第 15 章 デバイスの管理

この章では、デバイス上の企業情報を保護する方法について説明します。説明内容は、次の項目のとおりです。

• 「デバイスアクセスポリシー」

• 「デバイス割り当てによって対応できるセキュリティ問題」

• 「デバイスラベル範囲に関連する MAC の問題」

• 「ホストのラベル範囲 」

• 「ローカルプリンタのラベル範囲」

• 「デバイス割り当ての管理とデバイスラベル範囲の設定」

• 「デバイス割り当てマネージャ」

• 「デバイスが使用不可能な場合 」

• 「承認ユーザーのトレーニングと定義、セキュリティ作業維持の実行」

• 「デバイス関連の承認」

• 「デバイス割り当てマネージャの 「管理 (Administration)」ダイアログボックス」

• 「「構成 (Configuration)」ダイアログボックス」

• 「割り当て可能デバイス用の補助ファイル」

• 「割り当てエラー状態」

• 「デバイス clean スクリプト」

• 「ブート時の割り当て済みデバイスの処理方法」

• 「情報のインポート時とエクスポート時の考慮点」

• 「デバイス関連のコマンドとデータベース」

また、デバイスに関連した次のような操作手順を紹介します。

• 「新規デバイスへのポリシーの設定と既存デバイスのポリシーの修正」

• 「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」

• 「割り当てエラー状態を解決するには」

• 「デバイス割り当てを強制解除するには」

• 「新しい割り当て可能デバイスまたは割り当て不可能デバイスを追加するには」

• 「既存のデバイスを構成するには」

• 「アカウントにデバイス関連の承認を割り当てるには」

• 「割り当ての後、ファイルマネージャが自動表示されないようにするには」

• 「デバイス clean スクリプトを変更・追加するには」

デバイスアクセスポリシー

Trusted Solaris システムでは、他の UNIX システムの場合と同様、デバイスはデバイス特殊ファイルというファイルで表されます。また、デバイスに対する任意アクセス規則も、他の種類のファイルに適用されるのと同じ UNIX のアクセス権ビットに基づいています。一方、デバイスに適用される必須アクセス規則は、ファイルやディレクトリに適用される規則とは多少異なっています。次の表は、デフォルトの必須アクセス制御ポリシーを示したものです。システムに新しいデバイスが追加されると、これらのポリシーが自動的に適用されます。

セキュリティ管理者役割は、/etc/security/tsol/device_policy ファイルを編集し、デフォルトポリシーを変更して、ホストごとに新しいポリシーを定義することができます。使用するキーワードと値については、device_policy(4) のマニュアルページを参照してください。また、「新規デバイスへのポリシーの設定と既存デバイスのポリシーの修正」も参照してください。

デバイス割り当てによって対応できるセキュリティ問題

ある種の入出力デバイスを使用すると、セキュリティリスクが発生することがあります。たとえば、共通にアクセスすることができるテープデバイスを使用する場合、悪意のあるユーザーによって、デバイスの中のテープから密かに情報が読みとられる恐れがあります。デバイス割り当て機構には、こうしたリスクを制御する働きがあります。

セキュリティ管理者役割は、必要な承認を与えたり、承認を差し控えることができ、これによって特定のデバイスへのアクセスをユーザーごとに制御することができます。デフォルトの Trusted Solaris 分散システムで承認されていないユーザーが、テープドライブ、CD-ROM ドライブ、フロッピーディスクドライブなどのデバイスを割り当てることはできません。

あるユーザーがデバイスにアクセスしている間、他のユーザーが同じデバイスにアクセスすることはできません。デバイスを割り当てて使い終わった後は、そのデバイスの割り当てを解除し、そのデバイスを別のユーザーが利用できるようにする必要があります。

取り外し可能媒体でデバイスを割り当て解除する前に、システムはデバイス情報を消去するようにユーザーに求めます。割り当て解除は、ユーザーが取り外し可能媒体 (テープやフロッピーディスクなど) を取り出した時点で完了します。ユーザーは、その内容を見る権限のないユーザーがアクセスできないように、媒体の取り扱いに責任を持つ必要があります。

その他のデバイス (フレームバッファー、コンピュータメモリー、ディスクなど) の場合、割り当てと割り当て解除は自動的に行われます。また、この種のデバイスに格納されている情報も、自動的に消去されます。

デバイスラベル範囲に関連する MAC の問題

デバイス割り当て承認を持つ一般ユーザーは、単一機密ラベルでのみ情報のインポートまたはエクスポートが可能です。このときの機密ラベルは、そのユーザーがデバイスを割り当てる機密ラベルです。デバイス割り当て承認の詳細については、「デバイス関連の承認」を参照してください。

割り当て可能なデバイスには、それぞれ ADMIN_LOW から ADMIN_HIGH までのデフォルトの機密ラベル範囲があります。セキュリティ管理者は、デバイスマネージャを使って、この範囲を制限することができます。ラベル範囲は、割り当て不可能なデバイスにも設定できます。割り当て不可能なデバイスとは、フレームバッファーとプリンタのことです。特に、フレームバッファーにラベル範囲を設定した場合、コンソールログインを制限することができます。一般ユーザーは、作業を許可されているラベルがデバイスのラベル範囲に含まれていない場合、そのデバイスにアクセスすることができません。

ラベル範囲の限界を設定すると、特定の認可上限を持つユーザーだけにアクセスが制限され、物理的に保護できないデバイスへのアクセスを制御することができます。ラベル範囲の設定方法については、「最下位のラベルと最上位のラベル」を参照してください。

ホストのラベル範囲

コンソールから直接ログインするアクセスを制限するため、セキュリティ管理者役割は、フレームバッファーにラベル範囲の限界を設定します。

ローカルプリンタのラベル範囲

ホストにローカルプリンタが接続されている場合、セキュリティ管理者役割は、そのプリンタにラベル範囲の限界を設定し、印刷を行うジョブのラベル範囲を制限することができます。

デバイス割り当ての管理とデバイスラベル範囲の設定

セキュリティ管理者役割は、Trusted Solaris をインストールして、構成を行うときに、デバイスとその定義済特性のデフォルト構成をそのまま使用したり、変更したりします。システムの設定と実行が完了してから新しいデバイスを追加する場合、そのデバイスを割り当て可能にするかどうかはセキュリティ管理者役割が決定します。

デバイス割り当てマネージャから「デバイスの管理 (Device Administration)」ダイアログボックスを表示し、デフォルトの設定に次のような変更を加えることができます。

