test

Solaris Trusted Extensions ラベルの管理

ラベルエンコーディングの管理 (作業マップ)

注意 – 注意 –

label_encodings ファイルをもっとも安全に変更できるのは、最初のホストをインストールするときです。使用中のファイルを変更する場合は注意して進めてください。詳細は、label_encodings(4) のマニュアルページを参照してください。

作業 

説明 

label_encodings ファイルを作成または変更する

「label_encodings ファイルを作成する」

label_encodings ファイルをテストする

「label_encodings ファイルを分析し、検証する」

label_encodings ファイルを配布する

「label_encodings ファイルを配布する」

label_encodings ファイルをデバッグする

「label_encodings ファイルをデバッグする」

格付け定義を変更する 

「格付けを追加または名前変更する」

デフォルト語句またはインバース語句を作成する 

「デフォルト語句およびインバース語句を指定する」

単一ラベルのファイルをカスタマイズする 

「単一ラベルのエンコーディングファイルを作成する」

ラベル名を指定する 

例 3–9

LOCAL DEFINITIONS セクションを追加する

「Sun の拡張機能をエンコーディングファイルに追加する」

特定ユーザーにラベルを表示しない 

『Solaris Trusted Extensions 管理の手順』の「ユーザーに対してラベルを非表示にする」

特定システムのすべてのユーザーにラベルを表示しない 

『Solaris Trusted Extensions 管理の手順』の「policy.conf のデフォルトを修正する」

Procedurelabel_encodings ファイルを作成する

サンプルファイルは、インストールしたシステムの /etc/security/tsol ディレクトリを参照してください。ファイルについては、「Solaris Trusted Extensions パッケージのラベルファイル」で説明しています。

始める前に

このファイルは、最初のシステムに Trusted Extensions をインストールする前に、作成できます。その最初のシステムでファイルをチェックします。Trusted Extensions をインストールする最初のシステムでこのファイルを作成することもできます。この手順は、2 番目のコンピュータに Trusted Extensions を設定する前に完了してください。

Trusted Extensions が設定されているシステムでは、大域ゾーンでセキュリティー管理者役割にならなければなりません。その他のシステムでは、任意のエディタでこのファイルを作成または編集できます。

  1. 元のファイルのバックアップコピーを作成します。

  2. 新しいファイルまたは既存のバージョンのファイルを開きます。

    • Trusted Extensions が設定されていないシステムでは、任意のエディタを使用してファイルを作成します。

    • Trusted Extensions が設定されているシステムでは、「エンコーディングの編集 (Edit Encodings)」アクションを使用してファイルを作成します。

      CDE のアプリケーションマネージャーの Trusted_Extensions フォルダには、エンコーディングファイル用の 2 つのアクションがあります。

      Edit Encodings (エンコーディングの編集)

      指定された label_encodings ファイルの構文を編集し、検査します。

      Check Encodings (エンコーディングの検査)

      指定された label_encodings ファイルの構文を検査します。

  3. ファイルを変更します。

    詳細は、「エンコーディングファイルを計画する」を参照してください。

  4. 「label_encodings ファイルを分析し、検証する」に進みます。

Procedurelabel_encodings ファイルを分析し、検証する

始める前に

大域ゾーンでセキュリティー管理者役割になります。

  1. ラベルの構文および関係を検査します。

    端末で chk_encodings -a コマンドを使用して、ラベルの関係を分析し、レポートします。


    $ chk_encodings -a encodings-file

  2. ファイルを検証します。

    「エンコーディングの検査 (Check Encodings)」アクションは、指定されたファイルに対して chk_encodings コマンドを実行します。

  3. エンコーディングファイルをテストします。

    できれば、サイトのすべてのシステム用にファイルを承認する前に、少数のシステムでファイルをテストしてください。

  4. マスターコピーを作成します。

    コピーの手順については、『Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions でファイルをポータブルメディアにコピーする方法」を参照してください。

  5. ファイルのコピーにラベルを付けて、安全な場所に保管します。

Procedurelabel_encodings ファイルを配布する

  1. マスターコピーを作成します。

    コピーの手順については、『Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions でファイルをポータブルメディアにコピーする方法」を参照してください。

  2. Trusted Extensions をシステムにインストールしたら、すぐにマスターファイルをそのシステムにコピーします。

    コピーの手順については、『Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions でポータブルメディアからファイルをコピーする方法」を参照してください。

Procedure格付けを追加または名前変更する

始める前に

大域ゾーンでセキュリティー管理者役割になります。

  1. label_encodings ファイルを編集します。

    「エンコーディングの編集 (Edit Encodings)」アクションを使用します。詳細は、「label_encodings ファイルを作成する」を参照してください。

