Trusted Solaris 管理の手順

第 13 章 Trusted Solaris カーネルスイッチ設定の変更

多くの Trusted Solaris カーネルスイッチの設定は、変更できるようになっています。この章では次の項目と操作手順に関して説明します。

設定可能な Trusted Solaris カーネルスイッチ

この節では、system(4) ファイルの設定可能なカーネルスイッチの定義を示します。詳細は、「/etc/system ファイル内のカーネルスイッチ設定を変更するには」を参照してください。

注 -

デフォルトのスイッチ設定は、編集を行なった場合にのみ上書きされます。

tsol_admin_high_to_cipso

この tsol_admin_high_to_cipso スイッチはデフォルトの /etc/system ファイルには含まれていませんが、必要に応じて追加することができます。カーネルのデフォルト設定は 0 です。「I.P. ラベルの型 (IP Label Type) 」に CIPSO が指定されている TSIX タイプのホストとの通信を可能にする場合、このスイッチを1に設定する必要があります。

第 10 章「トラステッドネットワークデータベースにおけるセキュリティ属性の指定とルーティング設定」で説明してあるように、宛先ホストに割り当てられている tnrhtp テンプレートが CIPSO ラベルインジケータの 1 つを持つように指定されている場合、トラステッドネットワークソフトウェアはメッセージの機密ラベルから CIPSO ラベルを生成し、この CIPSO ラベルをメッセージパケットの IP オプション部分に挿入します。Trusted Solaris 2.x のADMIN_HIGH 機密ラベルは CIPSO ラベルをマップするにはサイズが大きすぎるため、デフォルトでは ADMIN_HIGH 機密ラベルで CIPSO 型のホストに送信されたメッセージは転送されません。

セキュリティ管理者役割は、値 1 を設定した tsol_admin_high_to_cipso スイッチを /etc/system に追加できます。これを行うと、パケット上の ADMIN_HIGH 機密ラベルのうち最上位の格付けを持ち、すべてのコンパートメントが有効なラベルにマップされて転送されます。詳細は、「パケットの CIPSO ラベル」を参照してください。

tsol_clean_windows

オブジェクトの再利用をサポートするため、tsol_clean_windows スイッチはデフォルトで 1 に設定されています。この設定では、システムコールから戻るたびにアクティブでない登録ウィンドウが消去されます。このスイッチを 0 に設定すると、アクティブでない登録ウィンドウは、システムコールの復帰時に消去されなくなります。したがって、システムコールはアクティブでない登録ウィンドウからもカーネル情報を返すことができる可能性があります。

tsol_flush_buffers

ブロックが i ノードにリンクされてからディスクに書き込まれるまでの間にクラッシュが発生すると、fsck(1M) でファイルシステムを回復した後でも、古い (おそらくは高いラベルの) ディスクブロックがファイルシステムにリンクされたままになる可能性があります。tsol_flush_buffers スイッチはデフォルトで 1 に設定されています。この設定では、データブロックは i ノードがディスク上で更新される前にフラッシュされます。この設定は、パフォーマンスに若干の悪影響をおよぼします。このスイッチを 0 に設定すると、データブロックは i ノードが更新される前にフラッシュされなくなります。

tsol_hide_upgraded_names

「ファイルの機密ラベルを昇格」承認を持つユーザーのアクションやfile_mac_write および file_upgrade_sl 特権を持つプロセスは、親ディレクトリの機密ラベルよりも完全に優位な機密ラベルを持つ新しいファイルやサブディレクトリを作成したり、既存のファイルやサブディレクトリのラベルを親ディレクトリの機密ラベルよりも完全に優位なラベルに変更したりすることができます。このような場合、これらのファイルやディレクトリは「昇格される」といい、昇格されたファイルやディレクトリの名前を「昇格された名前」と呼びます。

昇格された名前を機密情報とみなすサイトでは、tsol_hide_upgraded_names スイッチを使うことにより、セキュリティ管理者は昇格された名前が表示されないようなシステムを構築できます。このフラグをセットすると、ファイルの昇格された名前が getdents(2) によって戻されることを抑止できます。ただし、この場合、結果が呼び出し元プロセスに戻される前に、すべてのディレクトリエントリを調査することが必要になるため、システムのパフォーマンスは悪くなります。このスイッチはデフォルトではオフであり、昇格された名前は表示されます。

tsol_privs_debug

このスイッチを使うと、管理者は runpd(1M) を使って、プログラムがどの特権を利用すべきかを調べることができます。これを行うには追加の設定が必要であり、詳しい操作手順については第 16 章「ソフトウェアの追加」の「アプリケーションに必要な特権を調べるには」を参照してください。アプリケーションに必要な特権を調べ終ったら、このスイッチをリセットしてマシンをリブートする必要があります。このスイッチはデフォルトではオフであり、特権デバッグは無効です。

変更したカーネルスイッチ設定情報をネットワーク内のホストに配布するには

各サイトでインストールおよびシステム設定が完了した後は、system ファイルを変更する必要はほとんどありません。ただし、特権デバッグを有効にする場合は例外です。特権デバッグは、通常単一ホスト上で有効にします。必要があれば、スーパーユーザー役割は rdist(1) コマンドを使って、分散システム内のすべてのホストに、特定のファイルのまったく同じコピーを自動的に配布することができます。詳細は、第 2 章「その他の作業と操作手順」の「構成ファイルをリモート操作で配布するには」を参照してください。

/etc/system ファイル内のカーネルスイッチ設定を変更するには

セキュリティ管理者役割になり、アプリケーションマネージャの「システム管理 (System_Admin)」フォルダの「管理用エディタ (Admin Editor)」アクションを使って、/etc/system ファイルを開き、編集します。

詳細は、「ログイン後、特定の管理役割になるには」および「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

必要に応じて、変数を設定します。

ファイルの内容を保存し、ファイルを閉じます。
:wq

「トラステッドパス (TP)」メニューの「シャットダウン (Shut Down)」オプションを使ってシステムをシャットダウンし、モニターのプロンプトで boot コマンドを入力します。
OK boot