第 2 章 Trusted Extensions 管理ツール

この章では、Solaris Trusted Extensions で利用可能なツール、ツールの場所、およびツールが操作するデータベースを説明します。

• 「Trusted Extensions の管理ツール」

• 「Trusted CDE アクション」

• 「「デバイス割り当てマネージャー (Device Allocation Manager)」」

• 「Solaris 管理コンソールツール」

• 「Trusted Extensions のコマンド行ツール」

• 「Trusted Extensions での遠隔管理」

Trusted Extensions の管理ツール

Trusted Extensions が設定されたシステムの管理には、Solaris OS と同じ多数のツールを使用します。Trusted Extensions には、セキュリティーが強化されたツールも用意されています。管理ツールは、役割ワークスペースで役割だけが使用できます。

役割ワークスペース内で、信頼できるコマンド、アクション、アプリケーション、およびスクリプトにアクセスできます。次の表に、これらの管理ツールをまとめます。

表 2–1 Trusted Extensions 管理ツール

ツール	説明	詳細
/usr/sbin/txzonemgr	ゾーンの作成、インストール、初期化、および起動を行うためのメニューベースのウィザードを提供します。このスクリプトは、ゾーンを管理するTrusted CDE アクションに替わるものです。  また、このスクリプトはネットワークオプションやネームサービスオプションのメニュー項目、および大域ゾーンを既存の LDAP サーバーのクライアントにするためのメニュー項目も提供します。txzonemgr は zenity コマンドを使用します。	『Oracle Solaris Trusted Extensions 構成ガイド』の「ラベル付きゾーンの作成」を参照してください zenity(1) のマニュアルページも参照してください。
Trusted CDE のアプリケーションマネージャーフォルダにある、Trusted_Extensions フォルダのアクション	/etc/system などの Solaris 管理コンソールで管理されないローカルファイルを編集します。「ゾーンをインストール」などの一部のアクションは、スクリプトを実行します。	「Trusted CDE アクション」および「Trusted Extensions の CDE 管理アクションを起動する」を参照してください。
Trusted CDE のデバイス割り当てマネージャー Solaris Trusted Extensions (JDS) のデバイスマネージャー	デバイスのラベル範囲を管理し、デバイスの割り当てと割り当て解除を行います。	「「デバイス割り当てマネージャー (Device Allocation Manager)」」および「Trusted Extensions でのデバイスの扱い (作業マップ)」を参照してください。
Solaris 管理コンソール	ユーザー、役割、権利、ホスト、ゾーン、およびネットワークを構成します。このツールはローカルファイルまたは LDAP データベースを更新できます。  また、このツールでは旧バージョンの dtappsession アプリケーションも起動できます。	基本機能については、『System Administration Guide: Basic Administration』の第 2 章「Working With the Solaris Management Console (Tasks)」を参照してください。Trusted Extensions に固有の機能については、「Solaris 管理コンソールツール」を参照してください。
smuser や smtnzonecfg などの Solaris 管理コンソールコマンド	Solaris 管理コンソールのコマンド行インタフェースです。	リストについては、表 2–4 を参照してください。
ラベルビルダー	ユーザーツールです。プログラムでラベルの選択が必要とされる場合に表示されます。	例については、「Solaris 管理コンソールでユーザーのラベル範囲を修正する」を参照してください。
Trusted Extensions コマンド	Solaris 管理コンソールツールや CDE アクションでは処理できないタスクを実行します。	管理コマンドのリストについては、表 2–5 を参照してください。

txzonemgr スクリプト

Solaris 10 5/08 リリースから、txzonemgr スクリプトを使用してラベル付きゾーンが設定されるようになりました。この zenity(1) スクリプトでは、「Labeled Zone Manager」というタイトルのダイアログボックスが表示されます。この GUI の動的に決定されるメニューには、ラベル付きゾーンの現在の設定状態に対して有効な選択肢だけが表示されます。たとえば、ゾーンがすでにラベル付きであれば、「Label」メニュー項目は表示されません。

