test

Solaris Trusted Extensions 移行ガイド

Solaris Trusted Extensions リリースへの移行

このマニュアルの内容は次のとおりです。

Solaris Trusted Extensions リリース

SolarisTM Trusted Extensions ソフトウェアは、Solaris オペレーティングシステム (Solaris OS) 構成の 1 つです。Solaris Trusted Extensions (以下、Trusted Extensions と言う) には、デスクトップシステム、ウィンドウシステム、ゾーンシステム、ファイルシステム、およびネットワーク通信用に、ローカルオブジェクトとローカルプロセスのラベルが提供されています。Trusted Extensions ソフトウェアは、Solaris OS の 1 つのバージョンに加えられたパッケージ内に含めて提供されます。

Trusted Extensions は、Trusted Extensions パッケージが加えられた Solaris リリース内の機能によって異なります。Trusted Extensions ソフトウェアには Solaris コンポーネントに置き換えられたコンポーネントはありませんが、いくつかのポリシー設定は Trusted Extensions ソフトウェアで変更されています。

Trusted Solaris ソフトウェアからの変更の概要

Trusted Extensions 管理者は、ホスト、ゾーン、デバイス、およびユーザーにラベルを割り当てます。Trusted Extensions では、これらのラベルがリソース (ファイル、プロセス、ネットワークパケット、ウィンドウなど) に適用されます。これらのラベルを適用するための基準は、リソースが関連付けられるホストまたはゾーンです。

これまでの Trusted Solaris リリースと同様に、Solaris OS では特権、承認、および監査がサポートされます。Trusted Extensions では、Solaris OS で定義されている特権、承認、権利プロファイル、監査クラス、監査イベントなどがさらに追加されています。これまでのリリースと同様に、Trusted Extensions では権利プロファイルに CDE アクションを加えています。

これまでのリリースと同様に、このソフトウェアでは Solaris 機能を拡張した信頼度の高いウィンドウシステム、デスクトップ、および管理ツールが提供されます。印刷は、ラベル付けされた印刷ジョブを処理するように変更されました。また、Trusted Extensions ではトラステッドバージョンの Sun JavaTM Desktop System を提供します。このトラステッドバージョンを Solaris Trusted Extensions (JDS) と言います。

Trusted Solaris ソフトウェアと異なり、Trusted Extensions はベースシステムである Solaris OS の構成の 1 つです。Trusted Extensions では、NIS+ ネームサービスはサポートされません。このリリースの推奨ネームサービスは LDAP です。また、Trusted Extensions の root ユーザーは、Solaris OS の root ユーザーと同じです。Solaris OS における操作と同様に、root ユーザーを役割に変えることにより root ユーザーを修正できます。

削除された Trusted Solaris 機能の概要

アーキテクチャーが変更されたため、次に示す Trusted Solaris 8 機能は Trusted Extensions に存在しません。インタフェース変更の一覧は、付録 A 「Solaris Trusted Extensions リリースにおけるインタフェースの変更」を参照してください。

アーキテクチャーが変更されたため、 Trusted Extensions では次に示す Trusted Solaris 8 機能の表示状態が異なります。

Trusted Solaris 8 ソフトウェアと Solaris Trusted Extensions の相違点

次の各節では、Trusted Solaris から Solaris Trusted Extensions ソフトウェアへの変更でそのまま保持されたコンポーネント、変更されたコンポーネント、および削除されたコンポーネントを示しています。

Trusted Extensions 内の監査イベントと監査クラス

Trusted Extensions では、X イベントの監査クラスは 6 個から 4 個に少なくなりました。xa クラスと xl クラスは削除されました。xa クラスに割り当てられていたイベントは、ot クラスになりました。xl クラスに割り当てられていたイベントは、lo クラスになりました。ほかの X 監査クラスのビットマスクは、それらの Trusted Solaris 8 マスクから変更されています。


0x00800000:xc:X - object create/destroy
0x00400000:xp:X - privileged/administrative operations
0x01000000:xs:X - operations that always silently fail, if bad
0x01c00000:xx:X - all X events (meta-class

Trusted Extensions におけるデバイス管理

Trusted Extensions では、allocate コマンドと deallocate コマンドは大域ゾーンで実行される TCB (Trusted Computing Base) プロセスにしか使用できません。通常のユーザーは、デバイスマネージャーの GUI を使用してデバイスの割り当てと割り当て解除を行う必要があります。

