18. 配置设备。请参见《Oracle Solaris Trusted Extensions 管理员规程》中的"在 Trusted Extensions 中操作设备（任务列表）"。

    1. 为角色指定 "Device Management"（设备管理）配置文件或 "System Administrator"（系统管理员）配置文件。

    2. 要使设备可用，请执行以下操作之一：

       • 逐个系统地使设备成为可分配的。

       • 为选定的用户和角色指定 "Allocate Device"（分配设备）授权。

19. 配置 Oracle Solaris 功能。

    • 配置审计。

    • 配置安全设置。

    • 使特定的 LDAP 客户机充当 LDAP 管理系统。

    • 配置 LDAP 中的用户。

    • 配置 LDAP 中的网络角色。

    • 挂载并共享文件系统。请参见《Oracle Solaris Trusted Extensions 管理员规程》中的第 11  章 "在 Trusted Extensions 中管理和挂载文件（任务）"