Trusted CDE アクション

次の表に、Trusted Extensions の役割が実行できる CDE アクションを示します。これらの Trusted CDE アクションは、Trusted_Extensions フォルダにあります。この Trusted_Extensions フォルダは、CDE デスクトップ上のアプリケーションマネージャーフォルダから使用できます。

表 2–2 Trusted CDE の管理アクション、用途、および関連する権利プロファイル

アクション名	用途	デフォルトの権利プロファイル
「割り当て可能なデバイスの追加」	デバイスデータベースにエントリを追加してデバイスを作成します。add_allocatable(1M) のマニュアルページを参照してください。	Device Security
「管理エディタ」	指定したファイルを編集します。「Trusted Extensions の管理ファイルを編集する」を参照してください。	Object Access Management
「監査クラス」	audit_class ファイルを編集します。audit_class(4) のマニュアルページを参照してください。	Audit Control
「監査制御」	audit_control ファイルを編集します。audit_control(4) のマニュアルページを参照してください。	Audit Control
「監査イベント」	audit_event ファイルを編集します。audit_event(4) のマニュアルページを参照してください。	Audit Control
「監査の開始」	audit_startup.sh スクリプトを編集します。audit_startup(1M) のマニュアルページを参照してください。	Audit Control
「エンコーディングの検査」	指定したエンコーディングファイルで chk_encodings コマンドを実行します。chk_encodings(1M) のマニュアルページを参照してください。	Object Label Management
「TN ファイルの検査」	tnrhdb、 tnrhtp、および tnzonecfg データベースで tnchkdb コマンドを実行します。tnchkdb(1M) のマニュアルページを参照してください。	Network Management
「選択構成の確認」	/usr/dt/config/sel_config ファイルを編集します。sel_config(4) のマニュアルページを参照してください。	Object Label Management
「LDAP クライアントを作成」	大域ゾーンを既存の LDAP ディレクトリサービスのクライアントにします。	Information Security
「エンコーディングの編集」アクション	指定した label_encodings ファイルを編集し、chk_encodings コマンドを実行します。chk_encodings(1M) のマニュアルページを参照してください。	Object Label Management
「ネーム・サービス・スイッチ」	nsswitch.conf ファイルを編集します。nsswitch.conf(4) のマニュアルページを参照してください。	Network Management
「DNS サーバの設定」	resolv.conf ファイルを編集します。resolv.conf(4) のマニュアルページを参照してください。	Network Management
「本日のメッセージの設定」	/etc/motd ファイルを編集します。ログイン時に、このファイルの内容が「最後のログイン」ダイアログボックスに表示されます。	Network Management
「デフォルトの経路の設定」	デフォルトの静的経路を指定します。	Network Management
「ファイルシステムの共有」	dfstab ファイルを編集します。share コマンドは実行しません。dfstab(4) のマニュアルページを参照してください。	File System Management

次のアクションは、初期設定チームがゾーンの作成中に使用します。これらのアクションの一部は、保守やトラブルシューティングの目的で使用することができます。

表 2–3 Trusted CDE のインストールアクション、用途、および関連する権利プロファイル

アクション名	用途	デフォルトの権利プロファイル
「ゾーンのクローンを作成」	既存のゾーンの ZFS スナップショットからラベル付きゾーンを作成します。	Zone Management
「ゾーンをコピー」	既存のゾーンからラベル付きゾーンを作成します。	Zone Management
「ゾーンを構成」	ラベルをゾーン名に関連付けます。	Zone Management
「LDAP 用ゾーンを初期化」	LDAP クライアントとして起動するようにゾーンを初期化します。	Zone Management
「ゾーンをインストール」	ラベル付きゾーンが必要とするシステムファイルをインストールします。	Zone Management
「ゾーンを再起動」	既に起動されているゾーンを再起動します。	Zone Management
「論理インターフェースを共有」	大域ゾーンの 1 つのインタフェースとラベル付きゾーンの独立したインタフェースを、共有するように設定します。	Network Management
「物理インタフェースを共有」	大域ゾーンとラベル付きゾーンで共有される 1 つのインタフェースを設定します。	Network Management
「ゾーンをシャットダウン」	インストールされたゾーンをシャットダウンします。	Zone Management
「ゾーンを起動」	インストールされたゾーンを起動し、このゾーンのサービスを開始します。	Zone Management
「ゾーン端末コンソール」	インストールされたゾーンのプロセスを表示するためにコンソールを開きます。	Zone Management

