test

Trusted Solaris 管理の概要

ネットワーク構成データベース

外部との通信を実現するには、ホスト情報、ネットワークインタフェース情報、デフォルトのセキュリティ属性情報を保持するためのデータベースを設定します。次の 3 種類のネットワーク構成データベースを使用することができます。

これらのデータベースはカーネルに読み込まれ、データがホストからホストに転送される際の認可チェックに使用されます。データベースの管理にはデータベースマネージャを使用します。Trusted Solaris では、NIS+ を使用して tnrhddb データベースと tnrhtp データベースを集中管理します。tnidb データベースだけは、各ホストで個別に管理されます。ネットワークデータベースを管理できるのは、セキュリティ管理者とスーパーユーザーだけです。データベースマネージャにアクセスするには、フロントパネルの CDE アプリケーションマネージャのアイコンをクリックします。データベースマネージャのアイコンは、「アプリケーション・マネージャ (Application Manager)」ウィンドウの「Solstice アプリケーション (Solstice_Apps)」フォルダアイコンから表示できます。「データベースマネージャ (Database Manager)」アイコンをクリックすると、「データベースマネージャ: 読み込み (Database Manager : Load)」ダイアログボックスが現れ、データベースを選択するためのスクロールリストが表示されます。

tnrhdb データベース

tnrhdb(4) データベースには、ネットワーク上のワークステーションと通信可能なすべてのホストのIP アドレスと、それらのホストに (tnrhtp から) 割り当てられたテンプレートが保持されます。また、代替機構の一部として、デフォルト値も保持されます (次の図を参照)。IP アドレスの右端のバイトに 0 を代入すると、これがワイルドカードとして機能し、0 以外のデフォルト部が一致する IP アドレスを持った、リストに表示されていないホストすべてを表します。ただし、代替機構はサブネットマスクには適用されません。

図 5-4 IP アドレスの代替機構

Graphic

データベースマネージャで tnrhdb データベースを選択して読み込むと、データベースマネージャのメインウィンドウに tnrhdb データベースの内容が表示され、リモートホストの IP アドレスと、そのホストとの通信に使用するテンプレートを確認できます。tnrhdb データベースを編集するためには、「編集 (Edit)」メニューから「追加 (Add)」を選択するか、IP アドレスを指定した後「変更 (Modify)」を選択して、適切なダイアログボックスを表示します。次の図に示すのは、データベースマネージャの「読み込み (Load)」ウィンドウ、tnrhdb データベースが表示されたメインウィンドウ、「編集 (Edit)」メニューから表示される 2 種類のダイアログボックスです。

図 5-5 tnrhdb データベース用のデータベースマネージャのウィンドウ

Graphic

tnrhtp データベース

tnrhtp(4) データベースには、ソースホストに割り当てるセキュリティ属性値を含むテンプレートが保持されます。同機種システムネットワークでは 1 種類のテンプレートしか必要ありませんが、異機種システムネットワークになると、ホストタイプに応じて別々のテンプレートが必要になります。テンプレートに含まれる属性は、着信データに属性が欠如している場合のデフォルト属性として使用されるほか、発信データの宛先情報も提供します。対応付けられるセキュリティ属性は、テンプレートに指定されたホストタイプに依存します。tnrhtp に保持されるセキュリティ属性には、次のものがあります。

テンプレートの ip_label フィールドが「cipso」に設定されている場合、または、リモートホストタイプが「cipso」である場合は、タグタイプ 1 が使用されます。リモートホストタイプが MSIX の場合は、タグタイプ 3 が使用されます。ただし、どの属性も特定のタイプのホストだけに適用されます。表 5-1 は、適用されるセキュリティ属性をホストタイプ別に示しています。

表 5-1 ホストタイプ別セキュリティ属性

ホストタイプ 

セキュリティ属性 

ラベルなし 

機密ラベル、情報ラベル、認可上限、UID、GID、強制された特権、監査 UID、監査マスク、監査端末 ID、監査セッション ID、(ゲートウェイホストの最下位 SL と最上位 SL) 

sun_tsol 

許容された特権、最下位 SL と最上位 SL、IP ラベル、RIPSO ラベル、RIPSO エラー、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション ID 

ripso 

機密ラベル、情報ラベル、認可上限、UID、GID、強制された特権、RIPSO ラベル、RIPSO エラー、監査 UID、監査マスク、監査端末 ID、監査セッション ID、(ゲートウェイホストの最下位 SL と最上位 SL) 

cipso 

認可上限、情報ラベル、UID、GID、強制された特権、最下位 SL と最上位 SL、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション ID 

tsix 

機密ラベル、情報ラベル、認可上限、UID、GID、許容された特権、強制された特権、最下位 SL と最上位 SL、IP ラベル、RIPSO ラベル、RIPSO エラー、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション ID 

msix 

機密ラベル、情報ラベル、認可上限、UID、GID、最下位 SL と最上位 SL、監査 UID、監査マスク、監査端末 ID、監査セッション ID 

データベースマネージャから tnrhtp データベースを選択して読み込むと、データベースマネージャのメインウィンドウに tnrhtp データベースの内容が表示され、各リモートホストのテンプレート名と、それに対応付けられたデフォルト属性値を確認できます。tnrhtp データベースを編集するためには、「編集 (Edit)」メニューから「追加 (Add)」を選択するか、テンプレートを指定してから「変更 (Modify)」を選択します。次の図に示すようなダイアログボックスが表示されます。

図 5-6 リモートホストテンプレートの追加時に表示されるデータベースマネージャのダイアログボックス (tnrhtp 用)

Graphic

ダイアログボックスは、次の 4 つの領域に分かれています。

tnidb データベース

tnidb(4) データベースは、各ホストのローカルデータベースです。ここには、ホストのネットワークインタフェースとその認可範囲、機密ラベル、認可上限、実効 UID (実効 GID)、強制された特権の各デフォルト値が保持されます。ただし、tnidb の値よりtnrhtp のデフォルト値の方が優先されます。

データベースマネージャから tnidb データベースを選択して読み込むと、データベースマネージャのメインウィンドウに tnidb データベースの内容が表示され、ネットワークインタフェース、そのインタフェースの認可範囲、対応するデフォルトのセキュリティ属性を確認できます。tnidb データベースを編集するには、「編集 (Edit)」メニューの「追加 (Add)」を選択するか、ネットワークインタフェースを指定した後「変更 (Modify)」を選択して、それぞれのダイアログボックスを表示します。次の図は、tnidb データベースのメインウィンドウと「追加 (Add)」ダイアログボックスを示しています。「最下位 SL (Minimum SL)」ボタンと「最上位 SL (Maximum SL)」ボタンは認可範囲の定義に使用され、クリックするとラベルビルダーのダイアログボックスが表示されます。「機密ラベル (Sensitivity Label)」ボタン、「認可上限 (Clearance)」ボタンからも、ラベルビルダーが表示されます。「強制された特権 (Forced Privileges)」ボタンをクリックすると、特権を選択するダイアログボックスが表示されます。「ユーザー ID (User ID)」フィールド、「グループ ID (Group ID)」フィールドには、そのネットワークインタフェースに適用するデフォルトの ID を指定します。

図 5-7 ネットワークインタフェース情報の追加時に表示されるデータベースマネージャのメインウィンドウと「追加 (Add)」ダイアログボックス (tnidb 用)

Graphic