ナビゲーションリンクをスキップ | |
印刷ビューの終了 | |
Trusted Extensions 構成と管理 Oracle Solaris 11.1 Information Library (日本語) |
パート I Trusted Extensions の初期構成
1. Trusted Extensions のセキュリティー計画
2. Trusted Extensions の構成ロードマップ
3. Oracle Solaris への Trusted Extensions 機能の追加 (タスク)
4. Trusted Extensions の構成 (タスク)
5. Trusted Extensions のための LDAP の構成 (タスク)
8. Trusted Extensions システムのセキュリティー要件 (概要)
9. Trusted Extensions での一般的なタスクの実行
10. Trusted Extensions でのユーザー、権利、および役割 (概要)
11. Trusted Extensions でのユーザー、権利、役割の管理 (タスク)
セキュリティーのためのユーザー環境のカスタマイズ (タスクマップ)
Trusted Extensions のユーザーの起動ファイルを構成する
Trusted Extensions でフェイルセーフセッションにログインする
12. Trusted Extensions でのリモート管理 (タスク)
13. Trusted Extensions でのゾーンの管理
14. Trusted Extensions でのファイルの管理とマウント
16. Trusted Extensions でのネットワークの管理 (タスク)
17. Trusted Extensions と LDAP (概要)
18. Trusted Extensions でのマルチレベルメール (概要)
20. Trusted Extensions のデバイス (概要)
21. Trusted Extensions でのデバイス管理 (タスク)
22. Trusted Extensions での監査 (概要)
23. Trusted Extensions のソフトウェア管理
サイトのセキュリティーポリシーと Trusted Extensions
B. Trusted Extensions の構成チェックリスト
Trusted Extensions を構成するためのチェックリスト
Trusted Extensions による Oracle Solaris インタフェースの拡張
Trusted Extensions の厳密なセキュリティーデフォルト
Trusted Extensions で制限されるオプション
D. Trusted Extensions マニュアルページのリスト
Trusted Extensions マニュアルページ (アルファベット順)
Trusted Extensions でユーザー、承認、権利、および役割を管理するには、セキュリティー管理者役割になります。次のタスクマップでは、ラベル付きの環境で操作するユーザーに対して実行する一般的なタスクについて説明します。
|
ユーザーのラベル範囲を拡張して、ユーザーに管理用アプリケーションへの読み取りアクセスを許可したい場合があります。たとえば、大域ゾーンにログインできるユーザーが、ある特定のラベルで実行されているシステムの一覧を表示できるようになります。ユーザーは内容を表示できますが、内容の変更はできません。
また、ユーザーのラベル範囲を制限したい場合もあります。たとえば、ゲストユーザーを 1 つのラベルに制限できます。
始める前に
大域ゾーンでセキュリティー管理者役割になります。
# usermod -K min_label=INTERNAL -K clearance=ADMIN_HIGH jdoe
また、最小ラベルを下げることでユーザーのラベル範囲を拡張することもできます。
# usermod -K min_label=PUBLIC -K clearance=INTERNAL jdoe
詳細は、usermod(1M) および user_attr(4) のマニュアルページを参照してください。
# usermod -K min_label=INTERNAL -K clearance=INTERNAL jdoe
サイトのセキュリティーポリシーで許可される場合、承認の必要なタスクを実行できるユーザーに対する承認を含む権利プロファイルを作成できます。特定システムのすべてのユーザーが承認されるようにするには、「policy.conf のデフォルトを修正する」を参照してください。
始める前に
大域ゾーンでセキュリティー管理者役割になります。
詳細な手順については、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「権利プロファイルを作成する方法」を参照してください。
ユーザーにとって便利な可能性のある承認を次に示します。
solaris.device.allocate – マイクロフォンや CD-ROM などの周辺デバイスの割り当てをユーザーに承認します。
デフォルトでは、Oracle Solaris のユーザーは CD-ROM に対して読み取りと書き込みが可能です。一方、Trusted Extensions で CD-ROM ドライブにアクセスできるのは、デバイスを割り当てることができるユーザーだけです。使用するドライブを割り当てるには、承認が必要です。したがって、Trusted Extensions で CD-ROM に対する読み取りと書き込みを行うには、ユーザーは「デバイスの割り当て」承認が必要です。
solaris.label.file.downgrade – ファイルのセキュリティーレベル引き下げをユーザーに承認します。
solaris.label.file.upgrade – ファイルのセキュリティーレベル引き上げをユーザーに承認します。
solaris.label.win.downgrade – 上位レベルファイルからの情報の選択と、下位レベルファイルへの情報の配置をユーザーに承認します。
solaris.label.win.noview – 移動対象の情報を表示せずに移動することを、ユーザーに承認します。
