Solaris Trusted Extensions リファレンスマニュアル

ファイル形式

label_encodings(4)

名前 | 形式 | インタフェースレベル | 機能説明 | 拡張機能説明 | 使用例 | 属性 | ファイル | 診断 | 関連項目 | 警告 | 注意事項

名前

label_encodings – ラベルエンコーディングファイル

形式

/etc/security/tsol/label_encodings

インタフェースレベル

このファイルは、米国国防情報局 (DIA) の必須アクセス制御 (MAC) ポリシーの一部です。このファイルは、Solaris Trusted Extensions ソフトウェアの将来のリリース向けに作成されるその他の必須ポリシーには適用されない可能性があります。

label_encodings ファイルの一部は標準と見なされており、米国国防情報局 (DIA) ドキュメント DDS-2600-6216-93、『コンパートメントモードワークステーションのラベル作成: エンコード形式』(1993 年 9 月) の制御下にあります。この標準の中で INFORMATION LABELS: および NAME INFORMATION LABELS: のセクションに言及した箇所は、廃止または互換性がなくなる可能性があります。ただし、INFORMATION LABELS: セクションは存在する必要があり、かつ構文的にも正しいものである必要があります。これは、無視されます。NAME INFORMATION LABELS: セクションの使用は、任意です。存在する場合、これは無視されますが、構文的に正しいものである必要があります。

オプションの LOCAL DEFINITIONS: セクション内の、次に示す値は旧式です。これらの値は、旧式の bltos(3TSOL) 関数にのみ有効である場合があるため、label_to_str(3TSOL)置換関数には認識されない可能性があります。

ADMIN LOW NAME=

ADMIN HIGH NAME=

DEFAULT LABEL VIEW IS EXTERNAL

DEFAULT LABEL VIEW IS INTERNAL

DEFAULT FLAGS=

FORCED FLAGS=

CLASSIFICATION NAME=

COMPARTMENTS NAME=

機能説明

label_encodings ファイルは、人間が読み取り可能なラベルから内部形式への変換、内部形式から人間が読み取り可能な正規形式への変換、および印刷出力用バナーページの作成に使用されるセキュリティーラベルの標準エンコーディングファイルです。Solaris Trusted Extensions システムでは、label_encodings ファイルは、ラベル admin_high で保護されています。セキュリティー管理者は、アプリケーションマネージャーの「システム管理」フォルダ内にある「エンコーディングの検査」操作を使って、このファイルを編集および検査するようにしてください。

拡張機能説明

Solaris Trusted Extensions システムでは、『コンパートメントモードワークステーションのラベル作成: エンコード形式』に記載されているラベルエンコーディングファイルの必須セクションに加えて、オプションのローカル拡張機能も使用できます。これらの拡張機能は、文字コード形式のカラー名と機密ラベル間のさまざまな変換オプションおよび関連付けを提供します。これらの拡張機能は、文字コード形式のカラー名と機密ラベル間のさまざまな変換オプションおよび関連付けを提供します。

オプションのローカル拡張機能セクションは、LOCAL DEFINITIONS: キーワードで始まり、次に示す順序付けのない文がゼロ個以上続きます。

DEFAULT USER SENSITIVITY LABEL= sensitivity label: 管理データベース内にユーザーに関する定義が存在しない場合、このオプションで指定された機密ラベルが、ユーザーの最下位機密ラベルとして使用されます。デフォルト値は、ラベルエンコーディングファイルの ACCREDITATION RANGE: セクション内の MINIMUM SENSITIVITY LABEL= 値です。
DEFAULT USER CLEARANCE= clearance: 管理データベース内にユーザーに関する定義が存在しない場合、このオプションで指定された認可上限が、ユーザーの認可上限として使用されます。デフォルト値は、ラベルエンコーディングファイルの ACCREDITATION RANGE: セクション内の MINIMUM CLEARANCE= 値です。

LOCAL DEFINITIONS: セクションの最終部分では、さまざまな語句、機密ラベル、または格付けに関連付けられる文字コード形式のカラー名が定義されます。このセクションでは、str_to_label(3TSOL) 関数がサポートされます。これには、COLOR NAMES: キーワードと、それに続いて色からラベルへの割り当てがゼロ個以上含まれます。各文は、次に示す 2 つの構文のいずれかが含まれます。

word= word value; color= color value;

label= label value; color= color value;

color value は、語句 word value、機密ラベル label value、または格付け label value と関連付けられる文字コード形式のカラー名です。

