test

Trusted Solaris 管理の手順

第 10 章 トラステッドネットワークデータベース におけるセキュリティ属性の指定とルーティング設定

この章では、セキュリティ管理者役割が Trusted Solaris システムとの通信を許可するホストやネットワークを指定したり、その通信に適用するセキュリティ属性を指定したりする際の手順について説明します。これらの情報は、次の観点から説明されています。

第 9 章「Trusted Solaris におけるホスト管理およびネットワーク管理の概念」および次の項目では、必要な背景知識について説明します。

この章で説明している手順は次のとおりです。

トラステッドネットワークデータベース

セキュリティ管理者役割は、次の図に示すようなデータベースマネージャを使用して、トラステッドネットワークデータベースである tnrhdb(4)、tnrhtp(4)、tnidb(4) にエントリを作成します。各データベースの役割は以下のとおりです。

図 10-1 データベースマネージャの「読み込み (Load)」リストで選択された Tnidb

Graphic

tnidb ファイルに指定された値は、個々のホストやネットワークの tnrhtp および tnrhdb に指定された属性とともに参照され、インタフェースを経由する通信に適用されるセキュリティ属性が確定します (これらの詳細については 「着信メッセージにおける MAC の実施」、および 「トラステッドネットワークデータベースの属性に関する優先規則」を参照してください)。

データベースマネージャを使用できるようにするには、その前にネームサービスを選択しなければなりません。これには次の 2 つの選択肢があります。

データベースマネージャの起動方法とネームサービスの選択方法については、必要に応じて、「「Solstice アプリケーション (Solstice_Apps)」アプリケーションフォルダ内の管理ツールの使用」を参照してください。

tnidb ファイルの値はローカルホストのネットワークインタフェースに適用されるため、tnidb ファイルは常に /etc/security/tsol のローカルファイルとして保持されます。

tnrhdb および tnrhtp ファイルは通常、NIS+ テーブルとして管理されます。ただし、スタンドアロン型 Trusted Solaris ホストの場合は、ネームサービスを使用しないように構成されることもあり、このようなホストでは、両ファイルは /etc/security/tsol に保持されます。

trusted network データベースからの情報は /var/tsol の下にあるカーネルキャッシュファイルに書き込まれます。データベースマネージャを使用して変更を行い、ネーミングサービスを選択しない場合、ローカルホスト上のカーネルキャッシュは自動的に更新されます。NIS+ ネーミングサービスを選択している場合、NIS+ クライアントが NIS+ マスターから trusted network データベースの変更を引き出すまでに最大 30 分かかる可能性があります。

注 -

キャッシュファイルのエントリは変更できますが、削除できません。エントリを削除する唯一の方法は、カーネルキャッシュファイルを削除してリブートすることです。この手順については、「キャッシュされている Trusted Network データベース内のエントリを削除するには」を参照してください。リブート後、tnd(1M) によって新しいキャッシュファイルが作成されます。

Trusted Solaris 版のネームサービススイッチファイル nsswitch.conf(4) には tnrhtp と tnrhdb 用のエントリが含まれています。これらのエントリはサイトの構成に合わせて変更する必要があります。次に、デフォルトの設定を示します。 


# TSOL
tnrhtp: nisplus files
tnrhdb: nisplus files

これらのエントリを変更するには、管理役割になり「ネーム・サービス・スイッチ (Name Service Switch)」アクションを実行します (「ネーム・サービス・スイッチ (Name Service Switch)」アクションのアクセス方法に関しては必要に応じて「管理アクションを起動するには」を参照してください)。なお、正しいファイル属性 (所有者、グループ、モード、ラベル) を維持するために、このファイルは直接編集しないようにしてください。

各ホストタイプに設定可能なセキュリティ属性

各ホストタイプごとに設定可能なセキュリティ属性を次の表に示します。詳細については、tnrhtp(4) のマニュアルページを参照してください。

表 10-1 ホストタイプごとのセキュリティ属性
 ホストタイプ セキュリティ属性 デフォルトのテンプレート名
unlabeled 機密ラベル、認可上限、UID、GID、強制された特権、監査 UID、監査マスク、監査端末 ID、監査セッション ID、(省略可能な、ゲートウェイホスト用の最下位 SL および最上位 SL)

unlab

注意: デフォルトの unlab テンプレートは ADMIN_LOW 機密ラベルを持っているため、必ず、サイトのユーザー認可範囲内に収まる適切なラベルに変更すること。
sun_tsol許容された特権、最下位 SL と最上位 SL、IP 機密ラベル、RIPSO ラベル、RIPSO エラー、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション ID

tsol (IP ラベルなしで定義)

tsol_1 (IP ラベル 型を RIPSO に設定して定義する)

tsol_2 (IP ラベル 型を CIPSO と CIPSO Domain 1 に設定して定義する)
ripso 機密ラベル、認可上限、UID、GID、強制された特権、RIPSO ラベル、RIPSO エラー、監査 UID、監査マスク、監査端末 ID、監査セッション ID、(ゲートウェイホスト用の最下位 SL および最上位 SL)ripso
cipso 認可上限、UID、GID、強制された特権、最下位 SL と最上位 SL、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション IDcipso
tsix 機密ラベル、認可上限、UID、GID、許容された特権、強制された特権、最下位 SL と最上位 SL、IP ラベル、RIPSO ラベル、RIPSO エラー、CIPSO DOI、監査 UID、監査マスク、監査端末 ID、監査セッション IDtsix
msix 機密ラベル、認可上限、UID、GID、最下位 SL と最上位 SL、監査 UID、監査マスク、監査端末 ID、監査セッション IDmsix

上記の表の 3 番目の欄は、システムに同梱されているデフォルトのテンプレート名をすべて示したものです。デフォルトのテンプレートセットはコピー、リネーム、または再定義できます。

テンプレートマネージャで各ホストタイプに割り当てられるテンプレート

注 -

テンプレートマネージャ画面でホストタイプを一度選択すると、そのホストタイプに適用されないフィールドは、使用できないようにグレー表示になります。

以下の項では、サポートされているホストタイプ別に、図を参照しながら、サポートされているテンプレートおよびフィールドについて説明しています。

TRUSTED SOLARIS 7、2.5.1、2.5 (sun_tsol) ホストタイプ

 Ethernet ヘッダー IP ヘッダー [IP オプション] TCP または UDP ヘッダー SAMP ヘッダー [バイナリ属性] データ Ethernet トレーラ

sun_tsol ホストタイプを指定した場合 (つまり、テンプレートマネージャで「Trusted Solaris 7, 2.5.1, 2.5」オプションを選択した場合)、トラステッドネットワークソフトウェアは SAMP (Security Attribute Modulation Protocol) を使ってセキュリティ属性を送信します。セキュリティ属性はトークンマッピング形式でなく、バイナリ形式で表現されます。

注 -

Trusted Solaris 7、2.5.1、2.5 サーバーのディスクレスクライアントは、sun_tsol ホストタイプとして指定されなければなりません。

sun_tsol ホストタイプのエントリで、「I.P. ラベルの型 (IP. Label Type)」フィールドを「CIPSO」または「RIPSO」に設定すると、IP ヘッダーの IP オプションに CIPSO または RIPSO ラベルが挿入され、Trusted Solaris 7、2.5.1、および 2.5 ホストからの通信のトラステッドルーティングに使用されます。「トラステッドネットワークデータベースにおけるエントリの作成」、および 「パケットの CIPSO ラベル」を参照してください。

Trusted Solaris 7、2.5.1、および 2.5 ホストに設定できるセキュリティ属性は、図 10-2 のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

