控制对设备的访问

连接到计算机系统的外围设备会造成安全风险。麦克风可以截获对话内容并将其传输到远程系统。CD-ROM 可能会遗留信息，而 CD-ROM 设备的下一个用户可以看到这些信息。可以从远程访问打印机。系统自带设备也可能会带来安全问题。例如，网络接口（如 bge0）被视为自带设备。

Oracle Solaris 软件提供了多种方法用于控制对设备的访问。

设置设备策略－可以要求访问特定设备的进程使用一个特权集运行。没有这些特权的进程将无法使用设备。在系统引导时，Oracle Solaris 软件将配置设备策略。可以在安装期间为第三方驱动程序配置设备策略。安装之后，管理员可以将设备策略添加到设备中。
使设备可分配－您可以要求用户必须先分配设备然后再进行使用。分配将设备限制为每次只能由一个用户使用。可以进一步要求用户必须获得授权才能使用设备。
禁止使用设备－可以禁止计算机系统上的任何用户使用某个设备（如麦克风）。计算机资讯服务站可能是一个使特定设备不可用的不错选择。
将设备限定到特定区域－可以指定在某个非全局区域中使用设备。有关更多信息，请参见《Oracle Solaris 11.1 管理：Oracle Solaris Zones、Oracle Solaris 10 Zones 和资源管理》中的"非全局区域中的设备使用"。有关设备和区域的更多一般介绍，请参见《Oracle Solaris 11.1 管理：Oracle Solaris Zones、Oracle Solaris 10 Zones 和资源管理》中的"非全局区域中的 /dev 文件系统"。

设备策略（概述）

使用设备策略机制，可以指定打开设备的进程需要某些特权。仅有正在使用设备策略指定的特权运行的进程才能访问受设备策略保护的设备。Oracle Solaris 提供了缺省设备策略。例如，bge0 之类的网络接口要求对其进行访问的进程使用 net_rawaccess 特权运行。该要要求是在内核中实施的。有关特权的更多信息，请参见特权（概述）。

在 Oracle Solaris 中，使用文件权限和设备策略来保护设备。例如，/dev/ip 文件具有 666 权限。但是，设备只能由具有相应特权的进程打开。

可以审计设备策略的配置。AUE_MODDEVPLCY 审计事件可记录设备策略的更改。

有关设备策略的更多信息，请参见以下内容：

设备分配（概述）

使用设备分配机制，可以限制对外围设备（如 CD-ROM）的访问。如果未启用设备分配，则仅通过文件权限保护外围设备。例如，外围设备在缺省情况下可供以下用户使用：

任何用户都可以对 CD-ROM 驱动器或磁盘进行读写操作。
可以连接麦克风的任何用户。
可以访问已连接的打印机的任何用户。

设备分配可以将设备限制为仅由授权用户使用。设备分配还可以完全阻止对设备的访问。分配了设备的用户对设备具有专用权，直到此用户取消分配此设备为止。取消分配设备时，设备清除脚本将删除所有遗留数据。可以编写设备清除脚本来清除没有脚本的设备中的信息。有关示例，请参见编写新的设备清除脚本。

跳过导航链接
退出打印视图
	Oracle Solaris 11.1 管理：安全服务 Oracle Solaris 11.1 Information Library (简体中文)