Montajes de NFS en Trusted Extensions

Los montajes de NFS en Trusted Extensions son similares a los montajes en Oracle Solaris. Las diferencias se producen en el uso de los nombres de ruta raíz de la zona para montar una zona con etiquetas en Trusted Extensions y en la aplicación de la política de MAC.

Los recursos compartidos de NFS en Trusted Extensions son similares a los recursos compartidos de Oracle Solaris en una zona global. Sin embargo, el uso compartido de archivos desde una zona con etiquetas en un sistema de varios niveles es exclusivo de Trusted Extensions:

• Uso compartido y montaje en la zona global: el uso compartido y el montaje de archivos en la zona global del sistema Trusted Extensions es casi idéntico al procedimiento del SO Oracle Solaris. Para montar archivos, se pueden utilizar el montador automático, el archivo vfstab y el comando mount. Para el uso compartido de archivos, se usa el archivo dfstab.

• Montaje en zonas con etiquetas: el montaje de archivos en las zonas con etiquetas en Trusted Extensions es casi idéntico al montaje de archivos en las zonas no globales en el SO Oracle Solaris. Para montar archivos, se pueden utilizar el montador automático, el archivo vfstab y el comando mount. En Trusted Extensions, existe un único archivo de configuración automount_home_etiqueta para cada zona con etiquetas.

• Uso compartido en zonas con etiquetas: los archivos de una zona con etiquetas se pueden compartir en la etiqueta de la zona mediante un archivo dfstab que se encuentre en la etiqueta de la zona, pero que sea visible solamente para la zona global. Por lo tanto, la configuración de una zona con etiquetas para compartir archivos la realiza el administrador de la zona global en la zona global misma. Este archivo de configuración no se puede ver desde su zona con etiquetas. Para obtener más información, consulte Procesos de la zona global y de las zonas con etiquetas.

Las etiquetas determinan qué archivos se pueden montar. Los archivos se comparten y se montan en una etiqueta determinada. Para que un cliente de Trusted Extensions escriba un archivo montado en NFS, el archivo debe estar montado con permisos de lectura y escritura, y debe estar en la misma etiqueta que el cliente. Si monta un archivo entre dos hosts de Trusted Extensions, el servidor y el cliente deben tener plantillas de hosts remotos compatibles de tipo cipso. Si monta un archivo entre un host de Trusted Extensions y un host sin etiquetas, los archivos que se encuentran en una sola etiqueta especificada para el host sin etiquetas en el archivo tnrhdb pueden montarse. Los archivos que se montan con LOFS se pueden ver, pero no se pueden modificar. Para obtener detalles sobre los montajes de NFS, consulte Acceso a los directorios montados de NFS en Trusted Extensions.

Las etiquetas también determinan qué directorios y archivos pueden verse. De manera predeterminada, los objetos de nivel inferior están disponibles en un entorno de usuario. Por lo tanto, en la configuración predeterminada, los usuarios comunes pueden ver los archivos que están en la zona de un nivel inferior a su nivel actual. Por ejemplo, los usuarios pueden ver sus directorios principales de nivel inferior desde una etiqueta superior. Para obtener detalles, consulte Creación de directorios principales en Trusted Extensions.

Si la seguridad del sitio prohíbe la visualización de los objetos de nivel inferior, puede hacer que los directorios de nivel inferior no sean visibles para los usuarios. Para obtener detalles, consulte Cómo desactivar el montaje de archivos de nivel inferior.

La política de montaje en Trusted Extensions no incluye invalidaciones de MAC. Un proceso de etiqueta superior nunca puede modificar los archivos montados que pueden verse en una etiqueta inferior. Esta política de MAC también se aplica en la zona global. Un proceso de zona global ADMIN_HIGH no puede modificar un archivo montado en NFS en una etiqueta inferior, como un archivo PUBLIC o un archivo ADMIN_LOW. Las políticas de MAC aplican la configuración predeterminada y no están visibles para los usuarios comunes. Los usuarios comunes no pueden ver objetos, salvo que tengan acceso MAC.