図 10-2 Tnrhtp で Trusted Solaris 7、2.5.1、2.5 ホストタイプに設定できるフィールド

Graphic

次の表に、sun_tsol ホストタイプの設定可能なセキュリティ属性の詳細を示します。

表 10-2 sun_tsol ホストタイプのセキュリティ属性の詳細
 設定可能な属性 説明
最下位機密ラベル (min_sl=)ADMIN_LOW または他の有効な機密ラベルを指定し、sun_tsol ホストとの通信を制限する。
最上位機密ラベル (max_sl=)ADMIN_HIGH または他の有効な機密ラベルを指定し、sun_tsol ホストとの通信を制限する。
許容された特権 (allowed_privs=)当該ホストによりネットワーク (受信と送信の両方) で伝達される有効な特権セットを制限するために指定する。指定した特権だけが許可される。all はすべての特権が解釈されることを意味する。none は特権が解釈されないことを意味する。ホストに適用される tnrhtp テンプレートでは、allowed_privs=empty は、このフィールドの tnidb に指定したものが適用されることを意味する。tnidb ファイルでは、empty は特権が適用されないことを意味する。
IP ラベル (ip_label=)有効なタイプ (none、ripso、cipso) を 1 つだけ指定する。
RIPSO ラベル (ripso_label=)ip_label=empty の場合、ripso_label=emplty を指定する。IP ラベルタイプが ripso の場合、サポートされる格付けレベルエンコーディング (Top_Secret、Secret、Confidential、Unclassified) を 1 つだけ指定する。
RIPSO エラー (ripso_error=)ip_label=empty の場合、ripso_error=empty を指定する。IP ラベルタイプが ripso の場合、サポートされる保護権限フラグ (GENSER、SIOP-ESI、SCI、NSA、DOE) を 1 つだけ指定する。格付けレベルには ripso_label フィールドの値が使われる。
CIPSO DOI (cipso_doi=)ip_label=empty の場合、cipso_doi=empty を指定する。IP ラベルタイプが cipso の場合、ホストの CIPSO ラベル付きパケット用ドメイン解釈に対応する番号を指定する。
 監査マスク、監査端末 ID、監査セッション ID 

TSIX (tsix) ホストタイプ

 Ethernet ヘッダーIP ヘッダー [IP オプション] TCP または UDP ヘッダー SAMP ヘッダー データ Ethernet トレーラ

tsix ホストタイプを指定した場合 (つまり、テンプレートマネージャの「ホストタイプ (Host Type)」メニューで「TSIX」を選択した場合)、トラステッドネットワークソフトウェアは TSIG (Trusted System Interoperability Group) で制定された TSIX 規格に準拠するホストと通信します (Sun Microsystems Federal, Inc. は TSIG のメンバーです)。tsix ホストタイプの場合、トラステッドネットワークソフトウェアは SATMP (Security Attribute Token Mapping Protocol) を使います。属性がトークン形式であることは、SAMP ヘッダーの属性ヘッダーで識別されます。属性がバイナリ形式の代わりにトークン形式で伝送されることを除けば、パケットは sun_tsol ホストタイプと同じ形式になります。

「I.P. ラベルの型 (IP Label Type)」フィールドは「なし (None)」、「CIPSO」、「RIPSO」のいずれかに設定できます。このフィールドを設定すると、IP ヘッダーの IP オプションに、トラステッドルーティングに使用される CIPSO または RIPSO ラベルが挿入されます。「トラステッドネットワークデータベースにおけるエントリの作成」を参照してください。

TSIX ホストタイプを使用して通信を行うには、送信側と受信側のホストを両方とも同じ TSIX DOT (domain of translation) 内に設定する必要があります。

注 -

サンの TSIX トークンマップの定義は、最初に定義された TSIX DOT であるため、Trusted Solaris システムとの通信を希望する他の組織では、少なくとも 1 つ以上の TSIX DOT が定義されるまでは、このサン定義の DOT を使用する必要があります。将来的には、トークンの意味を定義する TSIX DOT レジストリが設定される予定です。

「I.P. ラベルの型 (IP Label Type)」フィールドに CIPSO が指定された tsix タイプのホストでは、system(4) ファイルの tsol_admin_high_to_cipso スイッチを 1 に設定しなければなりません。そうしないと、Trusted Solaris ホストとの通信が不能になります。/etc/system ファイルにスイッチを追加する方法については、第 13 章「Trusted Solaris カーネルスイッチ設定の変更」を参照してください。

tsix ホストに設定できるセキュリティ属性は、次の図のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

図 10-3 Tnrhtp で TSIX ホストタイプに設定できるフィールド

Graphic

次の表に、tsix ホストタイプの必須セキュリティ属性の詳細を示します。

表 10-3 tsix ホストタイプの必須セキュリティ属性
 設定可能な属性 説明
最下位機密ラベル (min_sl=)16 進数形式の ADMIN_LOWまたは他の有効な機密ラベルを指定し、tsix ホストとの通信を制限する。
最上位機密ラベル (max_sl=)16 進数形式の ADMIN_HIGH または他の有効な機密ラベルを指定し、tsix ホストとの通信を制限する。
許容された特権 (allowed_privs=)当該ホストによりネットワーク (受信と送信の両方) で伝達される有効な特権セットを制限するために指定する。指定した特権だけが許可される。all はすべての特権が解釈されることを意味する。none は特権が解釈されないことを意味する。ホストに適用される tnrhtp テンプレートでは、allowed_privs=empty は、このフィールドの tnidb に指定したものが適用されることを意味する。tnidb ファイルでは、empty は特権が適用されないことを意味する。
強制された特権 (forced_privs=)当該ホストは特権を提供しないため、定義しているホストからの着信パケットに適用される特権を指定する。all はすべての特権が解釈されることを意味する。none は特権が解釈されないことを意味する。ホストに適用される tnrhtp テンプレートでは、forced_privs=empty は、このフィールドの tnidb に指定したものが適用されることを意味する。tnidb ファイルでは、empty は特権が適用されないことを意味する。
デフォルトのラベル (def_label=) 当該ホストは機密ラベルを提供しないため、定義しているホストからの着信パケットに適用される機密ラベルを指定する。
デフォルトの認可上限 (def_cl=) 当該ホストは認可上限を提供しないため、 定義しているホストからの着信パケットに適用される認可上限ラベルを指定する。プロセスは、その認可上限に対応する機密ラベルに書き換えることができる。
デフォルトの UID(def_uid=)当該ホストは UID を提供しないため、定義しているホストからの着信パケットに適用される UID を指定する。

IP ラベル 

(ip_label=) 

有効なタイプ (NONE、RIPSO、CIPSO) を 1 つだけ指定する。

RIPSO ラベル 

(ripso_label=

ip_label=empty の場合、ripso_label=emplty を指定する。IP ラベルタイプが ripso の場合、サポートされる格付けレベルエンコーディング (Top_Secret、Secret、Confidential、Unclassified) を 1 つだけ指定する。

RIPSO エラー  

(ripso_error=)

ip_label=empty の場合、ripso_error=empty を指定する。IP ラベルタイプが ripso の場合、サポートされる保護権限フラグ (GENSER、SIOP-ESI、SCI、NSA、DOE) を 1 つだけ指定する。格付けレベルには ripso_label フィールドの値が使われる。

CIPSO DOI 

(cipso_doi=) 

ip_label=empty の場合、cipso_doi=empty を指定する。IP ラベルタイプが cipso の場合、ホストの CIPSO ドメイン解釈に対応する番号を指定する。

TRUSTED SOLARIS 1.2、1.1 (msix) ホストタイプ

Trusted Solaris 1.2、1.1 (msix) ホストからの通信にサポートされるセキュリティ属性ではラベルだけが使用され、IP ヘッダーによって搬送されます。