• 新しいデバイスまたは既存のデバイスの設定

  • 1つまたは複数の承認により割り当て可能にする

  • 承認されていない任意のユーザーによる割り当てを可能にする

  • 割り当て不可能にする

• デバイス上のラベル範囲の制限

  変更は随時行うことができます。「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」のほか、次の手順を参照してください。

システム構成の前に行う決定

• デフォルトの device_allocate(4) ファイルに記述されているデバイスと、そのデフォルト定義の内容を確認します。

• そのデフォルトがサイトのセキュリティポリシーに合致しているか判断し、合致していない場合は、変更するデフォルトを決定します。

  割り当て可能なデバイスを追加するかどうかを決定します。

  一般ユーザーにデバイスの割り当てを許可する場合、そのユーザーを決定します。

  割り当て不可能なデバイスのリストに設定されているデフォルトのラベル範囲をそのまま使用するか、変更するかを決定します。

  たとえば、ホストへのアクセスを制限するには、制限されたラベル範囲をフレームバッファ上に設定します。たとえば、ホストが公共の領域にある場合、セキュリティ管理者役割はフレームバッファ上のラベル範囲を PUBLIC ラベルに制限してもかまいません。

デバイス割り当てマネージャ

ユーザーによる割り当てが可能なデバイスや、一部の割り当て不可能なデバイスは、デバイス割り当てマネージャを使用して、割り当て、設定を行い、管理することができます。次の図に示すデバイス割り当てマネージャ には、セキュリティ管理者が割り当てることのできるデバイスのリストが表示されています。

デバイス割り当てマネージャの使用は、「デバイスを割り当てる」というデバイス割り当て承認を持っているアカウントに限定されています。承認されていないユーザーに対しては、「使用可能デバイス (Available Devices)」の下のリストは空の状態で表示されます。また、その時点で他のユーザーによって割り当てられているデバイスや使用不可能な状態のデバイスは、「使用可能デバイス (Available Devices)」の下のリストには表示されません。これは、承認されているユーザーに対しても同じです。

デバイスが使用不可能な場合

「使用可能デバイス (Available Devices)」リストにデバイスが表示されていないときは、担当の管理者に連絡してください。

承認されていないユーザーが割り当てを行う必要がある場合、セキュリティ管理者役割は、そのアカウントのプロファイルの 1 つに「デバイスを割り当てる」承認を追加することができます。

デバイスがすでに割り当てられているか、割り当てエラーの状態にあって、リストに表示されていない場合、強制的にデバイスの割り当てを解除したり、エラー状態から回復させるための承認は、セキュリティ管理者役割に与えられています。

承認ユーザーのトレーニングと定義、セキュリティ作業維持の実行

デフォルトでは、デバイス割り当ての承認を受けるユーザーは、セキュリティ管理者役割が決定します。デバイスの使用を承認されるユーザーは、熟練者で、次の処理を任せられなくてはなりません。

• 機密情報を格納する媒体に適切なラベルを付け、正しく取り扱うことによって、許可されていないユーザーに入手されるのを防ぐ

  たとえば、「NEED TO KNOW ENGINEERING」のラベルの付いた情報がフロッピーディスク上に保存されている場合、その情報を外部に持ち出すユーザーは、フロッピーディスクに実際に「NEED TO KNOW ENGINEERING」のラベルを付け、その情報を知る必要のある技術者グループのメンバーだけがアクセスできる場所に保管する必要があります。

• デバイス上の媒体からインポート (読み取り) されるすべての情報について、適切なラベル管理を行う

  承認ユーザーは、インポートする情報のラベルと同じラベルのデバイスを割り当てなくてはなりません。たとえば、フロッピードライブを PUBLIC で割り当てた場合、PUBLIC 以外のラベルでは情報をインポートすることはできません。また、NEED TO KNOW ENGINEERING のラベルの付いたフロッピーは、デバイスが NEED TO KNOW ENGINEERING ラベルで割り当てられている場合以外は、インポートできません。

セキュリティ管理者役割には、上記の要件が遵守されるように管理する責任もあります。

デバイス関連の承認

他のすべての承認と同様、デバイス関連の承認がアカウントに対して有効になるためには、次のアカウントの実行プロファイルのいずれかに指定されていること、そして、その実行プロファイルがセキュリティ管理者によってまず、そのデバイスがアカウントに割り当てられていることが必要です。詳細については、このマニュアルのパート IIを参照してください。また、「アカウントにデバイス関連の承認を割り当てるには」も参照してください。

サイト独自の割り当て承認を定義することもできます。たとえば、デバイスの種類ごとに、「テープデバイスを割り当てる (allocate tape device)」 または「フロッピーデバイスを割り当てる (allocate floppy device)」 などの異なる承認を設定することができます。必要に応じてデフォルトのリストに新しい承認を追加する場合は、このマニュアルの 「拡張可能なセキュリティ機能の追加」をお読みの上、第 2 章「その他の作業と操作手順」の 「承認を追加するには」に記述されている手順を実行してください。

新しい承認を追加すると、その承認は、デバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスの「必須でない (Not Required)」リストに表示されます。「承認」を参照してください。

次の表に、デバイス関連の承認を示します。

デバイス割り当てマネージャの 「管理 (Administration)」ダイアログボックス

以下の図の「デバイスの管理 (Device Administration)」ボタンは、デバイス割り当てマネージャの下部にあります。ただし、表示されるのは、デバイスの管理に必要な「デバイスの属性を構成」または「デバイスを回収または再設定」のいずれか、または両方の承認を持つ管理者アカウントに対してのみです。これらの承認の目的については、表 15-2 を参照してください。

図 15-1 デバイス割り当てマネージャ

下の図に示すように、「デバイスの管理 (Device Administration)」ボタンをクリックすると、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスが表示されます。このダイアログボックスは、代替承認を再要求、取り消し、および指定するとき、さらに、デバイスを構成するときに使います。

図 15-2 デバイス割り当てマネージャ「管理 (Administration)」ダイアログボックス

このダイアログボックスには、構成時に管理者が利用できるデバイスの一覧が表示されます。さらに、強調表示されている (選択している) デバイスの「状態 (State)」、「所有者 (Owner)」、および「デバイスの機密ラベル (Device Label)」も表示されます。

解除

「解除 (Revoke)」ボタンが有効になっているとき、強調表示されているデバイスの「状態 (State:) 」フィールドには、「割り当て済み (Allocated)」が表示されます。アカウントに「デバイスを回収または再設定」承認がある場合、「解除 (Revoke)」ボタンをクリックすると、選択しているデバイスの割り当てが強制的に解除され、状態が「未割り当て (Not Allocated)」に変わります。

