Configuration du service d'audit dans les zones (tâches)

Le service d'audit effectue des audits sur la totalité du système, y compris les événements d'audit dans les zones. Un système doté de zones non globales peut auditer toutes les zones de manière identique, ou configurer l'audit par zone. Pour de plus amples détails, reportez-vous à la section Audit sur un système à zones Oracle Solaris. Pour la planification, reportez-vous à la section Procédure de planification de l'audit par zone.

Lorsque vous effectuez un audit des zones non globales identique à celui de la zone globale, le service d'audit s'exécute dans la zone globale. Le service recueille les enregistrements d'audit à partir de la zone globale et de toutes les zones non globales. Les administrateurs de zones non globales peuvent ne pas avoir accès aux enregistrements d'audit.

Remarque - L'administrateur de la zone globale peut choisir de modifier les masques d'audit des utilisateurs dans les zones non globales.

Lorsque vous auditez les zones non globales individuellement, un service d'audit distinct s'exécute dans chaque zone qui fait l'objet d'un audit. Chaque zone collecte ses propres enregistrements d'audit. Les enregistrements sont visibles à la zone non globale et à la zone globale à partir de la racine de zone non globale.

Procédure de configuration identique de toutes les zones pour l'audit

Cette procédure permet d'auditer chaque zone de manière identique. Cette méthode est celle qui requiert le temps système le moins important de ressources en administration.

Avant de commencer

Vous devez être dans le rôle root.

Configurez la zone globale pour l'audit.
Effectuez les tâches de la section Configuration du service d'audit (liste des tâches), à l'exception des points suivants :
- N'activez pas la stratégie d'audit perzone.
- N'activez pas le service d'audit. Vous pouvez activer le service d'audit après avoir configuré les zones non globales pour l'audit.
- Définissez la stratégie zonename. Cette stratégie permet d'ajouter le nom de la zone à chaque enregistrement d'audit.
```
# auditconfig -setpolicy +zonename
```
Si vous avez modifié les fichiers de configuration de l'audit, copiez-les de la zone globale vers chaque zone non globale.
Si vous avez modifié le fichier audit_class ou audit_event, copiez-le de l'une des deux façons suivantes :
- Vous pouvez monter en loopback les fichiers.
- Vous pouvez copier les fichiers.
La zone non globale doit être en cours d'exécution.
- Montez les fichiers audit_class et audit_event modifiés en tant que système de fichiers loopback (lofs).
  1. A partir de la zone globale, arrêtez la zone non globale.
```
# zoneadm -z non-global-zone halt
```
  2. Créez un montage loopback en lecture seule pour chaque fichier de configuration d'audit que vous avez modifié dans la zone globale.
```
# zonecfg -z non-global-zone
 add fs
    set special=/etc/security/audit-file
    set dir=/etc/security/audit-file
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
 exit
```
  3. Pour valider les changements, initialisez la zone non globale.
```
# zoneadm -z non-global-zone boot
```
    Par la suite, si vous modifiez un fichier de configuration d'audit dans la zone globale, réinitialisez la zone pour actualiser les fichiers montés en loopback dans les zones non globales.
- Copiez les fichiers.
  1. A partir de la zone globale, répertoriez le répertoire /etc/security dans la zone non globale.
```
# ls /zone/zonename/root/etc/security/
```
  2. Copiez les fichiers audit_class et audit_event modifiés dans le répertoire /etc/security de la zone.
```
# cp /etc/security/audit-file /zone/zonename/root/etc/security/audit-file
```
    Par la suite, si vous modifiez l'un de ces fichiers dans la zone globale, vous devez copier à nouveau le fichier dans les zones non globales.
Les zones non globales sont auditées lorsque le service d'audit est activé dans la zone globale.

Exemple 28-20 Montage des fichiers de configuration d'audit en tant que montage loopback dans une zone

Dans cet exemple, l'administrateur système a modifié les fichiers audit_class, audit_event et audit_warn.

Le fichier audit_warn est lu dans la zone globale uniquement, de sorte qu'il n'a pas à être monté dans les zones non globales.

Sur ce système, machine1, l'administrateur a créé deux zones non globales, machine1–webserver et machine1–appserver. L'administrateur a terminé la modification des fichiers de configuration d'audit. Si l'administrateur modifie ultérieurement les fichiers, la zone doit être réinitialisée pour relire les montages en loopback.

# zoneadm -z machine1-webserver halt
# zoneadm -z machine1-appserver halt
# zonecfg -z machine1-webserver 
 add fs
    set special=/etc/security/audit_class
    set dir=/etc/security/audit_class
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
 add fs
    set special=/etc/security/audit_event
    set dir=/etc/security/audit_event
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
  exit
# zonecfg -z machine1-appserver 
 add fs
    set special=/etc/security/audit_class
    set dir=/etc/security/audit_class
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
...
 exit

Lorsque les zones non globales sont réinitialisées, les fichiers audit_class et audit_event sont en lecture seule dans les zones.

Procédure de configuration de l'audit par zone

Cette procédure permet aux administrateurs de zones distinctes de contrôler le service d'audit dans leur zone. Pour obtenir la liste complète des options de stratégie, reportez-vous à la page de manuel auditconfig(1M).

Avant de commencer

Le profil de droits Audit Configuration (configuration d'audit) doit vous avoir été attribué pour configurer l'audit. Le profil de droits Audit Control (contrôle d'audit) doit vous avoir été attribué pour activer le service d'audit.

Endossez le rôle d'administrateur et dotez-vous des attributs de sécurité nécessaires.
Pour plus d'informations, reportez-vous à la section Procédure d'obtention des droits d'administration.
Dans la zone globale, configurez l'audit.
1. Effectuez les tâches de la section Configuration du service d'audit (liste des tâches).
2. Ajoutez la stratégie d'audit perzone. Pour la commande, reportez-vous à l'Exemple 28-8.
  Remarque - Vous n'êtes pas obligé d'activer le service d'audit dans la zone globale.
Dans chaque zone non globale que vous envisagez d'auditer, configurez les fichiers d'audit.
1. Effectuez les tâches de la section Configuration du service d'audit (liste des tâches).
2. Ne configurez pas les paramètres d'audit système.
  En particulier, n'ajoutez pas la stratégie perzone ou ahlt à la zone non globale.
Activez l'audit dans votre zone.
```
myzone# audit -s
```

Exemple 28-21 Désactivation de l'audit dans une zone non globale

Cet exemple fonctionne si la zone globale a défini la stratégie d'audit perzone. L'administrateur de zone de la zone noaudit désactive l'audit pour cette zone.

noauditzone # auditconfig -getcond
audit condition = auditing
noauditzone # audit -t
noauditzone # auditconfig -getcond
audit condition = noaudit

Ignorer les liens de navigation
Quitter l'aperu
	Administration d'Oracle Solaris : services de sécurité Oracle Solaris 11 Information Library (Français)