Configuration du service d'audit dans les zones (tâches)

Le service d'audit effectue des audits sur la totalité du système, y compris les événements d'audit dans les zones. Un système doté de zones non globales peut auditer toutes les zones de manière identique, ou configurer l'audit par zone. Pour plus d'informations, reportez-vous à la section Planification de l'audit par zone.

Lorsque vous auditez les zones non globales de la même manière que vous auditez la zone globale, les administrateurs des zones non globales risquent de ne pas avoir accès aux enregistrements d'audit. L'administrateur de la zone globale peut également modifier les masques de présélection d'audit des utilisateurs dans les zones non globales.

Lorsque vous auditez les zones non globales séparément, les enregistrements d'audit sont visibles pour la zone non globale et pour la zone globale à partir du root de zone non globale.

Configuration identique de toutes les zones pour l'audit

Cette procédure permet d'auditer chaque zone de manière identique. Cette méthode est celle qui requiert le temps système le moins important de ressources en administration.

Avant de commencer

Vous devez prendre le rôle root. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

Configurez la zone globale pour l'audit.
Effectuez les tâches de la section Configuration du service d'audit (liste des tâches), à l'exception des points suivants :
- N'activez pas la stratégie d'audit perzone.
- Définissez la stratégie zonename. Cette stratégie permet d'ajouter le nom de la zone à chaque enregistrement d'audit.
```
# auditconfig -setpolicy +zonename
```
Si vous avez modifié les fichiers de configuration de l'audit, copiez-les de la zone globale vers chaque zone non globale.
Si vous avez modifié le fichier audit_class ou audit_event, copiez-le de l'une des deux façons suivantes :
- Vous pouvez monter en loopback les fichiers.
- Vous pouvez copier les fichiers.
La zone non globale doit être en cours d'exécution.
- Montez les fichiers audit_class et audit_event modifiés en tant que système de fichiers loopback (lofs).
  1. A partir de la zone globale, arrêtez la zone non globale.
```
# zoneadm -z non-global-zone halt
```
  2. Créez un montage loopback en lecture seule pour chaque fichier de configuration d'audit que vous avez modifié dans la zone globale.
```
# zonecfg -z non-global-zone
 add fs
    set special=/etc/security/audit-file
    set dir=/etc/security/audit-file
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
 exit
```
  3. Pour valider les changements, initialisez la zone non globale.
```
# zoneadm -z non-global-zone boot
```
    Par la suite, si vous modifiez un fichier de configuration d'audit dans la zone globale, réinitialisez chaque zone pour actualiser les fichiers montés en loopback dans les zones non globales.
- Copiez les fichiers.
  1. A partir de la zone globale, répertoriez le répertoire /etc/security dans chaque zone non globale.
```
# ls /zone/zonename/root/etc/security/
```
  2. Copiez les fichiers audit_class et audit_event dans le répertoire /etc/security de chaque zone.
```
# cp /etc/security/audit-file /zone/zonename/root/etc/security/audit-file
```
    Par la suite, si vous modifiez l'un de ces fichiers dans la zone globale, vous devez copier le fichier modifié dans les zones non globales.
Les zones non globales sont auditées au redémarrage du service d'audit dans la zone globale ou lorsque les zones sont réinitialisées.

Exemple 28-23 Montage des fichiers de configuration d'audit en tant que montage loopback dans une zone

Dans cet exemple, l'administrateur système a modifié les fichiers audit_class, audit_event et audit_warn.

Le fichier audit_warn est lu dans la zone globale uniquement, de sorte qu'il n'a pas à être monté dans les zones non globales.

Sur ce système, machine1, l'administrateur a créé deux zones non globales, machine1–webserver et machine1–appserver. L'administrateur a terminé la modification des fichiers de configuration d'audit. Si l'administrateur modifie ultérieurement les fichiers, la zone doit être réinitialisée pour relire les montages en loopback.

# zoneadm -z machine1-webserver halt
# zoneadm -z machine1-appserver halt
# zonecfg -z machine1-webserver 
 add fs
    set special=/etc/security/audit_class
    set dir=/etc/security/audit_class
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
 add fs
    set special=/etc/security/audit_event
    set dir=/etc/security/audit_event
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
  exit
# zonecfg -z machine1-appserver 
 add fs
    set special=/etc/security/audit_class
    set dir=/etc/security/audit_class
    set type=lofs
    add options [ro,nodevices,nosetuid]
    commit
    end
...
 exit

Lorsque les zones non globales sont réinitialisées, les fichiers audit_class et audit_event sont en lecture seule dans les zones.

Configuration de l'audit par zone

Cette procédure permet aux administrateurs de zones distinctes de contrôler le service d'audit dans leur zone. Pour obtenir la liste complète des options de stratégie, reportez-vous à la page de manuel auditconfig(1M).

Avant de commencer

Pour configurer l'audit, vous devez vous connecter en tant qu'administrateur disposant du profil de droits Audit Configuration (configuration d'audit). Pour activer le service d'audit, vous devez vous connecter en tant qu'administrateur disposant du profil de droits Audit Control (contrôle d'audit). Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d'administration.

Dans la zone globale, configurez l'audit.
1. Effectuez les tâches de la section Configuration du service d'audit (liste des tâches).
2. Ajoutez la stratégie d'audit perzone. Pour la commande, reportez-vous à l'Exemple 28-8.
  Remarque - Vous n'êtes pas obligé d'activer le service d'audit dans la zone globale.
Dans chaque zone non globale que vous envisagez d'auditer, configurez les fichiers d'audit.
1. Effectuez les tâches de la section Configuration du service d'audit (liste des tâches).
2. Ne configurez pas les paramètres d'audit système.
  En particulier, n'ajoutez pas la stratégie perzone ou ahlt à la zone non globale.
Activez l'audit dans votre zone.
```
myzone# audit -s
```

Exemple 28-24 Désactivation de l'audit dans une zone non globale

Cet exemple fonctionne si la stratégie d'audit perzone est définie. L'administrateur de zone de la zone noaudit désactive l'audit pour cette zone.

noauditzone # auditconfig -getcond
audit condition = auditing
noauditzone # audit -t
noauditzone # auditconfig -getcond
audit condition = noaudit

Ignorer les liens de navigation
Quitter l'aperu
	Administration d'Oracle Solaris 11.1 : Services de sécurité Oracle Solaris 11.1 Information Library (Français)