Trusted Extensions デバイスポリシーは、Solaris getdevpolicy インタフェースと update_drv インタフェースを使用します。Trusted Solaris 8 デバイスポリシーdata_mac_policy、attr_mac_policy、open_priv、および str_type は削除されました。

Trusted Extensions におけるファイルとファイルシステムのマウント

Trusted Extensions は、ラベルを指定する明示的なマウント属性を提供しません。マウントされたファイルシステムのラベルは、所有しているホストまたは所有しているゾーンに関連付けられたラベルと同じです。上位への書き込みは許可されません。上位への書き込みは、上位ラベルが付いたファイルシステムまたは無関係なラベルが付いたファイルシステムのマウントを無効にすることによって防止します。下位の読み取りは許可されます。下位の読み取りは、下位ラベルが付いたファイルシステムのマウントを読み取り専用に制限することによって実現されます。

ファイルシステムにセキュリティー属性を指定する Trusted Extensions 実装は、Solaris 実装に準じています。したがって、ファイルには、強制された特権も許可された特権もありません。この実装によって、Trusted Extensions は Solaris ゾーンでサポートされるあらゆるファイルシステムをサポートできます。

ファイルの再ラベル付けは、1 つのマウント済みファイルシステムから別のファイルシステムにファイルを移動することによって行います。

Trusted Extensions におけるラベル

Trusted Solaris リリースと同様に、Trusted Extensions には label_encodings ファイルが提供されています。label_encodings ファイルには、ラベル、ラベル範囲、認可上限、およびデフォルトが定義されています。

Trusted Extensions では、デフォルトでインストールされる label_encodings ファイルで RESTRICTED や PUBLIC などの商用ラベルが定義されます。Trusted Solaris リリースでは、デフォルトのラベルエンコーディングファイル label_encodings.multi は米国政府エンコーディングファイルのバージョンの 1 つでした。

ラベルビルダーでは、ラベルは短いフォームではなく長いフォームで表示されます。セッション認可上限またはワークスペースラベルを選択する場合には、Admin Low や Admin High ではなく Trusted Path が使用されます。

Trusted Extensions におけるラベル API

ラベルの内部構造を示したラベル API は、Solaris Trusted Extensions では廃止されています。これらのラベル API は、label_to_str() 関数と str_to_label() 関数によって置き換えられました。廃止されたインタフェースとそれらの後継機能については、表 7 を参照してください。

CMW ラベルも、機密ラベルによって置き換えられました。CMW インタフェースと IL (情報ラベル) インタフェースはすべて削除されました。

Trusted Extensions におけるメール

Solaris Trusted Extensions リリースでは、独立した sendmail インスタンスがゾーンごとに存在します。このため、メールはアップグレードできません。ユーザーによるメールの送受信は、各自のワークスペースのラベルでのみ可能です。

Trusted Extensions における LDAP ネームサービス

Solaris Trusted Extensions は、ネームサービスとして LDAP を使用します。Trusted Extensions では、NIS と NIS+ は tnrhdb データベース、tnrhtp データベースともサポートしません。これらのネームサービスには、マルチレベルポート (MLP) にバインドできるプロキシサーバーがありません。このため、複数のゾーンから同時にトラステッドネットワーキングデータベースに到達することはできません。

ユーザーパスワードを除き、LDAP データは公開情報と見なされます。したがって、LDAP 内の情報はどれも MAC ポリシーによって保護されません。この代わり、Solaris OS における場合と同様に、データは管理ポリシーによって保護されます。LDAP 管理ポリシーは、LDAP ID と LDAP パスワードに基づいています。ユーザーとネットワーク終端の属性として機密ラベルを割り当てると、それらのラベルは内部形式で保存されます。内部形式では、機密情報が開示されることがありません。

Trusted Extensions 環境内で LDAP サーバーをネームサービスとして配備する場合は、大域ゾーン内のマルチレベルポート (MLP) にバインドされるようにこのサーバーを設定する必要があります。

Trusted Extensions は、既存の LDAP インフラストラクチャーに依存するように設定することも可能です。この場合、LDAP プロキシサーバーをインストールしてください。このプロキシサーバーは、Trusted Extensions が構成されているシステムの大域ゾーン内の MLP にバインドするように設定する必要があります。これらの設定が終わると、この Trusted Extensions システムはほかのゾーンおよびほかのホストから出力されたマルチレベル要求を、ラベルがない既存の LDAP サーバーにプロキシできます。ラベルがないサーバーには、プロキシサーバーの tnrhdb にある admin_low テンプレートを割り当てる必要があります。