Trusted Solaris 1.2 または 1.1 オペレーティング環境では MSIX 1.0 の完全な機能と MSIX 2.0 の一部の機能が含まれているため、これらの環境が動作しているホストのテンプレートでは Trusted Solaris 1.2 or 1.1 ホストタイプを指定する必要があります。Trusted Solaris 1.2 と 1.1 の MSIX のバージョンは MSIX 2.0 の一部の機能だけしかサポートしていないため、MSIX 2.0 プロトコルを使うホストのテンプレートでは msix ホストタイプを指定してはなりません。

Trusted Solaris 1.2、1.1 ホストに指定できるセキュリティ属性は、次の図のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

図 10-4 Tnrhtp で TRUSTED SOLARIS 1.2、1.1 ホストタイプに設定できるフィールド

Graphic

CIPSO (cipso) ホストタイプ

 Ethernet ヘッダー IP ヘッダー [CIPSO ラベルが入ったIP オプション] TCP または UDP ヘッダー データ Ethernet トレーラ

CIPSO ホストタイプは、CIPSO 規格に準拠するホストとの通信をサポートします。CIPSO ホストでサポートされるセキュリティ属性は CIPSO ラベルだけです。このラベルはデータの機密ラベルから取得され、cipso ホストタイプのホストに送信されるパケットの IP ヘッダーに挿入されます。ホストのエントリには、宛先ホスト、および送信したパケットがルートされるすべてのゲートウェイと同じ CIPSO DOI (domain of interpretation) を指定しなければなりません。送信側ホストが CIPSO ホストタイプとして指定されると、トラステッドネットワークソフトウェアは、着信パケットの IP ヘッダーに挿入された CIPSO ラベルを検索します。

CIPSO ホストに指定できるセキュリティ属性は、次の図のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

図 10-5 Tnrhtp で CIPSO ホストタイプに設定できるフィールド

Graphic

RIPSO (ripso) ホストタイプ

 Ethernet ヘッダー IP ヘッダー [RIPSO ラベルが入ったIP オプション] TCP または UDP ヘッダー データ Ethernet トレーラ

RIPSO 規格に準拠するホストをサポートします。ripso タイプのホストとの通信に使用される RIPSO ラベルは、tnrhtp(4) のマニュアルページに書かれているように、そのホストのテンプレートに管理上の目的で定義されます。ripso ホストタイプのテンプレートでは、「RIPSO 送信クラス RIPSO Send Class)」フィールドを Top Secret、Secret、Confidential、Unclassified または 16 進数の値のいずれかに設定しなければなりません。また、テンプレートの「RIPSO 送信 PF (RIPSO Send PAF)」フィールドと「RIPSO 戻り PAF (RIPSO Return PAF)」フィールドは、どちらも「GENSER」、「SIOP-ESI」、「SCI」、「NSA」、「DOE」または 16 進数の値のいずれかに設定する必要があります。

ripso ホストに指定できるセキュリティ属性は、次の図のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

図 10-6 Tnrhtp で RIPSO ホストタイプに設定できるフィールド

Graphic

送信は、最下位機密ラベル (「最下位 SL (Minimum SL)」フィールドで指定する) とデフォルトの機密ラベル (「ラベル (Label)」フィールドで指定する) の間のどの機密ラベルでも行えます。一方、受信はデフォルトの機密ラベルでのみ行えます。

注 -

自サイトの送信を 1 つの機密ラベルに制限する必要がある場合だけ、「ラベル (Label)」フィールドで指定したデフォルトの機密ラベルと同じ最下位 SL を設定する必要があります。

ラベルなし (unlabeled) ホストタイプ

 Ethernet ヘッダー IP ヘッダー [IP オプション] TCP または UDP ヘッダー データ Ethernet トレーラ

ラベルなしホストに指定できるセキュリティ属性は、図 10-7 のとおりです。このホストタイプに適用されないフィールドは、使用できないようにグレー表示されます。

最下位および最上位機密ラベルフィールドは、トラステッドルーティングに使用され、ラベルなしゲートウェイを介したパケットのルーティングを行います。セキュリティ管理者役割は、最下位機密ラベルと最上位機密ラベルを使用してパケットの範囲を定義し、ラベルなしゲートウェイを介した転送を実現することができます。

ラベルなしホスト、あるいは RIPSO ホストでは、送信は、最下位機密ラベル (「最下位 SL (Minimum SL)」フィールドで指定) とデフォルトの機密ラベル (「ラベル (Label)」フィールドで指定) 間のどの機密ラベルでも行われるのに対して、受信は、デフォルトの機密ラベルでのみ行われます。

注 -

自分のサイトの送信を 1 つの機密ラベルに限定する必要がある場合は、「ラベル (Label)」フィールドで指定したデフォルトの機密ラベルと同じ最下位 SL を設定する必要があります。

認可範囲は、ラベルなしホストでユーザーが実行できる書き込み操作の上限を設定します。たとえば、あるサイトで、Solaris オペレーティング環境を実行するラベルなしホストに対し、デフォルトの機密ラベルとして CONFIDENTIAL (C) を、認可上限として SECRET (S) を設定したとします。その結果、Trusted Solaris ホストからマウントされたファイルシステムで作業する Solaris ホストのユーザーは、機密ラベル S を持つ昇格されたファイルを開いて、そのファイルに書き込み操作を行うことができます (ただしこれは、ユーザーに対し、そのファイル名が表示される場合に限ります)。

図 10-7 Tnrhtp でラベルなしホストタイプに設定できるフィールド

Graphic

トラステッドネットワークデータベースにおけるエントリの作成

tnrhdb ファイルでホストやネットワークにテンプレートを割り当てる前に、セキュリティ管理者は次のことを行っておく必要があります。

tnrhdb オプションを使用して、閉鎖型または開放型ネットワーク構成を実現する

トラステッドネットワークは、次の 2 種類のネットワーク構成をサポートします。

他のホストおよびネットワークとの通信を、開放型または閉鎖型のどちらにするかは、それぞれのサイトで決定します。

階層型代替機構

階層型代替アルゴリズムは、マニュアルページにも書かれているように、トラステッドネットワークソフトウェアが tnrhdb(4) データベースのホストのエントリを検索する際に使用します。トラステッドネットワークソフトウェアは、そのホスト固有のエントリが見つからなかった場合は、代わりにクラス C と一致するネットワークエントリを検索し、次にクラス B のエントリ、その次にクラス A のエントリと検索していきます。どのエントリも見つからない場合は、最後にワイルドカードエントリ (IP アドレス 0.0.0.0) を検索します。tnrhdb データベースに、そのホストの IP アドレスと一致するエントリがなければ、そのホストとの通信は許可されません。この代替メカニズムは、開放型ネットワーク構成でも制御型ネットワーク構成でも、注意して使用することができます。

ワイルドカードを使用した開放型ネットワーク構成

セキュリティ管理者役割は、「ワイルドカードエントリ」を作成してデフォルトの属性セットを指定し、それをネットワークデータベースにエントリが検出されなかったホストに割り当てます。ワイルドカードエントリに割り当てられたテンプレートは、「テンプレートの設定」の項で説明しているように、セキュリティ管理者が他のテンプレートとともに tnrhtp(4) データベースに構成します。

閉鎖的制御型のネットワーク構成

ホストとの通信は、トラステッドネットワークソフトウェアが、tnrhdb データベースのエントリにそのホストの IP アドレスを検出できない限り許可されません。通信を厳格に制限するには、セキュリティ管理者役割はネットワークエントリを指定する際に、ワイルドカードを使わずに個々のエントリを指定します。