「デバイス割り当てマネージャー (Device Allocation Manager)」

「デバイス」は、コンピュータに接続された物理的な周辺装置、または「疑似デバイス」と呼ばれるソフトウェアでシミュレートされたデバイスのいずれかです。デバイスはシステムにデータをインポートおよびエクスポートする手段を提供するため、データが適切に保護されるように制御する必要があります。Trusted Extensions は、デバイス割り当てとデバイスのラベル範囲を使用して、デバイスを通過するデータを制御します。

ラベル範囲を持つデバイスの例として、フレームバッファー、テープドライブ、フロッピーディスクドライブ、CD-ROM ドライブ、プリンタ、USB デバイスなどがあります。

ユーザーはデバイス割り当てマネージャーを使用してデバイスを割り当てます。デバイス割り当てマネージャーはデバイスをマウントし、クリーンスクリプトを実行してデバイスを準備し、割り当てを実行します。終了すると、ユーザーは デバイス割り当てマネージャーを使用してデバイスを割り当て解除します。別のクリーンスクリプトが実行され、デバイスのマウント解除と割り当て解除が実行されます。

図 2–1 Trusted CDE のデバイス割り当てマネージャーアイコン

デバイス割り当てマネージャーの「デバイス管理」ツールを使用してデバイスを管理できます。一般ユーザーは「デバイス管理」ツールにアクセスできません。

---

注 –

Solaris Trusted Extensions (JDS) では、この GUI はデバイスマネージャーという名前になり、「デバイス管理」ボタンは管理という名前になります。

---

図 2–2 デバイス割り当てマネージャー GUI

Trusted Extensions でのデバイス保護については、第 17 章Trusted Extensions でのデバイス管理 (手順)を参照してください。

Solaris 管理コンソールツール

Solaris 管理コンソールから、GUI ベースの管理ツールのツールボックスにアクセスできます。これらのツールを使用して、さまざまな構成データベースの項目を編集できます。Trusted Extensions では、Solaris 管理コンソールはユーザー、役割、およびトラステッドネットワークデータベースの管理インタフェースになります。

Trusted Extensions は Solaris 管理コンソールを拡張します。

• Trusted Extensions は、&SMC の Users ツールセットを変更します。ツールセットの概要については、『System Administration Guide: Basic Administration』の第 2 章「Working With the Solaris Management Console (Tasks)」を参照してください。

• Trusted Extensions は、「コンピュータとネットワーク」ツールセットに「セキュリティーテンプレート」ツールと「トラステッドネットワークゾーン」ツールを追加します。

Solaris 管理コンソールツールはスコープとセキュリティーポリシーに従って「ツールボックス」にまとめられます。Trusted Extensions を管理するために、Trusted Extensions には Policy=TSOL のツールボックスが用意されています。ツールには、有効範囲、つまりネームサービスに従ってアクセスできます。利用可能な有効範囲は、ローカルホストと LDAP です。

次の図に Solaris 管理コンソールを示します。Scope=Files の Trusted Extensions ツールボックスがロードされ、Users ツールセットが開かれています。

図 2–3 Solaris 管理コンソールの一般的な Trusted Extensions ツールボックス

Solaris 管理コンソールの Trusted Extensions ツール

Trusted Extensions は、次の 3 つのツールに構成可能なセキュリティー属性を追加します。

• 「ユーザーアカウント」ツール – ユーザーのラベルの変更、ユーザーに対するラベル表示の変更、およびアカウントの使用の制御のための管理インタフェースです。

• 「管理役割」ツール – 役割のラベル範囲とアイドル時の画面ロックの動作を変更するための管理インタフェースです。

• 「権利」ツール – 権利プロファイルに割り当てることができる CDE アクションが含まれます。これらのアクションに、セキュリティー属性を割り当てることができます。

