test

Trusted Solaris 管理の手順

デバイス割り当てマネージャ

ユーザーによる割り当てが可能なデバイスや、一部の割り当て不可能なデバイスは、デバイス割り当てマネージャを使用して、割り当て、設定を行い、管理することができます。次の図に示すデバイス割り当てマネージャ には、セキュリティ管理者が割り当てることのできるデバイスのリストが表示されています。

Graphic

デバイス割り当てマネージャの使用は、「デバイスを割り当てる」というデバイス割り当て承認を持っているアカウントに限定されています。承認されていないユーザーに対しては、「使用可能デバイス (Available Devices)」の下のリストは空の状態で表示されます。また、その時点で他のユーザーによって割り当てられているデバイスや使用不可能な状態のデバイスは、「使用可能デバイス (Available Devices)」の下のリストには表示されません。これは、承認されているユーザーに対しても同じです。

デバイスが使用不可能な場合

「使用可能デバイス (Available Devices)」リストにデバイスが表示されていないときは、担当の管理者に連絡してください。

承認されていないユーザーが割り当てを行う必要がある場合、セキュリティ管理者役割は、そのアカウントのプロファイルの 1 つに「デバイスを割り当てる」承認を追加することができます。

デバイスがすでに割り当てられているか、割り当てエラーの状態にあって、リストに表示されていない場合、強制的にデバイスの割り当てを解除したり、エラー状態から回復させるための承認は、セキュリティ管理者役割に与えられています。

承認ユーザーのトレーニングと定義、セキュリティ作業維持の実行

デフォルトでは、デバイス割り当ての承認を受けるユーザーは、セキュリティ管理者役割が決定します。デバイスの使用を承認されるユーザーは、熟練者で、次の処理を任せられなくてはなりません。

セキュリティ管理者役割には、上記の要件が遵守されるように管理する責任もあります。

デバイス関連の承認

他のすべての承認と同様、デバイス関連の承認がアカウントに対して有効になるためには、次のアカウントの実行プロファイルのいずれかに指定されていること、そして、その実行プロファイルがセキュリティ管理者によってまず、そのデバイスがアカウントに割り当てられていることが必要です。詳細については、このマニュアルのパート IIを参照してください。また、「アカウントにデバイス関連の承認を割り当てるには」も参照してください。

サイト独自の割り当て承認を定義することもできます。たとえば、デバイスの種類ごとに、「テープデバイスを割り当てる (allocate tape device)」 または「フロッピーデバイスを割り当てる (allocate floppy device)」 などの異なる承認を設定することができます。必要に応じてデフォルトのリストに新しい承認を追加する場合は、このマニュアルの 「拡張可能なセキュリティ機能の追加」をお読みの上、第 2 章「その他の作業と操作手順」の 「承認を追加するには」に記述されている手順を実行してください。

新しい承認を追加すると、その承認は、デバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスの「必須でない (Not Required)」リストに表示されます。「承認」を参照してください。

次の表に、デバイス関連の承認を示します。

表 15-2 デバイスの割り当て、設定、および管理承認
 承認名 内容
 デバイスを割り当てる ユーザーに、デバイスの割り当てを許可する。また、そのデバイス経由でインポートまたはエクスポートされる情報に関連付ける 機密ラベルの指定を許可する
 デバイスの属性を構成 管理者に、デバイスの設定を許可する。デバイスの設定には、デバイス名、デバイスの種類、ラベル範囲、割り当て可能状態、割り当て承認リストの設定が含まれる
 デバイスを回収または再設定 管理者に、現在割り当てられているデバイスの割り当てを解除したり、割り当てエラー状態をリセットしてデバイスを再度割り当て可能にすることを許可する

デバイス割り当てマネージャの 「管理 (Administration)」ダイアログボックス

以下の図の「デバイスの管理 (Device Administration)」ボタンは、デバイス割り当てマネージャの下部にあります。ただし、表示されるのは、デバイスの管理に必要な「デバイスの属性を構成」または「デバイスを回収または再設定」のいずれか、または両方の承認を持つ管理者アカウントに対してのみです。これらの承認の目的については、表 15-2 を参照してください。

図 15-1 デバイス割り当てマネージャ

Graphic

下の図に示すように、「デバイスの管理 (Device Administration)」ボタンをクリックすると、デバイス割り当てマネージャの「管理 (Administration)」ダイアログボックスが表示されます。このダイアログボックスは、代替承認を再要求、取り消し、および指定するとき、さらに、デバイスを構成するときに使います。