再利用

「再利用 (Reclaim)」ボタンが有効になっているとき、強調表示されているデバイスの「状態 (State:) 」フィールドには、「割り当てエラーの状態 (Allocate Error State)」が表示されます。アカウントに「デバイスを回収または再設定」承認がある場合、「再利用 (Reclaim)」ボタンをクリックすると、選択しているデバイスが割り当てエラーから解放され、状態が「未割り当て (Not Allocated)」に変わります。

構成

アカウントに「デバイスの属性を構成」承認がある場合、「構成 (Configure)」ボタンをクリックすると、デバイス割り当てマネージャの「構成 (Configuration)」ダイアログボックスが表示されます。図 15-2 を照してください。

「構成 (Configuration)」ダイアログボックス

この節では、前の図に示したデバイス割り当てマネージャの「構成 (Configuration)」ダイアログボックスを使用してデバイスに指定できる情報について説明します。

デバイス名とデバイスタイプ

「デバイス名 (Device Name)」と「デバイスタイプ (Device Type)」のフィールドには、選択したデバイスに関する情報が表示されます。この 2 つのフィールドは編集できません。

最下位のラベルと最上位のラベル

「最下位のラベル (Min Label)」ボタンや「最上位のラベル (Max Label)」ボタンをクリックすると、ラベルビルダーが起動します。セキュリティ管理者役割はこれを使用して、最下位ラベルや最上位ラベルを指定できます。デバイス作成時に最下位ラベルが指定されない場合、デフォルトで ADMIN_LOW が指定されます。また、最上位ラベルが指定されない場合、デフォルトで ADMIN_HIGH が指定されます。デバイスのラベル範囲の設定については、「デバイス割り当ての管理とデバイスラベル範囲の設定」を参照してください。「最下位のラベル (Min Label)」、「最上位のラベル (Max Label)」のフィールドは、割り当て可能なデバイスと割り当て不可能なデバイスとでは異なります。

Clean プログラム

セキュリティ管理者役割は、「Clean プログラム」フィールドに、割り当て可能なデバイスの device_clean(1M) スクリプトのパスを入力することができます。デバイス作成時に device_clean スクリプトが指定されない場合、デフォルトは /bin/true になります。このスクリプトの記述方法については、「デバイス clean スクリプト」を参照してください。

割り当てを行えるユーザー

割り当て可能デバイスに関しては、「割り当てを行えるユーザー (Allocatable By)」スクロールリストに、割り当てを行うユーザーが表示されます。次の 3 つの選択肢があります。

• 承認されたユーザー (Authorized users)

• すべてのユーザー (All users)

• なし (No users)

  デバイス作成時に承認が指定されない場合、デフォルトは「すべてのユーザー (All users)」になります。承認が指定されている場合、デフォルトは「承認されたユーザー (Authorized users)」になります。

  ---

  注意 -

  「割り当て可能なデバイスの追加 (Add Allocatable Device)」アクションの設定では、すべてのユーザーが新しいデバイスを割り当てられる状態になります。そのため、フレームバッファープリンタなどのデバイスの割り当てを行えるユーザーを制限する必要があるときは、セキュリティ管理者役割が手作業で割り当てるを行える「なし (No users)」に指定する必要があります。

  ---

承認

「承認 (Authorizations)」ボタンは、デバイスに「割り当てを行えるユーザー (Allcatable By)」フィールドに「承認されたユーザー (Authorized Users)」が指定されているとき有効です。「承認 (Authorizations)」フィールドのデフォルトは、「デバイスを割り当てる」です。セキュリティ管理者役割は、「承認 (Authorizations)」ボタンをクリックし、他の承認に変更したり、複数の承認を指定することができます。次の図に 2 つのダイアログボックスを示します。

図 15-3 「承認 (Authorizations)」ボタンをクリックしてデバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスを表示する

リモートデバイス管理

add_allocatable(1M)、remove_allocatable(1M) コマンド、「割り当て可能なデバイス (Add Allocatable Device)」アクション、デバイス割り当てマネージャのそれぞれを使って、ホスト上のdevice_allocate(4) と device_maps(4) のローカルファイルを変更することができます。ネットワーク内の複数のホストに同じ変更を行うには、 rdist(1) を使用して、変更後の device_allocate ファイルと device_maps ファイルをリモート操作で配布します。 ただし、新しいデバイスを追加した場合には、各ホストにリモートでログインし、必要な補助ファイルを手動で作成する必要があります。

割り当て可能デバイス用の補助ファイル

割り当て可能デバイスには、補助ファイルがあります。 これは、ゼロ長ファイルで、/etc/security/dev ディレクトリに格納されています。 補助ファイルは、DAC ファイルとも呼ばれます。なぜならデバイスを割り当て可能にするためには、補助ファイルが存在していること、および、補助ファイルに特定の DAC アクセス権セット、所有者、グループが設定されている必要であるためです。デバイスの割り当て状態と、補助ファイルの DAC アクセス権セット、所有者、グループ、機密ラベルの設定の対応関係については、次の表を参照してください。

• 未割り当て

• 割り当て済み

• エラー状態

割り当てエラー状態

表 15-3 に示すように、デバイス補助ファイルのモードが 0100で、機密ラベルが ADMIN_HIGH、所有者がユーザー bin とグループ bin である場合、割り当て可能デバイスはエラー状態になります。 デバイス割り当てがエラー状態になる原因としては、 device_clearn(1M) スクリプトの使用が考えられます。 デバイス clean スクリプトを使用すると、割り当て解除中にユーザーがスクリプトからのプロンプトに応答し、取り外し可能な媒体を取り出すまで、デバイスが割り当てエラー状態になります。デバイスをエラー状態から復帰させるには、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスの「再利用 (Reclaim)」ボタンを使用します。このボタンは、承認されたユーザーが使用することができます。 「再利用」を参照してください。

デバイス clean スクリプト

デバイス clean スクリプトは、デバイスが割り当てられるか、割り当て解除されるときに、随時実行されます。通常、割り当て解除は、デバイスを割り当てたユーザーによって行われます。必要に応じて、承認されたユーザーが、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスの「解除 (Revoke)」ボタンを使用して、デバイスの割り当てを強制的にします。強制的な割り当て解除の詳細については、「解除 」を参照してください。

サイトでシステムに割り当て可能デバイスを追加する場合、追加デバイス用に新しいスクリプトが必要になることがあります。既存のデバイス clean スクリプトの機能については、次の説明を参照してください。また、「新しいデバイス clean スクリプトを作成する」も参照してください。