テンプレートの設定

セキュリティ管理者役割がホストにテンプレートを対応付ける方法には何種類かあります。これらの方法については、次の手順を参照してください。

注 -

以下の例では、tsol_1、tsol、および wildcard (ワイルドカード) のテンプレートが tnrhtp ファイルに設定されているものと仮定します。

トラステッドネットワークデータベースの属性に関する優先規則

セキュリティ管理者役割によってホストの tnrhtp テンプレートに値が設定されている場合は、次の図に示すように、その tnrhtp ファイルの値が、tnidb のネットワークインタフェースに指定された値よりも優先されます。次の図を見てもわかるように、tnidb の値は、パケットを送信するホストの tnrhdb エントリに値が設定されていない場合しか適用されません。

図 10-8 属性の優先規則

Graphic

デフォルト値が必要なフィールドは、少なくともどちらかのファイルで値が指定されていなければなりません。tnrhtp に empty という値が指定されたデフォルトのフィールドがある場合、セキュリティ管理者役割は、tnidb ファイル内の対応するデフォルトのフィールドにその値が指定されていることを確認する必要があります。

新たなインタフェースを追加するときは、セキュリティ管理者役割は、データベースマネージャのインターフェースマネージャの「追加 (Add)」ダイアログボックス内のフィールドをすべて指定する必要があります。セキュリティ管理者役割がインタフェースのデフォルトセットとして tnidb のデフォルト定義に変更を加えない場合は、データベースマネージャのインタフェースマネージャに表示されている値が適用されます。次の図に le0 に対する tnidb エントリを示します。ここでは、最下位 SL が ADMIN_LOW、最上位 SL が ADMIN_HIGH、ラベルが ADMIN_LOW[ADMIN_LOW]、認可上限が ADMIN_HIGH、ユーザー ID およびグループ ID が nobody です。

図 10-9 Tnidb データベースの le0 インタフェースへのデフォルトエントリ

Graphic

優先例

次の図は、wildcard という名前のテンプレートが未知のホストに定義されています。ラベルは [INTERNAL] に、認可上限は INTERNAL に、ユーザー ID は 12022 に、グループ ID は 10 に定義されています。

図 10-10 デフォルト属性の未知のホストからの通信への割り当て

Graphic

この例では、インタフェースの定義は、図 10-9 で指定されたデフォルト値で、ラベルは ADMIN_LOW、認可上限は ADMIN_HIGH、ユーザー ID とグループ ID はどちらも nobody です。

ラベル、認可上限、UID および GID は、テンプレート wildcard からとられるので、テンプレート内の値はインタフェースの tnidb の値よりも優先します。le0 インタフェースを介して未知のホストから送られるパケットに割り当てられるラベルは INTERNAL、認可上限は INTERNAL、ユーザー ID は 120022、グループ ID は 10 です。

ネットワーク認可範囲

ホストとネットワークには、それぞれ認可範囲が指定されます。ホストの認可範囲は、tnrhtp ファイルの min_sl および max_sl エントリで設定され、ネットワークインタフェースの認可範囲は、tnidb ファイルの min_sl、max_sl エントリで設定されます。

図 10-11 の例は、le0、le1 という 2 つのネットワークインタフェースを持つホスト G を示しています。le0 の認可範囲は ADMIN_LOW から ADMIN_HIGH に定義されており、le1 の認可範囲は INTERNAL_USE_ONLY から NEED_TO_KNOW ENG に定義されています。

図 10-11 2 つのネットワークインタフェースとそのネットワーク認可範囲

Graphic

注 -

Trusted Solaris 分散システム内の通信では、認可範囲を ADMIN_LOW から ADMIN_HIGH に設定する必要があります。

「ネットワークインタフェースを構成するには」を参照してください。

ブート時トラステッドネットワークデータベース

ブート時専用ローカルバージョンの tnrhdb および tnrhtp ファイルは、常に /etc/security/tsol/boot ディレクトリに保持されています。ブート時のファイルの形式は、通常の tnrhdb(4) ファイルと tnrhtp(4) ファイルと同じです (それぞれのマニュアルページを参照)。

NIS+ クライアントは、それらの IP アドレスとトラステッドネットワーク構成情報が利用できない間は、ブート時に NIS+ マスターに到達可能でなければならないため、ブート時ファイルを必要とします。他のホストはルーターと通信する必要があります。

ブート時に通信すべきホストの IP アドレスを構成前に知る方法はないため、デフォルトのブート時 tnrhdb ファイルにはワイルドカードアドレスを指定します。すべてのホストは Trusted Solaris を稼働しているものと想定されるため、sun_tsol ホストタイプが割り当てられます。

ブート後、トラステッドネットワークに指定されたエントリは、/var/tsol 下のトラステッドネットワークキャッシュファイルのブート時ファイルにある同じ名前のエントリを無効にします。

注意 - 注意 -

通常の tnrhdb データベース内に対応するエントリが存在しない場合、キャッシュされているワイルドカードエントリは無効にされることはありません。キャッシュされているエントリを削除するには、カーネルキャッシュファイルを削除してリブートする以外に方法はありません。この手順については、「キャッシュされている Trusted Network データベース内のエントリを削除するには」を参照してください。

デフォルトのブート時エントリ

次の例に示すように、/etc/security/tsol/boot/tnrhdb 内にあるデフォルトのエントリは、IP アドレス 0.0.0.0 で指定されるワイルドカードエントリに tsol というテンプレートを割り当てます。


# Loaded at initial boot time only.
# Should be replaced by regular entries after boot.
# 0.0.0.0:tsol

次の例に示すように、デフォルトの /etc/security/tsol/boot/tnrhtp ファイルには、tsol というテンプレートが 1 つだけ存在します。tsol テンプレートは sun_tsol ホストタイプに割り当てられます。


# Loaded at initial boot time only.
# Should be replaced by regular entry after boot.
#tsol:host_type=sun_tsol;min_sl=0x00000000000000000000000000000000000000
000000000000000000000000000000;
max_sl=0x7fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff;
allowed_privs=all;ip_label=none;ripso_label=empty;
ripso_error=empty;cipso_doi=empty;def_audit_auid=3;def_audit_mask=0x0000000000;
def000000_audit_termid=0x0000000000000000;def_audit_asid=0;

デフォルトのエントリの変更

各 NIS+ クライアントの最初のブート後、インストールチームは、必要なセキュリティのレベルに応じて、次のうちの 1 つを行うことをお勧めします。

ワイルドカードエントリの変更

以降のブート時に通信するホストを制御するには、/etc/security/boot/tnrhdb 内のワイルドカードエントリを、ブート時に通信するすべてのホスト用のエントリに変更し、必要なテンプレートを /etc/security/boot/tnrhtp に追加します。「ブート時ファイル tnrhdb および tnrhtp のデフォルトエントリを変更するには」を参照してください。

次のエントリが必要です。

この手順については、「キャッシュされている Trusted Network データベース内のエントリを削除するには」を参照してください。

トンネリングの設定

「トンネリング」の項で説明したように、トンネリングを設定すると、2 台の Trusted Solaris ゲートウェイの間に Trusted Solaris 以外のホストとゲートウェイのクラスタ (雲) が存在している場合でも、イントラネット上のルートの拡張メトリックを共有できるようになります。この場合、ホストはすべて、Trusted Solaris 拡張 RIP を実行するゲートウェイとともに、同一イントラネット内に構成されなければなりません。トンネリングを設定しないと、ゲートウェイの拡張 RIP によって生成される特殊なセキュリティ応答パケットが、リモート Trusted Solaris ゲートウェイに到達できないため、認識されたルートの拡張メトリックも転送不能なります。