NIS+ テーブルを LDAP エントリに移行する場合は、次に示すマニュアルページを参照してください。

Trusted Extensions における 名前付きパイプ

Solaris OS では、名前付きパイプが一方向のコンジットとして使われます。 Trusted Extensions では、名前付きパイプは、上位書き込み操作を許可します。書き込み側は、 読み込み側の優位なラベルより低いラベルで稼働します。Trusted Solaris 8 では、 名前付きパイプは、FIFO のラベルを読み込み側のラベルにアップグレード することによって、構成されます。Trusted Extensions では、名前付きパイプは、 より低いレベルのゾーンのディレクトリからより高い優位なゾーンへの読み込み専用 LOFS マウントにより構成されます。FIFO は、 書き出し側のゾーンのラベルで 生成されます。詳細は、mkfifo(1m) のマニュアルページを参照してください。

Trusted Extensions におけるネットワーキング

Trusted Extensions では、TSIX や TSOL ネットワークプロトコルはサポートされていません。Trusted Extensions では、tnrhtp データベース内に CIPSO ラベルが付いたテンプレートとラベルがないテンプレートが定義されています。ラベル ADMIN_HIGH は上限として使用されますが、CIPSO ラベルとして送信されることはありません。詳細は、「Trusted Extensions 内のゾーン」を参照してください。

特権、ユーザー ID、グループ ID などのプロセス属性は現在サポートされていないため、tnrhtp データベースの書式はシンプルになりました。tnrhdb データベースの書式は変わりません。tnidb データベースは、tnzonecfg データベースによって置き換えられました。しかし、この 2 つのデータベースは同等ではありません。

Solaris Trusted Extensions リリースでインストールされる /etc/security/tsol/tnrhtp ファイルには、あらゆる label_encodings ファイルとともに使用できるテンプレートが含まれます。次の表は、tnrhtp の以前のバージョンと Solaris Trusted Extensions リリースに含まれるバージョンの対応を示しています。

表 1 Trusted Solaris 8 リリースと Solaris Trusted Extensions リリース内にあるテンプレート名

Trusted Solaris テンプレート名 

Trusted Extensions 名 

注 

cipso

cipso

ラベル付きホスト用 

unlab

admin_low

ラベルなしホスト用 

tsol, tsol_cipso, tsix

なし 

cipso テンプレートを使用してください

tsol_ripso, ripso_top_secret

なし 

削除されました 

ネットワーク通信はラベルで制限されます。デフォルトでは、ゾーン同士の通信は行えません。これは、ゾーンのラベルがそれぞれ異なるためです。

Trusted Extensions ドメインの外から発生する、ラベルなしホストからのパケットは、セキュアドメインからドメイン外の別のホストに対してトラステッドルーティングが行えるように、IP オプションを使用してラベルを付けることができます。着信パケットは、tnrhdb 内にある、それらの発生元ホストのエントリに従ってラベル付けが行われます。着信パケットは、それらの機密ラベルとトラステッドルーティング情報に従って経路が決定されて Trusted Extensions ドメインに送られます。機密ラベルは、IP オプション内でも使用されます。このラベルは、パケットがトラステッドドメインから出る際に除去されます。現在、IPv6 はトラステッドルーティングをサポートします。

動的ルーティングはサポートされません。静的ルーティングはサポートされます。

Trusted Extensions におけるパッケージング

Trusted Extensions ソフトウェアは、特殊なパッケージング属性を必要としません。このため、tsolinfo ファイルは使用されなくなりました。

Trusted Extensions における PAM

Trusted Extensions 用の PAM モジュールである pam_tsol_account.so.1 には、モジュールタイプと関数が 1 つずつ含まれます。このモジュールのタイプは account で、関数はラベル範囲をチェックします。このモジュールにオプションはありません。このリリースには、Trusted Solaris 8 ソフトウェアで提供されていた、Trusted Extensions 固有のほかの PAM 関数は含まれていません。

Trusted Extensions は、PAM サービスに allow_unlabeled オプションを追加します。allow_remote オプションと併用することで、管理者はヘッドレスシステムのリモート管理が行えます。詳細は、pam_roles(5) および pam_tsol_account(5) のマニュアルページを参照してください。