テープ装置用のデバイス cleanスクリプト

テープ装置としては、次の表に示す 3 種類がサポートされています。 デバイス clean スクリプト st_clean は、すべてのテープ装置に使用できます。

st_clean スクリプトは、mt(1) コマンドに -rewoffl オプションを使用して、デバイスのクリーンアップを行います。システムのブート中に実行すると、スクリプトはデバイスがオンラインになっているか、記憶媒体がその中にセットされているかを確認します。さらに必要に応じてプロンプトを表示し、オペレータに記憶媒体を取り出すように指示し、その記憶媒体の物理的なラベルに記述する適切なラベルを表示します。

割り当てが完全に解除されるまで、1/4 インチテープデバイスは割り当てエラー状態になり、1/2 インチテープデバイスはオフラインになります。割り当てエラー状態になった場合、再度ユーザーによる割り当を行えるようにするためには、承認されたユーザーが手作業でデバイスのクリーンアップを行う必要があります。

フロッピーディスクと CD-ROM 用のデバイス clean スクリプト

disk_clean スクリプトは、フロッピーディスクドライブと CD-ROM デバイスの両方に使用されます。システム のブート中に disk_clean スクリプトを実行する場合、デバイス内に媒体が検出されると、取り出されます。ブート時やデバイスの割り当て解除時にスクリプトが実行される場合、eject コマンドが成功すると、ユーザーは媒体に適切なラベルを記入した物理ラベルを貼るように指示されます。eject(1) コマンドが失敗すると、デバイスは割り当てエラー状態になります。

割り当ての一環としてフロッピーまたは CD-ROM からファイルシステムがマウントされる場合、カレントディレクトリをマウント先に設定したファイルマネージャが表示されます。セキュリティ管理者役割は、 手順 1に従って 、ファイルマネージャを自動表示しないようにすることができます。フロッピーディスクからファイルシステムをマウントする場合と、 CD からファイルシステムをマウントする場合では、処理方法が異なります。違いについては、次の節で説明します。

CD-ROM デバイスの処理方法

CD-ROM デバイスが割り当てられたとき、ユーザーは CD-ROM をマウントするかどうかという質問を受けます。CD にファイルシステムが入っている場合は、ユーザーは「yes」と答えるべきです。答えが「yes」のときは、ファイルシステムが自動的にマウントされます。割り当てられた CD-ROM デバイスにオーディオ CD が入っている場合、ユーザーは「no」と答えるべきです。答えが「no」の場合、オーディオアクションが rmmount.confで指定されていれば、オーディオアクションが実行されます。デフォルトではオーディオアクションは指定されていません。オーディオ CD をかけるためには、ユーザーはオーディオデバイスと CD-ROM デバイスの両方を割り当てなければなりません。デバイスの割り当て後、ユーザーは必要に応じて手動でオーディオプレイヤーアプリケーションを実行することができます。

たとえば、一般的に使用されている CD プレイヤー workman がインストールされているサイトでは、セキュリティ管理者役割は、rmmount.conf に次のようなアクションを設定し、ローカルの /usr/local/bin にインストールされたworkman を自動的に起動することができます (/pathname/to/workman は workman へのパスを示します)。

action cdrom action_workman.so /usr/local/bin/workman

フロッピーデバイスの処理方法

フロッピーディスク上のファイルシステムの場合、割り当て時に自動マウントされることはありません。これは、フロッピー上にすでに存在しているファイルシステムの上に、新しいファイルシステムを作成するより要求される可能性があるからです。フロッピーデバイス上のファイルシステムがマウントされない場合に限り、fdformat(1) または newfs(1M) などのプログラムで新しいファイルシステムを作成することができます。このため、フロッピー上の既存のファイルシステムをマウントする前に、disk_clean スクリプトはファイルシステムをマウントするかどうかをユーザーに確認します。

フロッピーディスクがフォーマットされていない場合、disk_clean スクリプトは、フロッピーディスクをフォーマットするかどうかをユーザーに確認します。

フロッピー上のファイルシステムがデバイス割り当ての一環としてマウントされるとファイルマネージャがホップアップします。ここでは、カレントディレクトリはマウント先に設定されています。

オーディオ用のデバイス clean スクリプト

オーディオツールデバイスのクリーンアップには、audio_clean プログラムを使用します。

このプログラムは、AUDIO_DRAIN ioctl を実行してデバイスをフラッシュし、その後 AUDIO_SETINFO ioctl をリセットしてデバイス構成をデフォルトに戻します。 さらに、このプログラムは、AUDIOGETREG ioctl でオーディオチップのレジスタを取得し、デフォルトと異なるレジスタが存在しているときは、AUDIOSETREG ioctl でリセットします。 オーディオデバイスには取り外しの可能な媒体が含まれていないため、外部に物理的なラベルを付ける必要はありません。そのため、audio_clean スクリプトは機密ラベルを表示しません。

新しいデバイス clean スクリプトを作成する

サイトで割り当て可能にできるデバイスには、たとえばモデム、端末、グラフィックスタブレットがあります。これらのデバイスを割り当て可能にする場合、新しいデバイス clean スクリプトを作成することになります。デバイス clean スクリプトは、テープ装置を追加した場合にも作成します。例外は、Xylogics テープ装置と Archive テープ装置です。これらのテープ装置では、デフォルトの device_clean(1M) スクリプト (/etc/security/lib/st_clean) を使用できるため、新規にスクリプトを作成する必要はありません。

デバイスクリーンスクリプトのデフォルトの場所は /etc/security/lib

デバイスクリーンスクリプトは、正常終了の場合 0 を、エラーが発生した場合 0 より大きい値を返す

強制的な媒体の取り出しができなかったり、取り出しに失敗した場合は、そのデバイスを割り当てエラー状態にする

deallocate コマンドは、デバイスクリーンスクリプトに、次の 4 つのパラメータを渡します。

st_clean -[I|F|S] -[A|D] device_name sensitivity_label

オプションの -I、-F、-S は、スクリプトの実行モードを決定します。-I は、システムブート時のみ必要になります。これにより、すべての出力がシステムコンソールに送られます。また、-F はクリーンアップを強制し、-S は標準のクリーンアップを行います。これらのパラメータは対話型で、ユーザーがプロンプトに応答することを前提としています。-F オプションを指定すると、クリーンアップの一部が失敗した場合に、スクリプトはクリーンアップを完了させなくてはなりません。