トンネリングを設定するには、セキュリティ管理者が Trusted Solaris ゲートウェイに tunnel ファイルを作成します。tunnel ファイルには、Trusted Solaris ゲートウェイに接続されたリモートネットワークの IP アドレスが保持されます。セキュリティ情報が含まれるラベルなしブロードキャストパケットは、この tunnel ファイルに指定されているネットワークに直接送信され、Trusted Solaris ゲートウェイによって受信されます。「トンネリングを設定するには」を参照してください。

手順

ブート時ファイル tnrhdb および tnrhtp のデフォルトエントリを変更するには

  1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. 「管理用エディタ (Admin Editor)」アクションを実行して /etc/security/tsol/boot/tnrhdb ファイルを開き、編集します。

    必要に応じて、「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

    デフォルトエントリの例を次に示します。


    0.0.0.0:tsol

  3. ワイルドカードエントリを削除するか、定義し直します。

    次に、ラベルなしホストタイプが割り当てられている、デフォルトの unlab テンプレートを使用して、定義し直したワイルドカードエントリを示します。


    0.0.0.0:unlab

    ワイルドカードエントリを削除した場合、次の手順に進みます。ワイルドカードエントリを定義し直した場合、手順 7 に進みます。

  4. ワイルドカードエントリを変更するには、現在のホストがブート時に通信する必要があるすべてのホストのエントリを作成します。

    1. NIS+ クライアントの場合、NIS+ マスター用のエントリを作成します。

    2. 構成中のホストの IP アドレスごとにエントリを作成します。

      次に、2 つのインタフェースを持つルーターであるホスト用のエントリを示します。


      127.150.113.111:tsol 
127.150.113.112:tsol

    3. 構成中のホストのループバックアドレス用のエントリを作成します。


      127.0.0.1:tsol

    4. 構成中のホストがルーターでない場合、ホストがルーターを見つけるための 1 つまたは複数のエントリを作成します。

      次のいずれかを行います。

      1. ローカルネットワーク上にあるルータ用のエントリを作成します。

      2. NIS+ クライアントがローカルルーターを見つけるための、ネットワーク用のフォールバックエントリを作成します。

    次の例に、NIS+ クライアント用のエントリを示します。ホストの IP アドレスは 129.96.22.29、NIS+ マスターの IP アドレスは 129.96.22.40、ループバック IP アドレスは 127.0.0.1、そして、ネットワークの IP アドレスは 129.96.22.0 です (ルーターを見つけるために使われる)。


    129.96.22.29:tsol 
129.96.22.40:tsol 
127.0.0.1:tsol 
129.96.22.0:tsol

  5. ファイルを上書き保存し、閉じます。


    :wq

  6. 必要に応じて、tnrhdb ファイルのエントリのために必要なテンプレートがあれば追加します。

    「管理用エディタ (Admin Editor)」アクションを実行して /etc/security/tsol/boot/tnrhtp ファイルを開き、編集します。

    たとえば、tnrhdb(4) 内に指定されているいずれかのホストのホストタイプがラベルなしの場合、次に示すように、host_type=unlabeled を含むテンプレートを追加します。


    unlab:unlabeled; def_label=0x000000000000000000000000000
00000000000000000000000000000000000000000000000000000000000000000000000000
0000000000000000000000000000000[0x1000000000000000000000000000000000000000
00000000000000000000000000000000000000000000000000000000000000000000000000
000000000000000000];
def_cl=0x00000000000000000000000000000000000000000000000000000000000000000000; 
def_uid=empty; def_gid=empty; forced_privs=empty;
min_sl=0x00000000000000000000000000000000000000000000000000000000000000000000; 
max_sl=0x7fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff; 
def_audit_auid=3; def_audit_mask=0x00 00000000000000; 
def_audit_termid=0x0000000000000000; def_audit_asid=0;
    注意 - 注意 -

    デフォルトの unlab テンプレートを使う場合は、def_label フィールドの機密ラベル部分を、必ずユーザー認可範囲内に収まるようなラベルに変更してください。デフォルトのテンプレートの機密ラベルは ADMIN_LOW であり、通常のユーザーはこのラベルでは作業できません。情報ラベル部分は ADMIN_LOW に固定されています。

  7. ファイルを上書き保存し、閉じます。


    :wq

データベースマネージャからトラステッドネットワークデータベースにアクセスするには

  1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. アプリケーションマネージャの「Soltice アプリケーション (Solstice_Apps)」フォルダを開きます。

    必要に応じて、「管理アプリケーションを起動するには」を参照してください。

  3. データベースマネージャ (Database_Manager) アイコンをダブルクリックし、データベースマネージャの「読み込み (Load)」リストを開きます。

    次の例は、「Soltice アプリケーション (Solstice_Apps)」フォルダで選択されたデータベースマネージャを示しています。

    Graphic

  4. データベースマネージャの「読み込み (Load)」リストの「ネームサービス (Naming Service)」メニューから、ネームサービスを選択します。

    デフォルトでは、次の例に示すように NIS+ ネームサービスが選択されており、NIS+ のドメイン名が「ドメイン名 (Domain)」テキストエントリフィールドに表示されるようになっています。

    Graphic
    注 -

    NIS+ を使っている場合でも、tnidb は常に、「ネーミングサービス (Naming Service)」を「なし (None)」に設定して変更したローカルファイルであることを念頭に置いてください。これに対して、tnrhdb と tnrhtp は、「ネーミングサービス (Naming Service)」を「NIS+」または「なし (None)」に設定して変更できます。スタンドアロンの Trusted Solaris システムを NIS+ なしで構成する場合、上記 3 つのファイルはすべて「ネーミングサービス」を「なし (None)」に設定して変更します。これらのファイルのための nsswitch.conf(4) エントリが、ローカルファイルと NIS+ ファイルの両方に加えられた変更を反映する検索シーケンスになっていることを確認してください。

    1. tnidb にアクセスする場合は、「なし (None)」を選択します。

      「なし (None)」を選択すると、次の例に示すように、現在のホスト名が「ホスト名 (Host)」テキストエントリフィールドに表示されます。

      Graphic

    2. tnrhdb および tnrhtp ファイルにアクセスする場合は、システム構成に合わせ、「NIS+」または「なし (None)」のどちらかのネームサービスを選択します。

  5. ネームサービスを「なし (None)」にした場合で、リモートホストのデータベースを構成する場合は、「ホスト名 (Host)」テキストエントリフィールドにそのホスト名を入力します。

  6. 編集するトラステッドネットワークデータベースの名前をダブルクリックします。または強調表示してから「了解 (OK)」をクリックします。

    Graphic

  7. 必要に応じて、「tnrhtp に新規テンプレートを作成するには」、「tnrhdb で単一のホストにテンプレートを割り当てるには」、「tnrhdb でホストのグループにテンプレートを割り当てるには」、「ワイルドカードを使用して、別に指定されていないすべてのホストの tnrhdb エントリを作成するには」、「ホストテンプレートまたはネットワークインタフェースエントリに認可範囲を 設定するには」、「ネットワークインタフェースを構成するには」、「tnidb で新規エントリを追加する、または既存エントリを変更するには」、または 「ルーティングの IP ラベルを設定するには」に進んでください。

tnrhtp に新規テンプレートを作成するには

  1. セキュリティ管理者役割になって、ADMIN_LOW ワークスペースに移動し、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。フィールドの定義に関しては、tnrhtp(4) のマニュアルページも参照してください。「各ホストタイプに設定可能なセキュリティ属性」に述べたように、すべてのフィールドが各テンプレートにあるわけではありません。