ほかのモジュールタイプの PAM スタックについては、Trusted Extensions でも Solaris OS と同じ方法で使用してください。詳細は、pam(3PAM) および pam.conf(4) のマニュアルページを参照してください。

Trusted Extensions におけるポリシー

Trusted Extensions では、プロセスの認可上限はその機密ラベルと同じです。上位への書き込みはサポートされません。

ADMIN_HIGH ワークスペースと ADMIN_LOW ワークスペースの管理的な区別はありません。このため、これらのワークスペースは Trusted Path として表示されます。

exec_attr ファイル内の tsol ポリシーは削除されました。solaris ポリシーを使用してください。

Trusted Extensions における印刷

Trusted Extensions は、シングルレベル印刷とマルチレベル印刷の両方をサポートします。マルチレベル印刷が行えるのは、大域ゾーン内だけです。マルチレベル印刷サービスとして機能させるには、その大域ゾーンに固有の IP アドレスを割り当てる必要があります。大域ゾーンのプリントサーバーを使用するには、ラベル付きゾーンに大域ゾーンとは別の IP アドレスを割り当てる必要があります。

ラベル範囲があるのは、マルチレベルプリンタだけです。プリンタのラベル範囲は、デバイス割り当てマネージャを使用して制限できます。

Trusted Solaris リリースでは、バナーページとトレーラページがデフォルトで有効になっていました。Trusted Extensions では、管理者がプリンタモデルスクリプトを実行し、セキュリティー情報が含まれるバナーページとトレーラページをプリンタに追加します。


lpadmin -p printer -m printer-model-script

Trusted Extensions により、4 つのプリンタモデルスクリプト、tsol_standard、tsol_netstandard、tsol_standard_foomatic、および tsol_netstandard_foomatic が追加されます。

Trusted Extensions における Solaris 管理コンソール

Solaris 管理コンソール は、マルチレベルサービスではなくなりました。Solaris 管理コンソール にコンタクトをとることができるのは、このサーバーと同じラベルで稼働しているクライアントだけです。ほとんどの Trusted Extensions 管理機能は、大域ゾーンに対するアクセス権を必要とします。通常のユーザーは大域ゾーンへのログインが許可されていないため、大域ゾーン内の Solaris 管理コンソール に接続できるのはすべてのラベルに対して認可上限が行われている役割だけです。

Trusted Extensions におけるウィンドウシステムと CDE

ログイン手順が少し異なり、新しいダイアログボックス「最後のログイン」にログインユーザーのセキュリティー情報が示されます。「シャットダウン」メニュー項目は、「システムの保存停止」メニュー項目により置き換えられました。「システムの保存停止」メニュー項目は、ユーザー承認をチェックし、続いて sys-suspend コマンドを実行します。

System_Admin フォルダは、Trusted_Extensions という名前に変更されました。

Trusted_Extensions フォルダ内の CDE アクションが更新されました。NIS+ アクションが削除されました。LDAP とラベル付きゾーンを管理するアクションが追加されました。

Trusted Extensions 内のゾーン

Trusted Extensions は、ラベル付けのためにゾーンを使用します。大域ゾーンは管理者用のゾーンであり、ユーザーは使用できません。大域ゾーンはマルチレベルです。大域ゾーンのネットワーキングラベルは ADMIN_LOW ですが、そのプロセスラベルは ADMIN_HIGH です。大域ゾーン専用のファイルには、ADMIN_HIGH というラベルも付きます。すべてのゾーンと共有されるファイルには、ADMIN_LOW というラベルが付きます。

各非大域ゾーンには、一意のラベルが付きます。非大域ゾーンはラベル付きゾーンとも呼ばれます。ラベル付きゾーンは、通常のユーザーも利用できます。大域ゾーンは、役割による使用だけが認められます。

ゾーンについての Trusted Extensions ポリシーは、Solaris ポリシーとは異なります。Trusted Extensions では、ゾーンごとの個別 IP アドレスは必要とされません。しかし、すべてのゾーンで単一のネームサービスを使用する必要があります。単一のネームサービスを使用すると、ユーザー、UID、および GID の単一のセットがすべてのゾーンに提供されます。