Trusted Extensions は、「コンピュータとネットワーク」ツールセットに次の 2 つのツールを追加します。

• 「セキュリティーテンプレート」ツール – ホストとネットワークのラベルを管理するための管理インタフェースです。このツールは tnrhtp および tnrhdb データベースを修正し、構文の正確さを強制します。また、これらの変更を使用してカーネルを更新します。

• 「トラステッドネットワークゾーン」ツール – ゾーンのラベルを管理するための管理インタフェースです。このツールは tnzonecfg データベースを修正し、構文の正確さを強制します。また、これらの変更を使用してカーネルを更新します。

図 2–4 では、「ファイル」ツールボックスの「ユーザー」ツールセットが強調表示されています。Trusted Extensions ツールは「コンピュータとネットワーク」ツールセットの下に表示されます。

図 2–4 Solaris 管理コンソールの「コンピュータとネットワーク」ツールセット

「セキュリティーテンプレート」ツール

「セキュリティーテンプレート」は、ホストのグループに割り当てることができる一連のセキュリティー属性について説明します。「セキュリティーテンプレート」ツールを使用すると、特定の組み合わせのセキュリティー属性をホストのグループに簡単に割り当てることができます。これらの属性は、データをパッケージ、転送、および解釈する方法を制御します。1 つのテンプレートに割り当てられたホストは、いずれもセキュリティー設定が同じです。

ホストは「コンピュータ」ツールで定義されます。ホストのセキュリティー属性は「セキュリティーテンプレート」ツールで割り当てます。「テンプレートの変更」ダイアログボックスには、次の 2 つのタブがあります。

• 「一般」タブ – テンプレートを設定します。テンプレートの名前、ホストの種類、デフォルトのラベル、解釈のドメイン (DOI)、認可範囲、および不連続の機密ラベルのセットを設定します。

• 「テンプレートに割り当てるホスト」タブ – このテンプレートに割り当てたネットワーク上のすべてのホストが表示されます。

トラステッドネットワークとセキュリティーテンプレートについては、第 12 章トラステッドネットワーク (概要)で詳しく説明します。

「トラステッドネットワークゾーン」ツール

「トラステッドネットワークゾーン」ツールは、システムのゾーンを識別します。最初は、大域ゾーンが表示されています。ゾーンとそのラベルを追加すると、区画にゾーン名が表示されます。ゾーンの作成は、一般的にシステムの構成中に行います。ラベルの割り当て、マルチレベルポートの構成、およびラベルポリシーは、このツールで構成します。詳細については、第 10 章Trusted Extensions でのゾーンの管理 (手順)を参照してください。

Solaris 管理コンソール を使用したクライアントサーバー通信

一般に、Solaris 管理コンソール クライアントはシステムを遠隔で管理します。ネームサービスとして LDAP を使用しているネットワークでは、Solaris 管理コンソール クライアントは LDAP サーバー上で動作する Solaris 管理コンソール サーバーに接続します。この構成を示したのが次の図です。

図 2–5 LDAP サーバーを使用してネットワークを管理する Solaris 管理コンソール クライアント

図 2–6 は、LDAP サーバーが構成されていないネットワークを示します。管理者は、Solaris 管理コンソール サーバーを使用して各遠隔システムを設定しました。

図 2–6 ネットワーク上の個々の遠隔システムを管理する Solaris 管理コンソール クライアント

Solaris 管理コンソールのマニュアル

Solaris 管理コンソールの主要なマニュアルは、オンラインヘルプで用意されています。現在選択している機能にコンテキストヘルプが関連付けられ、情報区画に表示されます。拡張ヘルプトピックは、「ヘルプ」メニューから、またはコンテキストヘルプのリンクをクリックして使用できます。詳細については、『System Administration Guide: Basic Administration』の第 2 章「Working With the Solaris Management Console (Tasks)」を参照してください。また、『System Administration Guide: Basic Administration』の「Using the Solaris Management Tools With RBAC (Task Map)」も参照してください。