  2. 「ネームサービス (Naming Service)」オプションメニューをクリックし、さらに「なし (None)」または「NIS+」をクリックします。

  3. データベースマネージャの「読み込み (Load)」リストの Tnrhtp を強調表示し、「編集 (Edit)」メニューから「追加 (Add)」を選択します。

    テンプレートマネージャの「追加 (Add)」ダイアログが 次の図のように表示されます。

  4. 「テンプレート名 (Template Name)」に入力します。

  5. 「ホストタイプ (Host Type)」オプションメニューのボタンをクリックし、メニューの中から希望するホストタイプをクリックして選択します。

    注 -

    以降の手順を進めていくときに、必ずしもすべてのホストタイプですべてのフィールドが使用できるわけではないことに注意してください。

  6. 「最下位 SL (Minimum SL)」ボタンをクリックし、ラベルビルダーを使用して、希望する最下位機密ラベルを指定します。

    ラベルを認識するホストでは、このフィールドは、ホストの認可範囲の下限を設定するのに使われます。ラベルなしおよび RIPSO ホストタイプの場合は、このフィールドは、ホストがゲートウェイのときのトラステッドルーティングに使われます。

  7. 「最上位 SL (Maximum SL)」ボタンをクリックし、ラベルビルダーを使用して、希望する最上位機密ラベルを指定します。

    ラベルを認識するホストでは、このフィールドは、ホストの認可範囲の上限を設定するのに使われます。ラベルなしおよび RIPSO ホストタイプの場合は、このフィールドは、ホストがゲートウェイのときのトラステッドルーティングに使われます。

  8. 希望するユーザー ID を入力するか、「Def!」をクリックして、空のデフォルト値を設定します。

    ラベルなしのホストの場合、ここでユーザー ID を指定しないときは、各ローカルホストの Tnidb にユーザー ID を指定してください。

  9. 希望するグループ ID を入力するか、「Def!」をクリックして、空のデフォルト値を設定します。

    ラベルなしのホストの場合、ここでグループ ID を指定しないときは、各ローカルホストの Tnidb にグループ ID を指定してください。

    Graphic

  10. 「ラベル (Label)」ボタンをクリックし、ラベルビルダーを使用して、希望するデフォルトの機密ラベルを指定します。

    1. 「更新後のラベル (Update With)」フィールドに機密ラベルを入力します。

    2. 「更新 (Updata)」ボタンをクリックします。

    3. 「了解 (OK)」をクリックして、変更を保存し、ダイアログを終了します。

  11. 「認可上限 (Clearance)」ボタンをクリックし、認可上限ビルダーを使って、希望するデフォルトの認可上限ラベルを指定します。

    1. 「更新後のラベル (Update With)」フィールドに認可上限を入力します。

    2. 「更新 (Updata)」ボタンをクリックします。

    3. 「了解 (OK)」をクリックして、変更を保存し、ダイアログを終了します。

  12. 希望する強制された特権を選択します。

    1. 「強制された特権 (Forced Privileges)」ボタンをクリックして、「強制された特権 (Forced Privileges)」ダイアログボックスを起動し、次のどれかを行います。

      1. 希望する強制された特権を「含む (Included:)」一覧に移動します。

      2. 「Def!」ボタンをクリックして、デフォルトの強制された特権セット (空) を指定します。

      3. 「All!」ボタンをクリックして、すべての特権を指定します。

    2. 「了解 (OK)」をクリックして、変更を保存し、ダイアログを終了します。

  13. 希望する許可された特権を選択します。

    1. 「許可された特権 (Allowed Privileges)」ボタンをクリックして、「許可された特権 (Allowed Privileges)」ダイアログボックスを起動し、次のどれかを行います。

      1. 希望する許可された特権を「含む (Included:)」一覧に移動します。

      2. 「Def!」ボタンをクリックして、デフォルトの許可された特権セット (空) を指定します。

      3. 「All!」ボタンをクリックして、すべての特権を指定します。

    2. 「了解 (OK)」をクリックして、変更を保存し、ダイアログを終了します。

  14. 希望する監査特性を選択します。

    1. 「監査特性 (Audit Characteristics)」ボタンをクリックして、「監査特性 (Audit Characteristics)」ダイアログボックスを起動します (任意)。

      1. 「監査ユーザー ID (Audit User ID)」を入力します。

      2. 「監査端末 ID (Audit Terminal ID)」を入力します。

      3. 「監査セッション ID (Audit Session ID)」を入力します。

      4. 「All!」ボタンをクリックして、すべての特権を指定します。

    2. 「了解 (OK)」をクリックして、変更を保存し、ダイアログを終了します。

  15. (省略可能) トラステッドルーティングの IP ラベルフィールドを指定します。

    どのラベルを入力したらよいのかわらない場合は、「トラステッドルーティングの設定」を参照してください。

  16. 「了解 (OK)」をクリックして、変更を保存し、テンプレートマネージャを閉じます。

tnrhdb で単一のホストにテンプレートを割り当てるには

  1. セキュリティ管理者役割になり ADMIN_LOW ワークスペースに移動して、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。フィールドの定義については、tnrhdb(4) のマニュアルページも参照してください。

  2. 「ネームサービス (Naming Service)」オプションメニューをクリックし、さらに「なし (None)」または「NIS+」を指定します。

  3. データベースマネージャの「読み込み (Load)」リストで Tnrhdb を強調表示し、「編集 (Edit)」メニューから「追加 (Add)」を選択します。

  4. ホストの IP アドレスを、「IP アドレス (IP Address)」フィールドに入力します。

  5. 「テンプレート名 (Template Name)」オプションメニューボタンをクリックし、次の図に示すように希望のテンプレート名を選択します。

    Graphic

  6. 「了解 (OK)」をクリックして、変更を保存し、「データベースマネージャ: 追加 (Database Manager: Add)」ダイアログボックスを閉じます。

    次の例は、IP アドレス (192.110.120.6) で識別されるホストで、テンプレート tsol_1 が割り当てられています。

    Graphic

    tnrhdb データベースに新たに追加されたエントリの様子を次の図に示します。

    Graphic

tnrhdb でホストのグループにテンプレートを割り当てるには

  1. セキュリティ管理者役割になり ADMIN_LOW ワークスペースに移動して、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

  2. Tnrhtp データベースで割り当てるテンプレートを決定します。

  3. データベースマネージャの「読み込み (Load)」リストで Tnrhdb を強調表示し、「編集 (Edit)」メニューから「追加 (Add)」を選択します。

  4. ネットワークの IP アドレスを入力します。

  5. 「テンプレート名 (Template Name)」オプションメニューボタンをクリックして、次の図に示すように、希望するテンプレート名をクリックして選択します。

  6. 「了解 (OK)」をクリックして、変更を保存し、ダイアログボックスを閉じます。

    次の図に、ネットワークエントリを示します。

    Graphic

    次の例に、tnrhdb(4) ファイル内にある、デフォルトの tsol テンプレートを持つネットワーク 192.168.254.0 用の新しいエントリと、IP アドレスが 192.168.254.1 であり、tsol_1 テンプレートを持ったホスト用のエントリを示します。結果として、IP アドレスが 192.168.254.1 のホストは、tsol_1 テンプレートを使い、このネットワーク中の他のホストはすべて tsol テンプレートを使います。

    Graphic
    注 -

    ホストが接続されているネットワークのエントリを作成して、明示的または暗黙的にすべてのホストを一覧表示し、ワイルドカードを使用しなければ、そこに表示されたホストだけがシステムと通信を行えるような、制御された設定が可能になります。

