通过 Trusted Extensions 软件提供的设备保护

在 Oracle Solaris 系统上，可通过分配和授权机制来保护设备。缺省情况下，一般用户无需获得授权即可访问设备。配置有 Trusted Extensions 功能的系统采用 Oracle Solaris OS 的设备保护机制。

但是，缺省情况下，Trusted Extensions 要求设备在分配后才能使用并且用户获得授权后才能使用设备。此外，设备还受标签保护。Trusted Extensions 为管理员提供了用来管理设备的图形用户界面 (graphical user interface, GUI)。用户也使用该界面来分配设备。

有关 Oracle Solaris 中的设备保护的信息，请参见《Oracle Solaris 管理：安全服务》中的第 5  章 "控制对设备的访问（任务）"。

在配置有 Trusted Extensions 的系统中，由两个角色进行设备保护。

• "System Administrator"（系统管理员）角色控制对外围设备的访问。

  系统管理员使设备成为可分配的。系统管理员使之不可分配的设备不能被任何人使用。可分配的设备只能由经授权的用户进行分配。

• "Security Administrator"（安全管理员）角色限制可以在哪些标签访问设备并设置设备策略。安全管理员决定向哪个用户授予分配设备的权限。

Trusted Extensions 软件提供的设备控制机制的主要特征如下：

• 缺省情况下，Trusted Extensions 系统中未经授权的用户不能分配如磁带机、CD-ROM 驱动器、磁盘驱动器等设备。

  具有 "Allocate Device"（分配设备）授权的一般用户可以在用户分配设备的标签导入或导出信息。

• 直接登录后，用户可调用 "Device Allocation Manager"（设备分配管理器）来分配设备。要远程分配设备，用户必须具有对全局区域的访问权限。通常情况下，只有角色具有对全局区域的访问权限。

• 安全管理员可对每个设备的标签范围进行限制。一般用户只能访问设备标签范围中包括允许用户使用的标签的设备。缺省的设备标签范围为 ADMIN_LOW 到 ADMIN_HIGH。

• 对于可分配的设备和不可分配的设备，都可对其标签范围进行限制。不可分配的设备包括帧缓存器和打印机等等。

设备标签范围

为防止用户复制敏感信息，每个可分配的设备都有一个标签范围。要使用某个可分配的设备，用户当前必须在设备标签范围内的某个标签工作。否则，用户不能分配设备。当设备被分配到用户时，用户的当前标签应用于导入或导出的数据。当设备被解除分配时，会显示导出数据的标签。用户必须以物理方式为包含导出数据的介质设置标签。

标签范围对设备的影响

为限制通过控制台进行直接登录访问，安全管理员可以在帧缓存器上设置一个限制性的标签范围。

例如，可以指定一个限制性的标签范围来限制对公众可访问系统的访问。标签范围可确保用户只能在帧缓存器标签范围中的标签访问系统。

如果主机具有一台本地打印机，则打印机上的限制性标签范围可以限制能够在该打印机上打印的作业。

设备访问策略

Trusted Extensions 遵循与 Oracle Solaris 一样的设备策略。安全管理员可以更改缺省策略或定义新策略。getdevpolicy 命令用于检索设备策略信息，update_drv 命令用于更改设备策略。有关更多信息，请参见《Oracle Solaris 管理：安全服务》中的"配置设备策略（任务列表）"。另请参见 getdevpolicy(1M) 和 update_drv(1M) 手册页。

设备清除脚本

当分配或解除分配设备时，会运行一个 device-clean（设备清除）脚本。Oracle Solaris 提供了用于磁带机、CD-ROM 驱动器和磁盘驱动器的脚本。如果在您的站点中向系统添加了可分配的设备类型，所添加的设备可能需要这些脚本。要查看现有的脚本，请转到 /etc/security/lib 目录。有关更多信息，请参见《Oracle Solaris 管理：安全服务》中的"设备清除脚本"。

对于 Trusted Extensions 软件，device-clean（设备清除）脚本必须满足特定的要求。device_clean(5) 手册页中描述了这些要求。