Solaris OS の強化

Solaris Security Toolkit が制御ドメイン上の Solaris OS を強化するために使用するドライバ (ldm_control-secure.driver) は、Logical Domains Manager が OS で実行できるように特別な変更を加えたものです。ldm_control-secure.driver は、『Solaris Security Toolkit 4.2 リファレンスマニュアル』で説明している secure.driver に類似しています。

ldm_control-secure.driver は、Logical Domains Manager ソフトウェアを実行しているシステムの制御ドメインに対する基準構成を提供します。これは、Solaris OS ドメインで通常よりも少ないシステムサービスを提供することで、通常の用途ではなく Logical Domains Manager の処理のために制御ドメインを確保することを目的としています。

install-ldm スクリプト により、Logical Domains Manager ソフトウェアがまだインストールされていない場合はこのソフトウェアがインストールされ、使用可能になります。

secure.driver から変更された、その他の重要な事項の概要を次に示します。

• Telnet サーバー は実行できません。代わりに Secure Shell (ssh) を使用できます。Telnet クライアントを使用して、Logical Domains 仮想ネットワーク端末サーバーデーモン (vntsd) によって開始された仮想コンソールにアクセスすることはできます。たとえば、ローカルシステムの TCP ポート 5001 で待機している仮想コンソールが実行中の場合は、次のようにアクセスすることができます。

  # telnet localhost 5001

  vntsd を有効にする方法については、「Logical Domains Manager デーモンの有効化」 を参照してください。これは自動的には有効になりません。

• 次の終了スクリプトが追加されています。これらを使用して、Logical Domains Manager をインストールおよび起動できます。追加されたスクリプトの一部は、カスタマイズしたすべてのドライバに追加する必要がありますが、省略可能なものもあります。スクリプトには、必須であるか任意であるかが示されています。

  • install-ldm.fin – SUNWldm パッケージをインストールします。(必須)

  • enable-ldmd.fin – Logical Domains Manager デーモン (ldmd) を有効します。(必須)

  • enable-ssh-root-login.fin – スーパーユーザーが Secure Shell (ssh) を使用して直接ログインできるようにします。(任意)

• 次のファイルが変更されました。これらの変更のカスタマイズしたドライバへの組み込みは省略可能であるため、任意として示されています。

  • /etc/ssh/sshd_config – root アカウントのアクセスがネットワーク全体で許可されます。このファイルはどのドライバでも使用されません。(任意)

  • /etc/ipf/ipf.conf – UDP ポート 161 (SNMP) が開かれます。(任意)

  • /etc/host.allow – Secure Shell デーモン (sshd) がローカルサブネットだけでなくネットワーク全体に対してオープンになります。(任意)

• 次の終了スクリプトが無効 (コメントアウト) になっています。カスタマイズしたすべてのドライバで、disable-rpc.fin スクリプトをコメントにしてください。その他の変更は省略可能です。スクリプトには、必須であるか任意であるかが示されています。

  • enable-ipfilter.fin – IP フィルタ (ネットワークパケットフィルタの一種) が有効ではありません。(任意)

  • disable-rpc.fin – 遠隔手続き呼び出し (RPC) サービスが有効のままです。RPC サービスは、ネットワーク情報サービス (NIS)、ネットワークファイルシステム (NFS) などのほかの多くのシステムサービスによって使用されます。(必須)

  • disable-sma.fin – システム管理エージェント (NET-SNMP) が有効のままです。(任意)

  • disable-ssh-root-login.fin – ssh root ログインを無効にできません。

  • set-term-type.fin – 不要な旧バージョンのスクリプト。(任意)