  7. 変更が終わったら、「ファイル (File)」をクリックしてメニューを表示し、「終了 (Exit)」オプションをクリックしてデータベースマネージャの「Tnrhdb データベース (Tnrhdb Database)」ダイアログボックスを閉じます。

ワイルドカードを使用して、別に指定されていないすべてのホストの tnrhdb エントリを作成するには

  1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動して、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

  2. 必要に応じて新しいテンプレートを作成します。

    これには、「tnrhtp に新規テンプレートを作成するには」を参照してください。次の図はラベルなしホストタイプを指定するワイルドカードテンプレートを示します。

    図 10-12 Tmrhtp データベースマネージャの新規ワイルドカードテンプレート

    Graphic

  3. データベースマネージャの「読み込み (Load)」リストで Tnrhdb を強調表示し、「編集 (Edit)」メニューから「追加 (Add)」を選択します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

  4. ワイルドカードの IP アドレス 0.0.0.0 とテンプレート名を、表示されたダイアログボックスに入力します。

  5. 「テンプレート名 (Template Name)」メニューをクリックして表示し、一覧からテンプレート名を選択します。

    次の図では、ワイルドカードテンプレートを 0.0.0.0 のワイルドカードエントリに割り当てています。

    Graphic

  6. 修正が終わったら、「了解 (OK)」ボタンをクリックします。

    次の図は、ワイルドカード IP アドレスの新しいエントリを示したもので、wildcard というテンプレートに対応しています。この新しいワイルドカードエントリは、未指定のホストをすべてデフォルトエントリに割り当てます。

    注意 - 注意 -

    ワイルドカードエントリを使用すると、どのホストでもシステムとの通信が許可されます。

    Graphic

  7. 変更が終わったら、「ファイル (File)」をクリックして、メニューを表示し、 「終了 (Exit)」を選択してデータベースマネージャの「Tnrhdb データベース (Tnrhdb Database)」ダイアログボックスを閉じます。

キャッシュされている Trusted Network データベース内のエントリを削除するには

  1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。

  2. /var/tsol ディレクトリに移動します。

  3. キャッシュファイル tnrhtp_c と tnrhdb_c を削除します。

  4. リブートします。

ホストテンプレートまたはネットワークインタフェースエントリに認可範囲を 設定するには

  1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動して、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

    注 -

    各ホストには、そのホスト固有のネットワークインタフェースの属性を指定する個別の tnidb ファイルが存在します。データベースマネージャの tnidb 用の読み込み一覧において、「ネーミングサービス (Naming Service)」メニューにある唯一のオプションは「なし (None)」です。

  2. 1 台以上のホストに割り当てられたテンプレートのホスト認可範囲を設定するには、Tnrhtp を変更し、「最下位 SL (Minimum SL)」と「最上位 SL (Maximum SL)」を指定します。

    1. データベースマネージャの「読み込み (Load)」リストの Tnrhtp を強調表示します。

    2. 既存のテンプレートを変更するには、そのテンプレート名を強調表示し、「変更 (Modify)」を選択します。

    3. 「最下位 SL (Minimum SL)」および「最上位 SL (Maximum SL)」フィールドに、ボタンをクリックしたときに表示されるラベルビルダーダイアログボックスを使用して、必要な機密ラベルを指定します。

  3. 現在のホスト上の複数のインタフェースのネットワーク認可範囲を設定するには、次の手順を実行します。

    1. データベースマネージャの「読み込み (Load)」リストの Tnidb を強調表示します。

    2. 最下位および最上位機密ラベルのフィールドに、必要な機密ラベルを入力します。

      注 -

      デフォルトのネットワーク認可範囲は、ADMIN_LOW から ADMIN_HIGH までです。

ネットワークインタフェースを構成するには

  1. 新しいインタフェースを追加する場合、インタフェースに付属するマニュアルのハードウェアおよびソフトウェアのインストール手順に従い、ネットワークインタフェースカードを挿入します。

    インタフェースインストールプログラムは、hostname.device_abbreviation という新しいデバイスファイルを /etc にインストールします。

  2. ホストに複数のネットワークインタフェースがある場合は、Solaris の『TCP/IP とデータ通信』の説明に従って、ルーターまたはマルチホームホストとして構成します。

  3. 新しいネットワークインタフェースの名前がまだ Tnidb データベースに設定されていない場合は、「tnidb で新規エントリを追加する、または既存エントリを変更するには」の手順説明に従って、名前を追加します。

    次の図は、デフォルトのネットワークインタフェース名を示しています。

    Graphic

  4. サイトのセキュリティポリシーによって、ホストのインタフェースのデフォルト設定を変更しなければならない場合は、「tnidb で新規エントリを追加する、または既存エントリを変更するには」の手順説明に従ってエントリを変更します。

    各フィールドのデフォルト設定は、次の表のとおりです。デフォルトのままでよい場合は、tnidb(4) ファイルを変更する必要はありません。

    表 10-4 tnidb のデフォルト設定
    最下位 SL (Minimum SL)最上位 SL (Maximum SL)ラベル (デフォルト) (Label)認可上限 (Clearance)ユーザー ID (User ID)グループ ID (Group ID)強制された特権 (Forced Privileges)
    ADMIN_LOWADMIN_HIGHADMIN_LOWADMIN_HIGHnobodynobodyempty

tnidb で新規エントリを追加する、または既存エントリを変更するには

  1. セキュリティ管理者役割になり ADMIN_LOW ワークスペースに移動して、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

  2. 必要に応じて、インタフェースを設定します。

    必要に応じて、「ネットワークインタフェースを構成するには」を参照してください。

  3. インタフェース名がデフォルトのリストになければ、それを追加し、希望する属性を指定します。

    1. 「編集 (Edit)」メニューから「追加 (Add)」を選択します。

      次の図は、le0 インタフェースを示したもので、「編集 (Edit)」メニューの「追加 (Add)」オプションが強調表示されています。

      Graphic

    2. 追加されたインタフェースと希望する属性を指定します。

      インタフェースマネージャの「追加 (Add)」ダイアログボックスを次の図に示します。

      Graphic

  4. インタフェース名がデフォルトリストにあれば、そのデフォルトの設定を変更します。

    1. インタフェース名を強調表示し、「編集 (Edit)」メニューから「変更 (Modify)」を選択します。

      次の図は、le0 インタフェース名を示したもので、「編集 (Edit)」メニューの「変更 (Modify)」オプションが強調表示されています。

      Graphic

    2. 必要に応じて、設定に変更を加えます。

      次の図は、hme0 のデフォルトの設定値を示したものです。

      Graphic

  5. インタフェース名のリストにデフォルトのリストがない場合は、それを追加し、希望の属性を指定します。

    1. 「編集 (Edit)」メニューの「追加 (Add)」を選択します。

      次の図に、le0 インタフェース名と強調表示されている「編集 (Edit)」メニューの「追加 (Add)」オプションを示します。

      Graphic

    2. 追加インタフェース名と希望する属性を指定します。

      次の図にインタフェースマネージャの「追加 (Add)」ダイアログボックスを示します。

      Graphic

機密ラベル ADMIN_HIGH を有効な CIPSO ラベルで置き換えるには

  1. 転送ホストでセキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. 「管理用エディタ (Admin Editor)」アクションを実行して /etc/system ファイルを開き、編集します。

    必要に応じて、「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

  3. tsol_admin_high_to_cipso= フラグを 1 に設定するコマンド行を追加します。


    set tsolsys:tsol_admin_high_to_cipso=1

    カーネルのデフォルト設定は、system ファイルには表示されませんが、0 に設定されています。

  4. ファイルを上書き保存し、閉じます。


    :wq

単一ゲートウェイで構成されたネットワークの簡易デフォルトルートを設定するには

  1. システム管理者役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. 「デフォルトの経路の設定 (Set Default Routes)」アクションを実行して、ルーターのホスト名が入った /etc/defaultrouter エントリを作成します。