Trusted Extensions のラベルビルダー

ラベルビルダー GUI では、プログラムでラベルの割り当てが必要とされるときに有効なラベルまた認可上限を選択します。たとえば、ラベルビルダーはログイン時に表示されます (『Oracle Solaris Trusted Extensions ユーザーズガイド』の第 2 章「Trusted Extensions へのログイン (手順)」を参照)。ラベルビルダーは、ワークスペースのラベルの変更時、または Solaris 管理コンソールのユーザー、ゾーン、またはネットワークインタフェースにラベルを割り当てるときにも表示されます。新しいデバイスにラベル範囲を割り当てるときには、次のラベルビルダーが表示されます。

ラベルビルダーでは、「Classification」列の コンポーネント名 label_encodings ファイルの CLASSIFICATIONS セクションに対応します。「Sensitivity」列のコンポーネント名はlabel_encodings ファイルの WORDS セクションに対応します。

Trusted Extensions のコマンド行ツール

Trusted Extensions に固有なコマンドは、『Solaris Trusted Extensions リファレンスマニュアル』で説明しています。Trusted Extensions で Solaris のコマンドが修正されている場合、修正されたコマンドは 『Solaris リファレンスマニュアル』で説明されています。man コマンドでは、すべてのコマンドのマニュアルページを表示できます。

次の表に、Trusted Extensions に固有なコマンドを示します。コマンドはマニュアルページの形式で示しています。

表 2–4 Trusted Extensions のユーザーコマンドおよび管理コマンド

マニュアルページ	Trusted Extensions による修正	詳細
add_allocatable(1M)	デバイスをデバイス割り当てデータベースに追加することで、デバイスを割り当て可能にします。デフォルトでは、リムーバブルデバイスを割り当て可能です。	「Trusted Extensions でデバイスを構成する」
atohexlabel(1M)	ラベルを 16 進形式に変換します。	「ラベルの 16 進値を求める」
chk_encodings(1M)	label_encodings ファイルの整合性を確認します。	『Solaris Trusted Extensions ラベルの管理』の「label_encodings ファイルをデバッグする」
dtappsession(1)	アプリケーションマネージャーを使用して、遠隔 Trusted CDE セッションを開きます。	第 8 章Trusted Extensions での遠隔管理 (手順)
getlabel(1)	選択したファイルまたはディレクトリのラベルを表示します。	「マウントされたファイルのラベルを表示する」
getzonepath(1)	指定したゾーンのフルパス名を表示します。	『Solaris Trusted Extensions 開発ガイド』の「機密ラベルの取得」
hextoalabel(1M)	16 進形式のラベルを人が読める形式に変換します。	「可読のラベルを 16 進形式から取得する」
plabel(1)	現在のプロセスのラベルを表示します。	マニュアルページを参照してください。
remove_allocatable(1M)	デバイス割り当てデータベースからエントリを削除して、デバイスの割り当てを防ぎます。	「Trusted Extensions でデバイスを構成する」
setlabel(1)	選択した項目にラベルを付け直します。solaris.label.file.downgrade 承認または solaris.label.file.upgrade 承認が必要です。これらの承認は、Object Label Management 権利プロファイルにあります。	同等の GUI の手順については、『Oracle Solaris Trusted Extensions ユーザーズガイド』の「Trusted CDE でラベル間でファイルを移動する」を参照してください。
smtnrhdb(1M)	tnrhdb データベースのエントリを、ローカルまたはネームサービスデータベースで管理します。	Solaris 管理コンソールを使用する同等の手順については、「トラステッドネットワークデータベースの構成 (作業マップ)」を参照してください。
smtnrhtp(1M)	tnrhtp データベースのエントリを、ローカルまたはネームサービスデータベースで管理します。	マニュアルページを参照してください。
smtnzonecfg(1M)	ローカル tnzonecfg データベースのエントリを管理します。	Solaris 管理コンソールを使用する同等の手順については、「ゾーンにマルチレベルポートを作成する」を参照してください。
tnchkdb(1M)	tnrhdb データベースと tnrhtp データベースの整合性を確認します。	「トラステッドネットワークデータベースの構文をチェックする」
tnctl(1M)	カーネルのネットワーク情報をキャッシュします。	「カーネルキャッシュとトラステッドネットワークデータベースを同期する」
tnd(1M)	トラステッドネットワークデーモンを実行します。	「カーネルキャッシュとトラステッドネットワークデータベースを同期する」
tninfo(1M)	カーネルレベルのネットワーク情報と統計を表示します。	「トラステッドネットワークデータベース情報とカーネルキャッシュを比較する」
updatehome(1M)	現在のラベルの .copy_files と .link_files を更新します。	「Trusted Extensions のユーザーの起動ファイルを構成する」