  2. バージョン番号を指定します。

    VERSION= セクションにサイト名、ファイルのタイトル、バージョン番号、および日付を入力します。


    VERSION= Sun Microsystems, Inc. Example Version - 5.10 04/05/28

    Sun では、バージョン番号および日付に SCCS キーワードを使用します。詳細は、sccs(1) のマニュアルページを参照してください。


    VERSION= Sun Microsystems, Inc. Example Version - %I% %E%

  3. 格付けを指定します。

    CLASSIFICATIONS セクションに新しい格付けの長形式名、短形式名、および数値を入力します。


    name= NEW_CLASS; sname= N; value= 2;

  4. 新しい格付けを認可範囲に含めます。

    新しい格付けを ACCREDITATION RANGE セクションに追加します。

    次の例では、新しい 3 つの格付けが ACCREDITATION RANGE セクションに追加されています。それぞれの格付けに、all compartment combinations valid (すべてのコンパートメントの組み合わせが有効) が指定されています。


    ACCREDITATION RANGE:

classification= UNCLASSIFIED;        all compartment combinations valid;

* i is new in this file
classification= INTERNAL_USE_ONLY;   all compartment combinations valid;

* n is new in this file
classification= NEED_TO_KNOW;        all compartment combinations valid;

classification= CONFIDENTIAL;        all compartment combinations valid except:
c
c a
c b

classification= SECRET;               only valid compartment combinations:
. . .
* r is new in this file
classification= REGISTERED;           all compartment combinations valid;

  5. 必要であれば、ACCREDITATION RANGE セクションを調整します。

    新しい格付けを最下位格付けにすることが必要になる場合があります。


    minimum clearance= u; 
minimum sensitivity label= u; 
minimum protect as classification= u;
    注 –

    ユーザーへの割り当てを計画しているすべての認可上限のほうが優位となるよう、minimum clearance (最下位の認可上限) を設定する必要があります。同様に、ユーザーへの割り当てを計画しているすべての最下位ラベルのほうが優位となるよう、minimum sensitivity label (最下位の機密ラベル) を設定する必要があります。

  6. 変更を保存します。

Procedureデフォルト語句およびインバース語句を指定する

始める前に

大域ゾーンでセキュリティー管理者役割になります。

  1. label_encodings ファイルを編集します。

    「エンコーディングの編集 (Edit Encodings)」アクションを使用します。詳細は、「label_encodings ファイルを作成する」を参照してください。

  2. 初期コンパートメントを指定します。

    CLASSIFICATIONS セクションで、格付け定義の一部としてコンパートメントを指定します。


    CLASSIFICATIONS:
name= PUBLIC;  sname= P;  value= 1;
name= WEB COMPANY;  sname= WEBCO;  value= 2; initial compartments= 4-5 ;

  3. デフォルト語句を指定します。

    初期コンパートメントビットを語句に割り当てます。


    name= DIVISION ONLY;  sname= DO;  minclass=  IUO; compartments= 4-5;
name= WEBC AMERICA;  sname= WEBCA; minclass= IUO; compartments= 4;
name= WEBC WORLD;  sname= WEBCW; minclass= IUO; compartments= 5;

  4. インバース語句を指定します。

    初期コンパートメントの前にチルド (~) を付けることによって、インバース語句が作成されます。


    name= DIVISION ONLY;  sname= DO;  minclass=  IUO; compartments= 4-5;
name= WEBC AMERICA;  sname= WEBCA; minclass= IUO; compartments= ~4;
name= WEBC WORLD;  sname= WEBCW; minclass= IUO; compartments= ~5;

  5. 変更を保存します。

注意事項

以後の割り当てに予約されていないコンパートメントビットの場合、次のセクションのビットに語句を割り当てる必要があります。

Procedure単一ラベルのエンコーディングファイルを作成する

label_encodings ファイルには、次のような特定のラベルが常に必要です。

始める前に

大域ゾーンでセキュリティー管理者役割になります。

  1. エンコーディングファイルを編集します。

    「エンコーディングの編集 (Edit Encodings)」アクションを使用します。詳細は、「label_encodings ファイルを作成する」を参照してください。インストールした label_encodings ファイルとは異なる名前を指定します。

  2. 格付けが 1 つだけで、必要なコンパートメントだけのエンコーディングファイルを作成します。

    たとえば、INTERNAL_USE_ONLY 格付けのエンコーディングファイルを設定し、語句を指定しないことも可能です。


    VERSION= Single-Label Encodings

. . .
CLASSIFICATIONS:

name= INTERNAL_USE_ONLY;       sname= INTERNAL;  value= 5;

INFORMATION LABELS:

WORDS:

SENSITIVITY LABELS:

WORDS:

CLEARANCES:

WORDS:

CHANNELS:

WORDS:

PRINTER BANNERS:

WORDS:

  3. ACCREDITATION RANGE セクションに指定するのは、格付けは 1 つだけ、コンパートメントの有効な組み合わせも 1 つだけです。

    次の例は、INTERNAL 格付けをエンコーディングしています。


    ACCREDITATION RANGE:

classification= INTERNAL;
only valid compartment combinations:

INTERNAL

minimum clearance= INTERNAL;
minimum sensitivity label= INTERNAL;
minimum protect as classification= INTERNAL;

  4. LOCAL DEFINITIONS セクションをエンコーディングします。

    詳細は、第 5 章「LOCAL DEFINITIONS のカスタマイズ」を参照してください。

  5. ファイルの構文が正しいことを確認します。

  6. (省略可能) ラベルがユーザーに表示されないように設定します。

    手順は、『Solaris Trusted Extensions 管理の手順』の「ユーザーに対してラベルを非表示にする」を参照してください。

例 3–8 単一ラベルのエンコーディングファイルでの認可範囲の定義

次の例は、ACCREDITATION RANGE: セクションの設定を示します。単一の ANY_CLASS 格付けが定義されています。コンパートメント語句 A、B、および REL CNTRY 1 がすべての型のラベルに指定されます。


ACCREDITATION RANGE:

classification= ANY_CLASS;      only valid compartment combinations:

ANY_CLASS A B REL CNTRY1

minimum clearance= ANY_CLASS A B REL CNTRY1;
minimum sensitivity label= ANY_CLASS A B REL CNTRY1;
minimum protect as classification= ANY_CLASS;
例 3–9 単一ラベル名の変更

この例では、単一ラベルの会社を扱うように label_encodings.example ファイルが変更されます。name= 値が SECRET から INTERNAL_USE_ONLY に変更されています。sname= 値が s から INTERNAL に変更されています。value= および initial compartments= の定義は変更されていません。


CLASSIFICATIONS:
name= INTERNAL_USE_ONLY;  sname= INTERNAL;  value= 5; initial compartments= 4-5
190-239;

ACCREDITATION RANGE セクションで、格付けの短形式名が置き換えられます。また、最下位の定義が新しい sname に置き換えられます。


ACCREDITATION RANGE:

classification= INTERNAL;      only valid compartment combinations:

INTERNAL

minimum clearance= INTERNAL;
minimum sensitivity label= INTERNAL;
minimum protect as classification= INTERNAL;

ProcedureSun の拡張機能をエンコーディングファイルに追加する

始める前に

大域ゾーンでセキュリティー管理者役割になります。LOCAL DEFINITIONS セクションのないエンコーディングファイルが必要です。

  1. LOCAL DEFINITIONS セクションをファイルに追加します。

    Sun 提供の label_encodings ファイルのセクションを追加します。Sun 提供のファイルは /etc/security/tsol ディレクトリにあります。

  2. 拡張機能をサイトに合わせてカスタマイズします。

    詳細は、「Sun 拡張機能の変更 (作業マップ)」を参照してください。

Procedurelabel_encodings ファイルをデバッグする

始める前に

大域ゾーンでセキュリティー管理者役割になります。

  1. label_encodings ファイルを編集します。

    「エンコーディングの編集 (Edit Encodings)」アクションを使用します。詳細は、「label_encodings ファイルを作成する」を参照してください。

  2. INFORMATION LABELS: WORDS: セクションのエントリをチェックします。

    このエントリは、SENSITIVITY LABELS: WORDS: セクションのエントリと完全に一致する必要があります。

    ヒント –

    機密ラベル語句をエンコーディングし、その語句を INFORMATION LABELS セクションにコピーします。

  3. コンパートメントビットを持たない値 0 のラベルが、ユーザー認可範囲にないことをチェックします。

    この手順によって、ラベル ADMIN_HIGH と区別できないラベルがなくなります。

  4. 0 〜 239 のすべてのコンパートメントビットを持つ、値 255 のラベルが、ユーザー認可範囲にないことをチェックします。

    この手順によって、ラベル ADMIN_HIGH と区別できないラベルがなくなります。

  5. コンパートメントに 239 を超える値がないことをチェックします。

    この手順によって、すべてのラベルが確実に CIPSO ラベルにマッピングされます。

  6. 解決されないラベルに対しては、次のように実行してください。

    1. 新しいラベルを持つオブジェクトがある場合、低いシステムラベル ADMIN_LOW にリセットします。

    2. バックアップから、既知の使用可能な label_encodings ファイルを復元します。

    3. chk_encodings -a コマンドを使用して、不良なファイルのラベルに関する問題を分析します。