図 15-2 デバイス割り当てマネージャ「管理 (Administration)」ダイアログボックス

Graphic

このダイアログボックスには、構成時に管理者が利用できるデバイスの一覧が表示されます。さらに、強調表示されている (選択している) デバイスの「状態 (State)」、「所有者 (Owner)」、および「デバイスの機密ラベル (Device Label)」も表示されます。

解除

「解除 (Revoke)」ボタンが有効になっているとき、強調表示されているデバイスの「状態 (State:) 」フィールドには、「割り当て済み (Allocated)」が表示されます。アカウントに「デバイスを回収または再設定」承認がある場合、「解除 (Revoke)」ボタンをクリックすると、選択しているデバイスの割り当てが強制的に解除され、状態が「未割り当て (Not Allocated)」に変わります。

再利用

「再利用 (Reclaim)」ボタンが有効になっているとき、強調表示されているデバイスの「状態 (State:) 」フィールドには、「割り当てエラーの状態 (Allocate Error State)」が表示されます。アカウントに「デバイスを回収または再設定」承認がある場合、「再利用 (Reclaim)」ボタンをクリックすると、選択しているデバイスが割り当てエラーから解放され、状態が「未割り当て (Not Allocated)」に変わります。

構成

アカウントに「デバイスの属性を構成」承認がある場合、「構成 (Configure)」ボタンをクリックすると、デバイス割り当てマネージャの「構成 (Configuration)」ダイアログボックスが表示されます。図 15-2 を照してください。

「構成 (Configuration)」ダイアログボックス

この節では、前の図に示したデバイス割り当てマネージャの「構成 (Configuration)」ダイアログボックスを使用してデバイスに指定できる情報について説明します。

デバイス名とデバイスタイプ

「デバイス名 (Device Name)」と「デバイスタイプ (Device Type)」のフィールドには、選択したデバイスに関する情報が表示されます。この 2 つのフィールドは編集できません。

最下位のラベルと最上位のラベル

「最下位のラベル (Min Label)」ボタンや「最上位のラベル (Max Label)」ボタンをクリックすると、ラベルビルダーが起動します。セキュリティ管理者役割はこれを使用して、最下位ラベルや最上位ラベルを指定できます。デバイス作成時に最下位ラベルが指定されない場合、デフォルトで ADMIN_LOW が指定されます。また、最上位ラベルが指定されない場合、デフォルトで ADMIN_HIGH が指定されます。デバイスのラベル範囲の設定については、「デバイス割り当ての管理とデバイスラベル範囲の設定」を参照してください。「最下位のラベル (Min Label)」、「最上位のラベル (Max Label)」のフィールドは、割り当て可能なデバイスと割り当て不可能なデバイスとでは異なります。

Clean プログラム

セキュリティ管理者役割は、「Clean プログラム」フィールドに、割り当て可能なデバイスの device_clean(1M) スクリプトのパスを入力することができます。デバイス作成時に device_clean スクリプトが指定されない場合、デフォルトは /bin/true になります。このスクリプトの記述方法については、「デバイス clean スクリプト」を参照してください。

割り当てを行えるユーザー

割り当て可能デバイスに関しては、「割り当てを行えるユーザー (Allocatable By)」スクロールリストに、割り当てを行うユーザーが表示されます。次の 3 つの選択肢があります。

承認

「承認 (Authorizations)」ボタンは、デバイスに「割り当てを行えるユーザー (Allcatable By)」フィールドに「承認されたユーザー (Authorized Users)」が指定されているとき有効です。「承認 (Authorizations)」フィールドのデフォルトは、「デバイスを割り当てる」です。セキュリティ管理者役割は、「承認 (Authorizations)」ボタンをクリックし、他の承認に変更したり、複数の承認を指定することができます。次の図に 2 つのダイアログボックスを示します。

図 15-3 「承認 (Authorizations)」ボタンをクリックしてデバイス割り当てマネージャの「承認 (Authorizations)」ダイアログボックスを表示する

Graphic

リモートデバイス管理

add_allocatable(1M)、remove_allocatable(1M) コマンド、「割り当て可能なデバイス (Add Allocatable Device)」アクション、デバイス割り当てマネージャのそれぞれを使って、ホスト上のdevice_allocate(4) と device_maps(4) のローカルファイルを変更することができます。ネットワーク内の複数のホストに同じ変更を行うには、 rdist(1) を使用して、変更後の device_allocate ファイルと device_maps ファイルをリモート操作で配布します。 ただし、新しいデバイスを追加した場合には、各ホストにリモートでログインし、必要な補助ファイルを手動で作成する必要があります。