[-[A]-[D]] は、デバイスクリーンスクリプトが allocate または deallocate のどちらから呼び出されたかを示します。

device_name はデバイス名を示す文字列、sensitivity label は 機密ラベルを表す 16 進数です。

ブート時の割り当て済みデバイスの処理方法

ブート時には、割り当て済みデバイスは、再割り当てされ、再マウントされます。-r オプションを指定して boot コマンドを入力すると、デバイスの割り当てが強制解除されます。

情報のインポート時とエクスポート時の考慮点

情報をエクスポートする (記憶媒体に書き込む) には

テープ装置、フロッピーデバイスなどの媒体デバイスは、デバイス上に格納されている情報の機密ラベルで割り当てます。

情報をインポートする (記憶媒体から読み取る) には

情報の格納に使用されるテープまたはフロッピーが入っているデバイスが読み取り用に割り当てられているときは、テープに実際に貼りつけられたラベルの機密ラベルで、テープデバイスを割り当てます。

tar を使ったデバイス割り当て

ユーザー用のコマンドとしては、tar(1) だけが、Trusted Solaris セキュリティ属性の保管と抽出用に拡張されています。拡張された tar コマンドでは、Trusted Solaris セキュリティ属性を含む tar ファイルの作成、更新、目次のリスト抽出が可能になりました。 特権がなければ、tar コマンドは Trusted Solaris セキュリティポリシー内で作動します。特権を持たない通常のユーザーによって実行された場合、tar は単一の機密ラベルで動作し、現在のワークスペースの機密ラベルで tar ファイルを作成することにしか使えません。また、ユーザーが前もって、記憶媒体を割り当てていない場合は、tar は動作しません。 この場合には、次の図のようなエラーメッセージが表示されます。

trusted4% tar -cvT *
 
tar: /dev/rmt/0: Permission denied

tar には、Trusted Solaris セキュリティ属性の保管と抽出のための新しいオプションが追加されました。

tar コマンドは検出したすべての MLD を処理対象とします。 tar プロセスの機密ラベルより優位でない SLD も対象に含まれます。 適切な無効化特権がある場合には、すべての SLD を処理対象にすることができます。

tar ファイルの補助ファイル

Trusted Solaris の拡張されたセキュリティ属性を持つファイルがアーカイブされる際には、拡張されたセキュリティ属性を持つ補助ファイルが、それぞれのファイルに先行して作成されます。補助ファイルの名前は、対応するアーカイブファイル名の末尾に文字列 "(A)" が付加されたものです。次の図は、セキュリティ属性を保持するための -T オプションと冗長出力を行うための -v オプションを指定した tar で、2 つのファイルをアーカイブした際の出力例を示します。この図の中で示された両方のファイルにはそれぞれの補助ファイルが先行しています。 たとえば、Dtapps.bw.xbm ファイルの前には補助ファイル Dtapps.bw.xbm(A) が出力されています。

a Dtapps.bw.xbm(A) 1 tape blocks
 
a Dtapps.bw.xbm 2 tape blocks
 
a FrontPanel.Workspace.admin.menu.rs(A) 1 tape blocks
 
a FrontPanel.Workspace.admin.menu.rs 593 tape blocks

Trusted Solaris で追加された tar のオプション

それぞれのファイルのセキュリティ属性の保管と抽出のために、-T オプションが追加されました。また、Trusted Solaris 1.x の tar ファイルからセキュリティ属性を抽出するために、-d オプションが追加されました。この d オプションは、-T および -x オプションと一緒に使用します。

-T オプション

-c オプション、-r オプション、-u オプションと一緒に -T オプションを使用すると、tar はディレクトリの MLD 情報と SLD 情報を含む各ファイルのセキュリティ属性を保管します。-x オプションと一緒に -T オプションを使用すると、tar はそのファイルとともにセキュリティ属性も抽出します。

-t オプションと一緒に -T を使用すると、tar ファイルの内容は、1 つのアーカイブファイルを 1 行として、また 1 つの補助ファイルを 1 行として表示されます。

T オプションを x オプションと一緒に使用して、tar ファイルを抽出する場合、tar プログラムは MLD 情報と SLD 情報、拡張されたセキュリティ属性を使って、それぞれのアーカイブファイルを復元します。

-d オプション

-d オプションは、tar ファイルが Trusted Solaris 1.x 形式である場合に使用します。-d オプションは、-t オプション、-T オプション、-x オプションと一緒に使用する場合にのみ有効になります。-t および -T と一緒に -d オプションを使用すると、Trusted Solaris 1.x 形式の tar ファイルの内容が、各補助ファイルおよびアーカイブされたファイルごとに 1 行として表示されます。

-d オプションを -x オプションと一緒に使用して tar ファイルを抽出する場合、tar プログラムは Trusted Solaris 1.x の形式に従って入力 tar ファイルを処理します。x および T と一緒に -d オプションを使用すると、Trusted Solaris システム上で有効な、適切な MLD 情報と SLD 情報、そしてその他の拡張されたセキュリティ属性は、アーカイブされた各ファイルが復元された時点で適用されます。

-c と一緒に -d オプションを使用すると、その他の情報とともに tar ファイルの中に ACL が作成されます。

ACL を含む tar ファイルが前のバージョンの tar によって抽出されると、エラーが発生します。

「テープデバイスの割り当てと、tar を使ってテープに書き込む情報のセキュリティ属性を保管する方法」では、-cT オプションを指定した tar を使って、拡張されたセキュリティ属性を保管する tar ファイルを作成する方法を説明しています。詳細については、tar(1) のマニュアルページを参照してください。

以前のバージョンのTrusted Solaris オペレーティング環境で作成されたファイルの抽出

tar ファイルを抽出する際には、その tar ファイルが作成されたときに有効であった label_encodings(4) ファイルと現在インストールされている label_encodings ファイルとの間に互換性がなくてはなりません。Trusted Solaris 1.x の tar ファイルが Trusted Solaris 2.5 またはそれ以降のシステム上で復元された場合、SYSTEM_HIGH ラベルは ADMIN_HIGH ラベルに、SYSTEM_LOW ラベルは ADMIN_LOW ラベルにマップされます。Trusted Solaris 1.x での特権とファイル監査マスクは復元されたファイル上には適用されません。これは、Trusted solaris 1.x の特権とファイル監査マスクの形式が、Trusted Solaris の以降のバージョンでの同等のセキュリティ属性に対して互換性を持っていないためです。

デバイス関連のコマンドとデータベース

次のコマンドとデータベースに関しては、マニュアルページを参照してください。

デバイス管理手順

テープデバイスの割り当てと、tar を使ってテープに書き込む情報のセキュリティ属性を保管する方法

この手順は、プロファイルの中に tar コマンドを持つユーザーであれば誰でも実行できます。

1. デバイス割り当てマネージャを使用して、テープデバイスを割り当てます。

   この例では、mag_tape_0 と名付けられたデバイスを割り当てます。デバイスを割り当てる方法と、デバイスに割り当てるラベルを指定する方法の詳細は「Trusted Solaris ユーザーズガイド」を参照してください。

2. テープに現在のプロセスの機密ラベルを表示した物理的なラベルが付けられていることを確認し、プロンプトに応じてテープをテープデバイスに挿入します。

   この例ではウィンドウは「Device Allocation for mag_tape0」という名前のウィンドウが表示されます。

   st_clean: Insert tape into mag_tape0 st_clean: Make sure the tape is labeled CONFIDENTIAL Press RETURN to quit window...