ラベルの文字コード形式のカラー名 color value は、ラベルを構成する COLOR NAMES: セクション内のエントリの順序により決定されます。ラベルに、このセクションで指定されている語句 word value が含まれる場合、ラベルの color value は、指定された最初の word value に関連付けられた値になります。指定された語句 word value がラベルに含まれない場合、color value は、label value と正確に一致する値に関連付けられた値になります。正確に一致するものがない場合、color value は、ラベルの格付けと一致する格付けを持つ、最初に指定された label value に関連付けられた値になります。

使用例

例 1 LOCAL DEFINITIONS: セクションの例

LOCAL DEFINITIONS:
     
DEFAULT USER SENSITIVITY LABEL= C A;
DEFAULT USER CLEARANCE LABEL= S ABLE;

COLOR NAMES:

label= Admin_Low;    color= Pale Blue;
label= unclassified; color= light grey;
word= Project A;     color= bright blue;
label= c;            color= sea foam green;
label= secret;       color= #ff0000;       * Hexadecimal RGB value
word= Hotel;         color= Lavender;
word= KeLO;          color= red;
label= TS;           color= khaki;
label= TS Elephant;  color= yellow;
label= Admin_High;   color= shocking pink;

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsr
安定性レベル	混在。前述の「`インタフェースレベル`」を参照。

ファイル

/etc/security/tsol/label_encodings: ラベルエンコーディングファイルには、このシステムの定義済みラベルに対する格付け名、語句、制約、および値が含まれます。これは、ラベル admin_high で保護されています。

診断

次に示す診断メッセージは、『コンパートメントモードワークステーションのラベル作成: エンコード形式』の「付録 A」に記載された診断メッセージへの追加情報です。

Can't allocate NNN bytes for color names table.: システムは、COLOR NAMES: セクションの処理に必要なメモリーを動的に割り当てることができません。
Can't allocate NNN bytes for color table entry.: システムは、Color Table エントリの処理に必要なメモリーを動的に割り当てることができません。
Can't allocate NNN bytes for color word entry.: システムは、Color Word エントリの処理に必要なメモリーを動的に割り当てることができません。
Can't allocate NNN bytes for DEFAULT USER CLEARANCE.: システムは、DEFAULT USER CLEARANCE の処理に必要なメモリーを動的に割り当てることができません。
Can't allocate NNN bytes for DEFAULT USER SENSITIVITY LABEL.: システムは、DEFAULT USER SENSITIVITY LABEL の処理に必要なメモリーを動的に割り当てることができません。
DEFAULT USER CLEARANCE= XXX is not in canonical form. Is YYY what is intended?: このエラーは、指定された認可上限が理解されてはいるが、正規の形式ではない場合に発生します。この追加の正規化チェックにより、認可上限の指定でエラーが生成されないことが保証されます。
DEFAULT USER SENSITIVITY LABEL= XXX is not in canonical form. Is YYY what is intended?: このエラーは、指定された機密ラベルが理解されてはいるが、正規の形式ではない場合に発生します。この追加の正規化チェックにより、機密ラベルの指定でエラーが生成されないことが保証されます。
Duplicate DEFAULT USER CLEARANCE= ignored.: 複数の DEFAULT USER CLEARANCE= オプションが検出されました。最初のオプション以外は、すべて無視されます。
Duplicate DEFAULT USER SENSITIVITY LABEL= ignored.: 複数の DEFAULT USER SENSITIVITY LABEL= オプションが検出されました。最初のオプション以外は、すべて無視されます。
End of File not found where expected. Found instead: XXX.: ラベルエンコーディングファイルの終端が期待される位置に、表記の無関係なテキストが検出されました。
End of File or LOCAL DEFINITIONS: not found. Found instead: XXX.: LOCAL DEFINITIONS: セクションまたはラベルエンコーディングファイルの終端が期待される位置に、表記の無関係なテキストが検出されました。
Found color XXX without associated label.: カラー XXX が検出されましたが、これに関連付けられたラベルや語句が存在しません。
Invalid color label XXX.: ラベル XXX を構文解析できません。
Invalid DEFAULT USER CLEARANCE XXX.: DEFAULT USER CLEARANCE XXX を構文解析できません。
Invalid DEFAULT USER SENSITIVITY LABEL XXX.: DEFAULT USER SENSITIVITY LABEL XXX を構文解析できません。
Label preceding XXX did not have a color specification.: ラベルまたは語句が検出されましたが、一致するカラー名が存在しません。
Word XXX not found as a valid Sensitivity Label word.: 語句 XXX は、機密ラベル用の有効な語句として検出されませんでした。