ネットワーク通信はラベルで制限されます。デフォルトでは、ゾーン同士の通信は行えません。これは、ゾーンのラベルがそれぞれ異なるためです。各ゾーンの /export ディレクトリは、その /export ディレクトリのラベルよりも上位のラベルを持つ任意のゾーンから読み取ることができます。

大域ゾーンで実行が許可されるのは、システムプロセスと役割だけです。場合によっては、大域ゾーンにおける特権プロセスが MAC ポリシーの適用外となることがあります。たとえば、file_dac_search 特権と file_dac_read 特権を持つシステムプロセスと役割は、ラベル付きゾーンに属するファイルにアクセスできます。

Trusted Extensions における特権

Trusted Extensions 内の特権は、Solaris 内の特権と対応するようにコード化されます。Solaris ソフトウェアにおける特権は、以前の Trusted Solaris リリースにおける特権とは異なる方法で実装されます。

Trusted Solaris の特権と Trusted Extensions の特権との対応については、付録 A 「Solaris Trusted Extensions リリースにおけるインタフェースの変更」 の表 1 、表 10 、および 「Trusted Extensions ソフトウェア内の新しいインタフェース」を参照してください。特権の全一覧は、privileges(5) のマニュアルページを参照してください。

Solaris Trusted Extensions リリースでは、次に示す特権が追加されました。

Trusted Solaris のコマンド runpd は、Solaris のコマンド ppriv -d により置き換えられました。詳細は、ppriv(1) のマニュアルページを参照してください。たとえば、 『Solaris のシステム管理 (セキュリティサービス)』の「プログラムが必要とする特権を判断する方法」を参照してください。

Trusted Extensions ユーザーコマンド

Trusted Extensions が構成されているシステムでは、ほとんどの Solaris ユーザーコマンドは Solaris OS におけるコマンド動作と同様に動作します。一部のコマンドオプションは、Trusted Extensions ソフトウェアにしか適用されません。Trusted Extensions では、ユーザーコマンドも追加されています。全一覧は、「Trusted Extensions ソフトウェア内の新しいインタフェース」、表 2、および表 3 を参照してください。

Trusted Extensions システム管理コマンド

Trusted Extensions が構成されたシステムでは、システム管理コマンドは次のように動作します。

Trusted Extensions システム呼び出し

Trusted Extensions が構成されたシステムでは、ほとんどの Trusted Solaris システム呼び出しが Solaris システム呼び出しによって置き換えられました。一部のシステム呼び出しは、Trusted Extensions ソフトウェアで拡張されています。全一覧は、表 5 と 「Trusted Extensions ソフトウェア内の新しいインタフェース」を参照してください。

Trusted Extensions ライブラリ関数

Trusted Extensions が構成されたシステムでは、一部の機能が修正されました。変更の一部は、製品のアーキテクチャー変更によるものです。また、非標準インタフェースを削除したために生じた変更もあります。

Trusted Solaris ソフトウェアで提供されていた特権のライブラリ関数は、Solaris 関数によって置き換えられました。CMW ラベルを操作するラベル関数は削除されました。一部のラベル関数は、ラベル構造を不透明なものにするように変更されました。ラベル構造を不透明なものにする新しいラベル関数に切り替えられたラベル関数もあります。サイトのためにラベル対応のコードを開発する場合は、新しいインタフェースを使用することをお勧めします。

全一覧は、表 6 と 「Trusted Extensions ソフトウェア内の新しいインタフェース」を参照してください。

Trusted Extensions データベースとファイル

データベースとファイルは、技術的な変更に対応するようにフォーマットの再設定が行われました。不要なファイルは削除されました。一覧は、表 9 と 「Trusted Extensions ソフトウェア内の新しいインタフェース」を参照してください。

Trusted Extensions デバイスとドライバ

Trusted Extensions が構成されているシステムでは、すべての Trusted Solaris デバイスインタフェースとドライバのカーネル関数が Solaris 関数によって置き換えられました。一覧は、表 11 を参照してください。

Solaris 10 8/07 ソフトウェアと Solaris Trusted Extensions の相違点

Trusted Extensions は Solaris ソフトウェアをベースにして構築されており、一部の Solaris ユーティリティーの使用を制限することがあります。これらの相違は、ユーザー、管理者、および開発者に影響を及ぼします。Solaris システムで任意選択であった構成オプションの中には、Trusted Extensions で指定が必須のものもあります。たとえば、システムの管理には役割が必要であり、ユーザー、役割、プロファイル、およびネットワークの管理には Solaris 管理コンソール が必要です。ゾーンをインストールし、各ゾーンに一意のラベルを割り当てるようにしてください。