3. -T セキュリティオプションを指定して、tar コマンドを実行します。

   trusted% tar -cvT tartest a tartest/(A) 1K a tartest/ 0K a tartest/file1(A) 1K a tartest/file1 0K a tartest/mld1/(A) 1K a tartest/mld1/ 0K a tartest/mld1/(A) 1K a tartest/mld1/ 0K a tartest/mld1/file50(A) 1K a tartest/mld1/file50 1K . . .

4. デバイス割り当てマネージャを使用してデバイスの割り当てを解除します。

   プロンプトに応じて、デバイスからテープを取り出してください。

   ---

   Please eject the tape in mag_tape_0

   ---

5. テープに入れられた情報が、テープに付けた物理ラベル上のセキュリティレベルで保護されるようにします。

新規デバイスへのポリシーの設定と既存デバイスのポリシーの修正

1. セキュリティ管理者役割になって、ADMIN_LOW ワークスペースに移動します。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. そのデバイスの名前 (driver_name)、マイナー名 (minor_name)、デバイス特殊ファイルの名前を決めます。

   1. 新しいデバイスに対しては、次のことを行います。

      1. デバイス用のハードウェアのマニュアルを調べて、デバイス名、マイナー名、すべての物理的デバイス名を控えておきます。

         『Writing Device Drivers』(800-6502) も参照してください。

      2. /etc/security/device_maps ファイルにあるデバイスに対する新しいエントリを作成します。

         デバイスには任意の名前を付けることができます。3 つめのフィールドには、そのデバイスに対する物理的デバイス名をすべてリストしてください。

         cdrom_0:¥ sr:¥ /dev/sr0 /dev/rsr0 /dev/dsk/c0t6d0s0 /dev/dsk/c0t6d0s1 /dev/dsk/c0t6d0s2 /dev/dsk/c0t6d0s3 /dev/dsk/c0t6d0s4 /dev/dsk/c0t6d0s5 /dev/dsk/c0t6d0s6 /dev/dsk/c0t6d0s7 /dev/rdsk/c0t6d0s0 /dev/rdsk/c0t6d0s1 /dev/rdsk/c0t6d0s2 /dev/rdsk/c0t6d0s3 /dev/rdsk/c0t6d0s4 /dev/rdsk/c0t6d0s5 /dev/rdsk/c0t6d0s6 /dev/rdsk/c0t6d0s7:¥

         この例は cdrom_0 デバイスに対するすべての物理デバイスと論理デバイスの名前を示しています。

   2. 既存のデバイスについては、デバイスをロング形式でリスト (ls-l)して、デバイス名とマイナー名を確認してください。

      # ls -l /dev/dsk/c0t6d0s2 lrwxrwxrwx 1 root root 51 Feb 29 1998 /dev/dsk/c0t6d0s2 -> ../../devices/sbus@1f,0/SUNW,fas@e,8800000/sd@6,0:c

      パス名の最後の部分にある、@ 文字の前の文字列 (上記の例の sd) は、ドライバー名で、コロンの後の文字列 (上記の例の c) はマイナー名です。

3. 「管理用エディタ」アクションを使用して、編集用に /etc/security/tsol/device_policy ファイルを開きます。

   必要に応じて、「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

4. デバイスのデフォルトポリシーがサイトのセキュリティポリシーに合致しないときは、新しいデバイス用に固有のエントリまたはワイルドカードのエントリを作成するか、すでに指定されたデバイス用の既存のエントリを修正します。

   次の表に、デフォルトのデバイスポリシーを示します。他のポリシー設定を指定する方法については、device_policy(4) マニュアルページを参照してください。

   表 15-6 デフォルトのデバイスポリシー

   ポリシーの種類	内容	デフォルトポリシー
   data_mac_policy	デバイスへのアクセスに必要な SL	読み取りや書き込みを行うためには、プロセスの SL はデバイスの SL と必ず同等
   attr_mac_policy	デバイス属性へのアクセスの処理方法 acl(2)、chmod(2)、chown(2)、 stat(2) を使用	デバイス属性への読み取りアクセスでは、プロセスの SL はデバイスの SL より優位。デバイス属性への書き込みアクセスでは、プロセスの SL はデバイスの SL と同等
   open_priv	デバイスファイルを開く特権	なし
   str_type type	STREAMS デバイスの場合のみ、カーネル STREAMS ヘッドによる STREAMS メッセージの制御方法を指定します。	デバイスタイプストリーム。ラベルなしの STREAMS メッセージも使用可能

5. ファイルの内容を書き込んで、エディタを終了します。

デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには

1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。あるいは、「デバイス属性を構成」 承認または 「デバイスを回収または再設定」 承認を持つユーザーとしてログインします。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. トラステッドパス (TP) メニューから「デバイスを割り当てる (Allocate Device)」オプションを選択するか、またはフロントパネルの「ツール (Tools)」サブパネルからデバイス割り当てマネージャ (Device Allocation Manager)を起動します。

   

3. 「デバイスの管理 (Device Administration)」ボタンをクリックすると、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスが表示されます。

   

4. 目的のデバイスの名前を選択して強調表示にし、「状態 (State:)」フィールドでデバイスの状態を確認します。

5. デバイスの状態が「エラー状態」である場合、「割り当てエラー状態を解決するには」の処理を行なって、エラー状態を解決してください。

6. デバイスの状態が「割り当て済み (Allocated)」である場合、次のいずれかの処理を行います。

   1. デバイスの割り当て解除を行うように所有者に連絡します。

   2. 「デバイス割り当てを強制解除するには」の処理を行なって、割り当てを解除します。

7. デバイスを構成するには、「既存のデバイスを構成するには」の処理を行います。

割り当てエラー状態を解決するには

1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。あるいは、「デバイスを回収または再設定」 承認を持つユーザーとしてログインします。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを開きます。

