デバイスアクセスの制御

コンピュータシステムに接続された周辺機器は、セキュリティーリスクをもたらします。たとえば、マイクは会話をキャッチし、その会話をリモートシステムに送信します。CD-ROM の場合、その情報を CD-ROM に残して、CD-ROM デバイスを次に使うユーザーが読み取れるようにすることができます。プリンタは、リモートサイトからもアクセスできます。システムの必須デバイスもまた、セキュリティー問題を引き起こす可能性があります。たとえば、bge0 などのネットワークインタフェースは不可欠なデバイスとみなされます。

Oracle Solaris ソフトウェアには、デバイスへのアクセスを制御するための方法がいくつか用意されています。

• デバイスポリシーを設定する – 特定のデバイスにアクセスしているプロセスが特定の特権セットで実行されるように要求できます。それらの権限を持たないプロセスは、そのデバイスを使用できません。ブート時に、Oracle Solaris ソフトウェアはデバイスポリシーを構成します。サードパーティーのドライバは、そのインストール時にデバイスポリシーを構成できます。インストール後、管理者はデバイスポリシーをデバイスに追加できます。

• デバイスを割り当て可能にする – ユーザーがデバイスを使用する前にそのデバイスを割り当てる必要があるように要求できます。割り当てによって、デバイスの使用が一度に 1 人のユーザーに制限されます。さらに、ユーザーがそのデバイスの使用を承認されていることを要求できます。

• デバイスの使用を防ぐ – コンピュータシステム上のどのユーザーも特定のデバイス (マイクなど) を使用できないように設定できます。特定のデバイスを使用できない状態にする例としては、コンピュータキオスクが挙げられます。

• デバイスを特定のゾーンに限定する – デバイスの使用を非大域ゾーンにだけ割り当てることができます。詳細は、『Oracle Solaris 11.1 の管理: Oracle Solaris ゾーン、Oracle Solaris 10 ゾーン、およびリソース管理』の「非大域ゾーンでのデバイスの使用」を参照してください。デバイスとゾーンのより一般的な説明については、『Oracle Solaris 11.1 の管理: Oracle Solaris ゾーン、Oracle Solaris 10 ゾーン、およびリソース管理』の「非大域ゾーンの /dev ファイルシステム」を参照してください。

デバイスポリシー (概要)

デバイスポリシーメカニズムを使用することで、デバイスを開こうとするプロセスに特定の権限を要求するように指定できます。デバイスポリシーによって保護されたデバイスをアクセスできるのは、デバイスポリシーで指定されている権限で稼働しているプロセスだけです。Oracle Solaris はデフォルトのデバイスポリシーを提供します。たとえば、bge0 などのネットワークインタフェースでは、そのインタフェースにアクセスするプロセスが net_rawaccess 特権で実行されていることが必要です。この要件はカーネルで適用されます。権限の詳細は、「特権 (概要)」を参照してください。

Oracle Solaris では、デバイスはファイルアクセス権とデバイスポリシーで保護されます。たとえば、/dev/ip ファイルには 666 のアクセス権があります。しかし、このデバイスは適切な権限を持つプロセスによってしかオープンできません。

デバイスポリシーの構成は監査の対象とすることができます。デバイスポリシーの変更は、AUE_MODDEVPLCY 監査イベントによって記録されます。

デバイスポリシーの詳細は、次のページを参照してください。

• 「デバイスポリシーの構成 (タスクマップ)」

• 「デバイスポリシーコマンド」

• 「特権とデバイス」

デバイス割り当て (概要)

デバイス割り当てメカニズムを使用すれば、CD-ROM などの周辺機器に対するアクセスを制限できます。デバイス割り当てが有効になっていない場合、周辺機器の保護はファイルアクセス権によってのみ行われます。たとえば、デフォルトでは周辺機器は次のように使用できます。

• CD-ROM ドライブまたはフロッピーディスクの読み取りと書き込みは、すべてのユーザーが行うことができます。

• すべてのユーザーがマイクを接続できます。

• すべてのユーザーが接続されたプリンタにアクセスできます。

デバイス割り当てを行うことで、承認されたユーザーにだけデバイスの使用を限定できます。デバイス割り当てによって、デバイスアクセスを完全に防ぐこともできます。デバイスを割り当てるユーザーは、そのユーザー自身が割り当てを解除するまでそのデバイスを独占的に使用できます。デバイスの割り当てが解除される際には、残っているすべてのデータがデバイスクリーンスクリプトによって消去されます。デバイスにスクリプトがない場合には、デバイスクリーンスクリプトを作成してそのデバイスから情報を一掃できます。この例は、「新しいデバイスクリーンスクリプトの作成」を参照してください。

デバイス割り当てに関連した試み (デバイスの割り当て、デバイスの割り当て解除、割り当て可能なデバイスの一覧表示) は、監査の対象とすることができます。監査イベントは、other 監査クラスの一部です。

デバイス割り当てについての詳細は、次を参照してください。

• 「デバイス割り当ての管理 (タスクマップ)」

• 「デバイスの割り当て」

• 「デバイス割り当てコマンド」