solaris.label.win.upgrade – 下位レベルファイルからの情報の選択と、上位レベルファイルへの情報の配置をユーザーに承認します。
solaris.login.remote – リモートログインをユーザーに承認します。
solaris.print.nobanner - バナーページなしのハードコピーの印刷をユーザーに承認します。
solaris.print.unlabeled – ラベルを表示しないハードコピーの印刷をユーザーに承認します。
solaris.system.shutdown – システムの停止とゾーンの停止をユーザーに承認します。
詳細な手順については、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「ユーザーのセキュリティー属性を変更する方法」を参照してください。
サイトのセキュリティーのために、ユーザーに割り当てられた特権をデフォルトより少なくしなければならないことがあります。たとえば、Trusted Extensions を Sun Ray システム上で使用しているサイトで、ユーザーが Sun Ray サーバー上のほかのユーザーのプロセスを表示できないようにします。
始める前に
大域ゾーンでセキュリティー管理者役割になります。
注意 - proc_fork 特権または proc_exec 特権は削除しないでください。これらの特権がないと、ユーザーはシステムを使用できません。 |
# usermod -K defaultpriv=basic,!proc_info,!proc_session,!file_link_any
proc_info 特権を削除することにより、ユーザーは自分が開始元でないプロセスを一切検査できなくなります。proc_session 特権を削除することにより、ユーザーは現在のセッション外のプロセスを検査できなくなります。file_link_any 特権を削除することにより、ユーザーは所有していないファイルへのハードリンクを作成できなくなります。
参照
権利プロファイル内の特権制限を収集する例については、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「権利プロファイルを作成する方法」のあとの例を参照してください。
システム上のすべてのユーザーの特権を制限するには、例 11-2 を参照してください。
この手順は、役割になれるすべてのユーザーで実行します。
始める前に
大域ゾーンでセキュリティー管理者役割になります。
# usermod -K lock_after_retries=no jdoe
LDAP ユーザーのアカウントロックを無効にするには、LDAP リポジトリを指定します。
# usermod -S ldap -K lock_after_retries=no jdoe
一般ユーザーまたは役割には、ファイルおよびディレクトリまたは選択されたテキストのセキュリティーレベルまたはラベルを変更する承認を与えることができます。この承認に加えて、ユーザーまたは役割を、複数のラベルで作業するように構成する必要があります。ラベル付きゾーンは、再ラベル付けを許可するように構成する必要があります。手順については、「ラベル付きゾーンからファイルに再ラベル付けできるようにする」を参照してください。
注意 - データのセキュリティーレベルの変更は特権操作です。このタスクは、信頼できるユーザーのみを対象とします。 |
始める前に
大域ゾーンでセキュリティー管理者役割になります。
詳細な手順については、『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「ユーザーのセキュリティー属性を変更する方法」を参照してください。
例 11-5 ユーザーがファイルのラベルのアップグレードはできるがダウングレードはできないようにする
Object Label Management 権利プロファイルにより、ユーザーはラベルのアップグレードとダウングレードを行うことができます。この例では、管理者は信頼できるユーザーにデータのアップグレードを許可しますが、ダウングレードは禁止します。
管理者は Object Label Management プロファイルに基づいて権利プロファイルを作成し、この新しいプロファイルの「ファイルラベルのダウングレード」承認と「DragNDrop または CutPaste 情報のダウングレード」承認を削除します。
# profiles -p "Object Label Management" profiles:Object Label Management> set name="Object Upgrade" profiles:Object Upgrade> info auths ... profiles:Object Upgrade> remove auths="solaris.label.file.downgrade, solaris.label.win.downgrade" profiles:Object Upgrade> commit profiles:Object Upgrade> end
次に、管理者は信頼できるユーザーにこのプロファイルを割り当てます。
# usermod -P +"Object Upgrade" jdoe
ユーザーをシステムから削除する場合、管理者は、ユーザーのホームディレクトリと、そのユーザーが所有するオブジェクトも、確実に削除する必要があります。ユーザーの所有するオブジェクトを削除する代わりに、管理者はそのオブジェクトの所有権を有効なユーザーに変更できます。
管理者は、削除されたユーザーに関連付けられているバッチジョブも、すべて確実に削除する必要があります。削除されたユーザーに属するオブジェクトまたはプロセスがシステムに残っていないことを確認してください。
始める前に
大域ゾーンで、システム管理者役割になっている必要があります。
# userdel -r jdoe
注 - すべてのラベルで、/tmp ディレクトリのファイルなど、ユーザーの一時ファイルを検索して削除します。
その他の考慮点については、「ユーザーの削除について」を参照してください。