   必要に応じて、「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」を参照してください。

3. デバイス名を強調表示にします。

4. 「状態 (State)」フィールドに「エラー状態」と示されている場合、「再利用 (Reclaim)」をクリックし、エラー状態を回復します。

5. 「了解 (OK)」をクリックして変更を保存し、ダイアログボックスを閉じます。

デバイス割り当てを強制解除するには

1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。あるいは、「デバイスを回収または再設定」 承認を持つユーザーとしてログインします。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを開きます。

   必要に応じて、「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」を参照してください。

3. デバイス名を強調表示にします。

4. 「状態 (State)」フィールドに「割り当て済み (Allocated)」と示されている場合、「解除 (Revoke)」をクリックし、強制的にデバイスの割り当てを解除します。

5. 「了解 (OK)」をクリックして変更を保存し、ダイアログボックスを閉じます。

新しい割り当て可能デバイスまたは割り当て不可能デバイスを追加するには

必要に応じて、Solaris の『Installing Device Drivers』マニュアルの指示に従って処理を行い、次に、Trusted Solaris 固有の手順を実行します。

1. 新しい割り当て可能デバイスを追加する場合、必要に応じてデバイス clean スクリプトを作成します。

   Xylogics テープドライブまたは Archive テープドライブの場合は、デフォルトの st_clean スクリプトをそのまま使用するか、サイトのセキュリティポリシーに合わせて修正することができます。それ以外のデバイスの場合には、新しいデバイス clean スクリプトが必要です。必要に応じて 「デバイス clean スクリプトを変更・追加するには」を参照してください。

2. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。あるいは、「デバイス属性を構成」 承認を持つユーザーとしてログインします。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

3. 「割り当て可能なデバイスの追加 (Add Allocatable Device)」アクションを実行します。

   必要に応じて、「管理アクションを起動するには」を参照してください。

4. 「割り当て可能なデバイスの追加 (Add Allocatable Device)」アクションを使って、デバイス割り当てデータベースのデバイス用のエントリの作成または更新を行い、補助ファイルを作成します。

   1. デバイスの名前を入力します。

   2. デバイスの種類を入力します。

   3. そのデバイスに関連するすべてのデバイス特殊ファイルのパス名をスペースで区切って入力します。

   4. 入力内容を保存し、終了します。

5. ラベル範囲、デバイス clean スクリプトのパス名、デバイス割り当ての可否、割り当てに必要な承認などのデフォルト設定を変更するには、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを使用します。

   必要に応じて、「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」を参照してください。

   次の表は、「割り当て可能なデバイスの追加 (Add Allocatable Device)」アクションを使用してデバイスを追加したときや、 add_allocatable(1M) コマンドを使用して作成されたデバイスに値が指定されなかったときに有効になるデフォルト値を示します。

   表 15-7 デバイスのデフォルト値

   値	デフォルト
   最下位のラベル	ADMIN_LOW
   最上位のラベル	ADMIN_HIGH
   clean プログラム	/bin/true
   割り当てを行えるユーザー	すべてのユーザー (All Users)
   承認	なし (None)

既存のデバイスを構成するには

デバイス割り当てマネージャを使用して管理するには、device_maps(4) ファイルと、device_allocate(4) ファイルにデバイスのエントリがあり、/etc/security/dev ディレクトリに補助ファイルがあることが必要です。必要に応じて、「新しい割り当て可能デバイスまたは割り当て不可能デバイスを追加するには」の処理を行なってください。

1. セキュリティ管理者役割になり、ADMIN_LOW ワークスペースに移動します。あるいは、「デバイス属性を構成」 承認を持つユーザーとしてログインします。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを開きます。

   必要に応じて、「デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示するには 」を参照してください。

3. 設定したいデバイスの名前を選択し、「構成 (Configure)」ボタンをクリックします。

   下の図に示されているように、デバイス割り当てマネージャの「構成 (Configuration)」ダイアログボックスが表示されます。

   

4. 最下位機密ラベルのデフォルト ADMIN_LOW を変更する必要がある場合は、「最下位のラベル (Min Label)」ボタンをクリックし、ラベルビルダーで新しいラベルを指定します。

5. 最上位機密ラベルのデフォルト ADMIN_HIGH を変更する必要がある場合は、「最上位のラベル (Max Label)」ボタンをクリックし、ラベルビルダーで新しいラベルを指定します。

6. device_clean(1M) スクリプトの名前を変更する必要がある場合は、「clean プログラム」フィールドに新しいパス名を入力します。

7. 「割り当てを行えるユーザー (Allocatable By)」フィールドを変更する必要がある場合は、マウスの右ボタンでメニューを開いて、次の 3 つの選択肢のうちいずれかを選択します。

   承認されたユーザー (Authorized users) すべてのユーザー (All users) なし (No users)

   ---

   注意 -

   プリンタ、フレームバッファー、その他の割り当て可能にできないデバイスを設定するときは、このフィールドで必ず「なし (No users)」を指定してください。デバイスが「割り当てを行えるユーザー: 承認されたユーザー」のように指定されている場合、「承認 (Authorizations)」ボタンが使用可能になり、「承認 (Authorizations)」フィールドにはデフォルトで「デバイスを割り当てる (allocate device)」が表示されます。

   ---

8. 必要に応じて、新しいデバイスを割り当てるための承認を追加します。

   新しい承認を追加する方法については、「拡張可能なセキュリティ機能の追加」を参照してください。システムに新しい承認を追加すると、次にデバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスが表示されるときに、「必須でない (Not Required)」リストにその承認が表示されます。「承認 (Authorizations)」ボタンは、デバイスが「割り当てを行えるユーザー: 承認されたユーザー」のように指定されている場合のみ使用可能になります。「承認 (Authorizations)」フィールドのデフォルトは、「デバイスを割り当てる」です。

9. 必要に応じて、デフォルトの「デバイスを割り当てる」承認を変更します。

   1. 「承認 (Authorizations)」ボタンをクリックします。

      デバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスが表示されます。

   2. デフォルトの「デバイスを割り当てる」承認を削除する必要がある場合は、「必須 (Required)」リストで承認を選択し、左矢印ボタンで「必須でない (Not Required)」リストに移動させます。

   3. 承認を追加したり、削除した承認を置き換える必要がある場合は、「必須でない (Not Required)」リストで承認を選択し、右矢印ボタンで「必須 (Required)」リストに移動させます。