    必要に応じて、「管理アクションを起動するには」を参照してください。また、構文および /etc/defaultrouter ファイルの使用方法については、 route(1M) のマニュアルページを参照してください。次の例は、merlot というデフォルトルーターのエントリを示しています。


    merlot

  3. ローカルファイルの /etc/hosts に、このゲートウェイのエントリがあることを確認します。


    129.150.113.36 merlot

  4. ローカルファイルの /etc/security/tsol/tnrhdb に、このゲートウェイのエントリがあることを確認します。


    129.150.113.36:tsol

  5. ファイルを上書き保存し、閉じます。


    :wq

  6. tnrhdb ファイルに追加したホストがあれば、tnctl(1M) コマンドを実行し、トラステッドネットワーキングキャッシュを更新します。


    $ tnctl -h merlot

任意の拡張メトリックを使用して、特定のホストまたはネットワークの静的ルートを設定するには

  1. システム管理者役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. 「Tsol ゲートウェイの設定 (Set Tsol Gateways)」アクションを実行して /etc/tsolgateways ファイルを開き、編集します。

    必要に応じて、「管理アクションを起動するには」を参照してください。また、構文および /etc/tsolgateways ファイルの使用方法については、tsolgateways(4) および route(1M) のマニュアルページを参照してください。なお、tsolgateways コマンドの拡張メトリックには、route コマンドと同じ構文が使用されます。

  3. 必要に応じて、1 つまたは複数のデフォルトエントリを設定します。

    ここでは、129.150.113.36 という特定のゲートウェイアドレスを使用して、最初のエントリにデフォルトルートを設定しています。このエントリは、ホストにもパケットの送信先にも特定のルートが定義されていない場合に使用されます。


    default 129.150.113.36  1

  4. 必要に応じて、1 つまたは複数のネットワークエントリを設定します。

    下の例の 2 行目には、標準メトリックを使用してネットワークエントリを設定しています。3 行目では、拡張メトリックを使用しており、ラベル範囲を PUBLIC から INTERNAL に指定しています。


    default 129.150.113.36  1
net 129.150.102.0 gateway-101 1
net 129.150.101.0 gateway-102 -m metric=2,min_sl="PUBLIC",max_sl="INTERNAL"

  5. 必要に応じて、1 つまたは複数のホストエントリを設定します。

    下の例の4 行目では、trusted というゲートウェイホスト用に拡張メトリックを使用してホストエントリを設定し、ラベル範囲を「PUBLIC」から「PUBLIC」に指定しています。


    default 129.150.113.36  1
net 129.150.102.0 gateway-101 1
net 129.150.101.0 gateway-102 -m metric=2,min_sl="PUBLIC",max_sl="INTERNAL"
host 129.150.101.3 trusted -m metric=2,min_sl="PUBLIC",max_sl="PUBLIC"

  6. ローカルファイルの /etc/hosts または NIS+ の hosts.org_dir テーブルに、宛先ホストおよびゲートウェイのエントリが設定されていることを確認します。


    129.150.113.36 merlot

  7. ローカルファイルの /etc/security/tsol/tnrhdb に、宛先ホスト、ネットワークおよびゲートウェイのエントリが設定されていることを確認します。


    29.150.113.36:tsol1

  8. ファイルを上書き保存し、閉じます。


    :wq

ルーティングの IP ラベルを設定するには

注 -

Tnrhtp テンプレートを設定し、それを送信側ホスト、メッセージが経由する各トラステッドゲートウェイ、宛先ホストにそれぞれ割り当てるには、以下の手順を実行します。

  1. セキュリティ管理者役割になり、データベースマネージャを起動します。

    必要に応じて、「データベースマネージャからトラステッドネットワークデータベースにアクセスするには」を参照してください。

  2. データベース名 Tnrhtp をダブルクリックし (次の図を参照)、その後の図に示すようなデータベースマネージャを開きます。

    GraphicGraphic

  3. テンプレート名をダブルクリックし、テンプレートマネージャを開きます。

    次の図では、tsol_2 テンプレートが選択されています。

    Graphic

  4. 任意のフィールドを変更します。

    ゲートウェイのテンプレートでは、ホストタイプとして RIPSO、CIPSO、Trusted Solaris 、TSIX のいずれかを使用できます。

    CIPSO ラベルを使用する場合は次の手順に、RIPSO ラベルを使用する場合は手順 6 に進みます。

  5. データの実際の機密ラベルから取得される CIPSO ラベルを使用するには、CIPSO DOI を指定します。

    現在定義されている CIPSO DOI は 1 だけです。送信側ホスト、各ゲートウェイ、宛先ホストに、みな同じ CIPSO DOI が指定されていることを確認します。

  6. RIPSO ラベルを使用するには、「RIPSO 送信クラス (RIPSO Send Class)」メニューから格付けを 1 つ選択し、次に「RIPSO 送信 PAF (RIPSO Send PAF)」メニューからサポートされている保護許可フラグを必要なだけ (選択しなくても構いません) 選択します。最後に「RIPSO 戻り PAF (RIPSO Return PAF)」メニューからサポートされている RIPSO エラーを 1 つ選択します。

    注 -

    送信側ホスト、各ゲートウェイ、宛先ホストには、同じ RIPSO ラベルと RIPSO エラーが指定されていることを確認します。

  7. 「了解 (OK)」をクリックして変更内容を適用させ、テンプレートマネージャを終了します。

  8. アプリケーションマネージャの「システム管理 (System_Admin)」フォルダから「デフォルトの経路の設定 (Set Default Routes)」アクションを実行し、/etc/defaultrouter ファイルを開きます。

  9. /etc/defaultrouter ファイルに、1 エントリにつき 1 行ずつ、名前または IP アドレスを使用してゲートウェイを一覧入力します。これにはホストの IP アドレスまたは名前を使用します。

    注 -

    ホスト名を使用する場合は、ローカルファイルの /etc/inet/hosts に、そのホストを IP アドレスと共に指定したエントリもなければなりません。

    次の例は、ホスト名を使用して、/etc/defaultrouter ファイルにゲートウェイを入力したものです。


    routeman

    次の例では、routeman という名の同じゲートウェイを、IP アドレスを使用して /etc/defaultrouter ファイルに入力しています。 


    127.13.104.10

  10. ファイルを上書き保存し、閉じます。 


    :wq

トンネリングを設定するには

転送ホストとは、1 台以上の非 Trusted Solaris 7 または 2.5.1 ゲートウェイをトンネリングさせることにより、相手側の Trusted Solaris 7 または 2.5.1 ホストにルートの拡張メトリックを伝達できるように設定された Trusted Solaris 7 または 2.5.1 ルーターをいいます。

  1. 転送ホストでセキュリティ管理役割になり、ADMIN_LOW ワークスペースに移動します。

    必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

  2. 「管理用エディタ (Admin Editor)」アクションを実行して /etc/security/tsol/tunnel ファイルを開き、編集します。

    必要に応じて「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

  3. 1 行に 1 つずつ、宛先 (サブ) ネットワークの IP アドレスを入力します。

    必要に応じて次の例を参照してください。


    129.299.36.0

  4. ファイルを上書き保存し、閉じます。


    :wq

  5. 拡張メトリックを使用した双方向ルーティングを設定するには、リモートゲートウェイで前の手順を繰り返し、ローカルネットワークの IP アドレスを指定します。