Trusted Extensions のインストールと構成

Solaris Trusted Extensions は、新規にインストールされた Solaris 10 システム上にパッケージとしてインストールされます。インストールでは次に示す点に注意してください。

Trusted Extensions におけるデスクトップ

Solaris Trusted Extensions は、トラステッドバージョンの Sun Java Desktop System (Trusted JDS) および CDE をサポートします。Trusted CDE デスクトップは、ラベル、トラステッドストライプ、デバイス割り当てマネージャ、Admin Editor といった、Trusted Solaris の主要機能をこのリリースでもサポートします。

CDE 1.7 内の新しい管理アクションは、Trusted Extensions デスクトップ上のセキュリティーのために修正されています。Trusted Extensions 固有のアクションは、Trusted_Extensions フォルダに入っています。

Trusted Extensions ソフトウェアにおける CDE アクションのセキュリティー属性

Trusted Extensions では、exec_attr データベースでセキュリティー属性を割り当てることができるオブジェクトに CDE アクションが追加されました。CDE アクションは、特定のラベルに関連するアクションだけを含むようにワークスペースメニューをカスタマイズすることにより、ラベル別に 抑制することができます。メニューをカスタマイズする方法については、『Solaris Trusted Extensions ユーザーズガイド』の「CDE のワークスペースメニューをカスタマイズする」を参照してください。

Trusted Extensions の管理ツール

セキュア管理を行うには、Trusted Extensions が提供する GUI を使用する必要があります。Trusted Extensions では、CDE の Trusted_Extensions フォルダ、デバイス割り当てマネージャ、および Solaris 管理コンソール にアクションが提供されています。Trusted Extensions では、Solaris 管理コンソール の GUI 内の既存のツールに加えて、いくつかのツールとオプションが追加されています。この GUI を使用して管理者は、ユーザー、ネットワーク、ゾーン、その他のデータベースなどを管理できます。Solaris 管理コンソール を起動したあと、管理者は Trusted Extensions の「ツールボックス」を選択します。このツールボックスは、プログラムを集めたものです。続いて管理者は、その役割に許可されているプログラムを使用します。

トラステッドデバイスの管理

Solaris OS には、デバイス管理の方法としてVolume Manager (vold)、logindevperm、およびデバイス割り当ての 3 つが用意されています。Trusted Solaris 8 リリースの場合と同様に、Trusted Extensions ではデバイス割り当てだけがサポートされています。デバイス割り当てマネージャの GUI は、割り当て可能なデバイスの作成に使用します。ゾーンに割り当てられるデバイスはどれも、そのゾーンの停止、休止、または再起動が行われる場合に割り当てが解除されます。デバイス割り当ては、リモート実行することも、あるいはシェルスクリプト内で大域ゾーンからのみ行うことも可能です。

allocate、deallocate、および list_devices コマンドは、役割または通常ユーザー用のラベル付きゾーンでは使用できません。ユーザーと役割は、デバイス割り当てマネージャの GUI を使用してデバイスの割り当て、割り当て解除、および表示を行う必要があります。Trusted Extensions では、デバイスを構成するための solaris.device.config 承認が追加されています。

トラステッド印刷

プリンタを管理するには、大域ゾーンの System_Admin フォルダ内のプリンタ管理アクションを使用します。プリンタのラベル範囲を限定するには、大域ゾーンのデバイス割り当てマネージャを使用します。

Trusted Extensions ソフトウェアとリムーバブルメディア

大域ゾーンでシリアルラインとシリアルポートを管理するには、Solaris 管理コンソール デバイスツールと Solaris 管理コンソール ハードウェアツールを使用します。リムーバブルメディアのラベル範囲を限定するには、大域ゾーンのデバイス割り当てマネージャを使用します。

Trusted Extensions におけるその他の権限と承認

Solaris Trusted Extensions リリースでは、Device Security プロファイルに特権コマンドが追加されており、多数のプロファイルに特権アクションが追加されています。