   4. 「了解 (OK)」をクリックして変更内容を保存し、「承認 (Authorizations)」ダイアログボックスを閉じます。

10. デバイス割り当てマネージャを終了します。

    1. 「構成 (Configuration)」ダイアログボックスで「了解 (OK)」をクリックして変更内容を保存し、ダイアログボックスを閉じます。

    2. 「管理 (Administration)」ダイアログボックスで「了解 (OK)」をクリックしてダイアログボックスを閉じます。

    3. デバイス割り当てマネージャの左上角のマイナス (-) をダブルクリックして終了します。

11. 必要に応じて、デバイスにデフォルト以外のポリシーを設定します。

    デフォルトポリシーの変更方法については、「新規デバイスへのポリシーの設定と既存デバイスのポリシーの修正」を参照してください。

アカウントにデバイス関連の承認を割り当てるには

1. セキュリティ管理者役割になり、ユーザーマネージャを起動します。

   必要に応じて、第 1 章「特定の役割への移行と役割ワークスペースでの作業」および「管理アプリケーションを起動するには」第 5 章「ユーザーマネージャを使ったアカウントの設定」を参照してください。

2. 「プロファイル (Profiles)」ボタンをクリックしてプロファイルダイアログボックスを開き、ユーザーの実行プロファイルのいずれかに、必要なデバイス割り当て承認やその他のデバイス関連承認が含まれていることを確認します。

   1. 必要に応じて、デバイス割り当て承認を含むプロファイルを「利用可能 (Available)」リストに移動します。

      デフォルトが変更されていない場合は、次の表に示すプロファイルの 1 つをユーザーのプロファイルリストに追加すると、そのユーザーに「デバイスを割り当てる」承認が与えられます。

      表 15-8 デフォルトデバイス割り当て承認とそれを含むデフォルトプロファイル

      承認の目的	承認名	デフォルトプロファイル
      デバイス割り当て	デバイスを割り当てる	All Authorizations
      		Convenient Authorizations
      		Device Management
      		Media Backup
      		Media Restore
      		Object Label Management
      		Software Installation

   2. 必要に応じて、「デバイスを回収または再設定」 承認を含むプロファイルを「利用可能 (Available)」リストに移動します。

      ---

      注 -

      「デバイスを回収または再設定」 承認は、管理プロファイルにあります。管理役割アカウント以外には付与しないでください。

      ---

      次の表に、「デバイスを回収または再設定」承認とそれを含むデフォルトのプロファイルを示します。

      表 15-9 「デバイスを回収または再設定」承認、それを含むデフォルトのプロファイル、それを割り当てるデフォルトの役割

      承認の目的	承認名	デフォルトプロファイル	プロファイルを割り当てるデフォルトの役割
      デバイスの割り当ての強制解除、またはデバイスの割り当てエラー状態の訂正	デバイスを回収または再設定	Device Management  All Authorizations	セキュリティ管理者役割  デフォルトでは割り当てられない

   3. 必要に応じて、「デバイスを回収または再設定」 承認を含むプロファイルを「利用可能 (Available)」リストに移動します。

      次の表に、「デバイスを回収または再設定」承認とそれを含むデフォルトのプロファイルを示します。

      表 15-10 「デバイスの属性を構成」承認、それを含むデフォルトのプロファイル、それを割り当てるデフォルトの役割

      承認の目的	承認名	デフォルトプロファイル	プロファイルを割り当てるデフォルトの役割
      デバイスの device_clean スクリプト、ラベル範囲、必要な属性など、各属性を設定する	デバイスの属性と構成	Device Security  Printer Security   All Authorizations	セキュリティ管理者役割  セキュリティ管理者役割  デフォルトでは割り当てられない

      ---

      注 -

      デフォルトの実行プロファイルの中に、再構成するアカウントに適切なものがない場合、セキュリティ管理者役割が、デバイス割り当ての承認を含む新しいプロファイルを作成することができます。このプロファイルには、デバイス割り当ての承認だけを含めることも、プロファイルのユーザーが目的の作業を行うために必要な他のコマンド (allocate、deallocate、tar などなどのコマンド) を一緒に含めることもできます。新しいプロファイルの作成方法については、本書の第 8 章「ユーザーおよび役割のための実行プロファイルの管理」で説明しています。

      ---

割り当ての後、ファイルマネージャが自動表示されないようにするには

1. セキュリティ管理者役割になって、ADMIN_LOW ワークスペースに移動します。

   必要に応じて、「ログイン後、特定の管理役割になるには」を参照してください。

2. 「管理用エディタ」アクションを使って編集用に rmmount.conf ファイルを開きます。

   必要に応じて、「管理用エディタアクションを使用してファイルを編集するには」を参照してください。

3. CD-ROMとフロッピーのどちらか、または両方の設定をファイルマネージャを通知するために、アクションをコメントアウトにします。

   この例では CD-ROM とフロッピーデバイスの両方について、action_filemgr.so を含む行がコメントアウトにされています。

   # action cdrom action_filemgr.so # action floppy action_filemgr.so

デバイス clean スクリプトを変更・追加するには

1. 物理デバイス中のすべての使用可能データを消去し、正常終了時に 0 を返すスクリプトを記述します。

2. 取り外し可能な媒体を使用するデバイスについては、ユーザーが媒体を取り出していない場合、スクリプトで取り出すようにし、媒体が取り出されないときは、その媒体を割り当てエラー状態にするようにします。

3. このスクリプトを ADMIN_LOW で /etc/security/lib ディレクトリに格納します。

4. デバイス割り当てマネージャを使用して、デバイスに新しいスクリプトを指定します。

   1. ADMIN_LOW ワークスペースで、システム管理者としてデバイス割り当てマネージャ を起動します。

      トラステッドパス (TP) メニューの「デバイスを割り当てる (Allocate Device)」オプションを選択するか、フロントパネルの「ツール (Tools)」サブパネルから「デバイス割り当てマネージャ (Device Allocation Manager)」を起動します。

   2. 「デバイスの管理 (Device Administration)」ボタンをクリックしてデバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスを表示します。

   3. 「デバイス (Devices)」リストで、新しいスクリプトを割り当てるデバイスの名前をポイントし、強調表示にします。

   4. 「構成 (Configure)」ボタンをクリックしてデバイス割り当てマネージャの「構成(Configuration)」ダイアログボックスを表示します。

   5. device_clean(1M) スクリプトの名前を変更する必要がある場合は、「clean プログラム」の右側のテキスト入力フィールドの名前を編集します。

   6. 「構成 (Configure)」ダイアログボックスで「了解 (OK)」をクリックし、ラベルの変更を保存します。次に、「管理 (Administration)」ダイアログボックスで「了解 (OK)」をクリックしてダイアログボックスを閉じてから、デバイス割り当てマネージャを終了します。