次の表に、Trusted Extensions で修正または拡張された Solaris コマンドを示します。コマンドはマニュアルページの形式で示しています。

表 2–5 Trusted Extensions で修正されたユーザーコマンドと管理コマンド

マニュアルページ	コマンドの用途	詳細
allocate(1)	割り当てたデバイスをクリーンアップするオプション、およびデバイスを特定のゾーンに割り当てるオプションを追加します。Trusted Extensions では、一般ユーザーはこのコマンドを使用しません。	『Oracle Solaris Trusted Extensions ユーザーズガイド』の「Trusted Extensions でデバイスを割り当てる」
deallocate(1)	デバイスをクリーンアップするオプション、および特定のゾーンからデバイスの割り当てを解除するオプションを追加します。Trusted Extensions では、一般ユーザーはこのコマンドを使用しません。	『Oracle Solaris Trusted Extensions ユーザーズガイド』の「Trusted Extensions でデバイスを割り当てる」
list_devices(1)	承認やラベルなどの、デバイス属性を表示する -a オプションを追加します。割り当てられたデバイスタイプのデフォルト属性を表示する -d オプションを追加します。ラベル付きゾーンに割り当て可能なデバイスを表示する -z オプションを追加します。	マニュアルページを参照してください。
tar(1)	ラベル付きのファイルとディレクトリをアーカイブおよび抽出するための -T オプションを追加します。	「Trusted Extensions でファイルをバックアップする」 and 「Trusted Extensions でファイルを復元する」
auditconfig(1M)	windata_down および windata_up 監査ポリシーオプションを追加します。	『System Administration Guide: Security Services』の「How to Configure Audit Policy」
auditreduce(1M)	ラベルごとに監査レコードを選択するための -l オプションを追加します。	『System Administration Guide: Security Services』の「How to Select Audit Events From the Audit Trail」
automount(1M)	ゾーン名と上位ラベルからのゾーンの表示に対応するよう、auto_home マップの名前と内容を変更します。	「Trusted Extensions のオートマウンタに対する変更」
ifconfig(1M)	インタフェースをシステムのすべてのゾーンで利用できるようにする all-zones オプションを追加します。	「ホストのインタフェースが稼働していることを確認する」
netstat(1M)	ソケットと経路指定テーブルエントリの拡張されたセキュリティー属性を表示する -R オプションを追加します。	「Trusted Extensions ネットワークをデバッグする」
route(1M)	-secattr オプションを追加します。このオプションは、送信経路のセキュリティー属性 cipso、doi、max_sl、および min_sl を表示します。	「セキュリティー属性を使用して経路を構成する」

Trusted Extensions での遠隔管理

ssh コマンド、dtappsession プログラム、または Solaris 管理コンソールを使用すると、Trusted Extensions が設定されたシステムを遠隔で管理できます。サイトのセキュリティーポリシーで許可されている場合は、Trusted Extensions 以外のホストからログインできるように Trusted Extensions ホストを構成できます。ただし、この構成では安全性が低下します。詳細は、第 8 章Trusted Extensions での遠隔管理 (手順)を参照してください。