Solaris Trusted Extensions リリースでは、次に示す承認が追加されました。

Solaris Trusted Extensions リリースでは、次に示す権利プロファイルが追加されました。

Solaris Trusted Extensions リリースでは、次に示す権利プロファイルにラベル承認とサービス管理承認が追加されています。

Information Security 権利プロファイルと User Security 権利プロファイルにより、セキュリティー管理者役割が定義されます。

Trusted Extensions ソフトウェア内の新しいインタフェース

Solaris Trusted Extensions リリース内の新しいインタフェースは、マニュアルページセクション番号別に次の表に示してあります。この表には、Trusted Extensions の重要な機能を実行する Solaris インタフェースがいくつか含まれます。

この表には、名前が変更されたインタフェースだけが挙げられています。しかし、名前の変更がなかったインタフェースでも、このリリースでオプションまたは機能が変更されている可能性があります。全一覧は、付録 A 「Solaris Trusted Extensions リリースにおけるインタフェースの変更」を参照してください。

表 2 Solaris Trusted Extensions ソフトウェアの新しいマニュアルページ

マニュアルページ 

注 

getzonepath(1)

getsldname に置き換わりました。

ldaplist(1)

Trusted Extensions ネットワークデータベースが、LDAP ディレクトリサーバーに追加されました。 

ppriv(1)

特権を処理した Trusted Solaris コマンドは、Solaris コマンドに置き換えられました。 

smtnzonecfg(1M)

トラステッドネットワークゾーン構成データベースを管理します。 

getpflags(2)

Trusted Extensions では、NET_MAC_AWARE フラグが追加されました。

getlabel(2)

ファイルの機密ラベルを取得します。 

setpflags(2)

Trusted Extensions では、NET_MAC_AWARE フラグが追加されました。

is_system_labeled(3C)

システムに Trusted Extensions が構成されているかどうかを判定します。 

getpeerucred(3C)

Solaris OS における場合と同様に動作します。getpeerinfo() に置き換わりました。

priv_gettext(3C)

Solaris OS における場合と同様に動作します。get_priv_text() に置き換わりました。

ucred_getlabel(3C)

ucred_getlabel() は、プロセスのラベルを読み取ります。

libtsnet(3LIB)

libtsnet() インタフェースについて説明します。

libtsol(3LIB)

libtsol() インタフェースについて説明します。

getdevicerange(3TSOL)

デバイスのラベル範囲を取得します。 

getpathbylabel(3TSOL)

フルパス名を取得します。mldrealpathl() に置き換わりました。

getplabel(3TSOL)

プロセスの機密ラベルを取得します。 

getuserrange(3TSOL)

ユーザーのラベル範囲を取得します。 

getzoneidbylabel(3TSOL)

ゾーンの ID を取得します。 

getzonelabelbyid(3TSOL)

ゾーンのラベルを取得します。 

getzonelabelbyname(3TSOL)

 

getzonerootbyid(3TSOL)

ゾーンのフルパス名を取得します。 

getzonerootbylabel(3TSOL)

 

getzonerootbyname(3TSOL)

 

label_to_str(3TSOL)

ラベルを文字列に変換します。bcltobanner() などのインタフェースに置き換わりました。

m_label(3TSOL)

m_label() は、割り当て関数、複製関数、および解放関数の総称です。

m_label_alloc(3TSOL)

不透明なラベルのストレージを管理します。 

m_label_dup(3TSOL)

ラベルを複製します。 

m_label_free(3TSOL)

不透明なラベルのストレージを解放します。 

setflabel(3TSOL)

setcmwlabel() に置き換わりました。

str_to_label(3TSOL)

ラベルを文字列に変換します。stobsl() と stobclear() に置き換わりました。

tsol_getrhtype(3TSOL)

指定したホスト名のホストタイプを取得します。 

door_ucred(3DOOR)

Solaris OS における場合と同様に動作します。door_tcred() に置き換わりました。

getsockopt(3SOCKET)

getsockopt(3XNET)

setsockopt(3SOCKET)

setsockopt(3XNET)

Trusted Extensions では、SO_MAC_EXEMPT オプションが追加されました。

tnzonecfg(4)

大域ゾーンとラベル付きゾーンのローカル構成ファイルです。 

TrustedExtensionsPolicy(4)

ウィンドウ動作のポリシーファイルです。config.privs に置き換わりました。

labels(5)

ラベルポリシーについて説明します。 

pam_tsol_account(5)

アカウント認証の PAM モジュールです。 

privileges(5)

新しい特権、net_bindmlp と net_mac_aware の説明が入っています。