警告

ラベルエンコーディングファイルの作成および変更は、『コンパートメントモードワークステーションのラベル作成: エンコード形式』の概念だけではなく、ローカルのラベル付け要件の詳細も完全に理解している場合にのみ行うようにしてください。

次の警告が、『コンパートメントモードワークステーションのラベル作成: エンコード形式』から表現を変えて表示されます。

Solaris Trusted Extensions システムにロードして実行しているラベルエンコーディングファイルを変更する場合には、特別に注意を払ってください。ラベルエンコーディングファイルを使ってシステムが実行されると、多数のオブジェクトが、ロードされたラベルエンコーディングファイルに合わせて適切に形成された機密ラベルを使ってラベル付けされます。そのあとでラベルエンコーディングファイルが変更されると、既存のラベルが適正なものでなくなってしまう可能性があります。語句に関連付けられたビットパターンを変更すると、その語句を含むラベルを持つ既存のオブジェクトが無効なラベルを持つことになる可能性があります。その語句に関連付けられた最下位の格付けを引き上げるか、最上位の格付けを引き下げると、その語句を含むラベルを持つ既存のオブジェクトが適正でなくなる可能性があります。

すでに使用されている現在のエンコーディングファイルへの変更は、新たな格付けや語句の追加、既存の語句の名前変更、ローカル拡張機能の変更だけに限定するようにしてください。『コンパートメントモードワークステーションのラベル作成: エンコード形式』に説明されているように、ラベルエンコーディングファイルの初回作成時に、あとでラベルエンコーディングファイルを拡張して新しい反転語句を組み込むことができるように、余分の反転ビットを予約しておくことは重要です。追加された反転語句が予約された反転ビットを使用しない場合、システムの既存のオブジェクトはすべて、新規反転語句を含むラベルを誤って保持するようになります。

注意事項

このファイルは、DIA MAC ポリシーに対してのみ有効です。このファイルの一部は旧式であり、移植を容易にする目的で維持されています。旧式の部分は、将来の Solaris Trusted Extensions リリースで削除される可能性があります。

ラベルエンコーディングファイルを定義するには、次の 3 つの手順を実行します。最初に、表示される人間が読み取り可能なラベルセットが識別および理解される必要があります。このセットの定義には、人間が読み取り可能なラベルで使用される格付けおよびその他の語句、語句間の関係、各語句の使用に関連付けられた格付け制限、および必須アクセス制御とラベル付けシステム出力内の語句の意図された使用方法を示すリストが含まれます。次に、この定義は、整数、ビットパターン、および論理関係文の内部形式と関連付けられます。最後に、ラベルエンコーディングファイルが作成されます。『コンパートメントモードワークステーションのラベル作成: エンコード形式』ドキュメントでは、最初の手順は実行済みと想定して、2 番目と 3 番目の手順が記述されています。

SunOS 5.10 最終更新日 2006 年 5 月 31 日

名前 | 形式 | インタフェースレベル | 機能説明 | 拡張機能説明 | 使用例 | 属性 | ファイル | 診断 | 関連項目 | 警告 | 注意事項

sel_config(4)

名前 | 形式 | 機能説明 | 属性 | 関連項目

名前

sel_config – コピー、カット、ペースト、およびドラッグ＆ドロップ操作時の選択規則

形式

/usr/dt/config/sel_config

機能説明

sel_config ファイルは、ユーザーがラベルの異なるウィンドウ間でデータ転送を行う際の、Trusted Extensions を使って設定されたシステムの動作を指定します。転送操作には、カット＆ペースト、コピー＆ペースト、およびドラッグ＆ドロップが含まれます。このファイルには、自動確認と自動応答という 2 つのエントリが含まれます。

自動確認

このタイプのエントリでは、確認ウィンドウ (選択確認) を表示するかどうかを指定します。各エントリの形式は、次のようになります。

relationship: confirmation

relationship は、選択したデータの転送元および転送先ウィンドウのラベルを比較した結果を示します。次の 3 つの値を指定できます。

upgradesl: 転送元ウィンドウのラベルは、転送先ウィンドウのラベルより小さいことを示します。
downgradesl: 転送元ウィンドウのラベルが、転送先ウィンドウのラベルより大きいことを示します。
disjointsl: 転送元ウィンドウのラベルと転送先ウィンドウのラベルが無関係であることを示します。一方のラベルが他方より優位であるということはありません。

confirmation は、自動確認を実行するかどうかを指定します。次に指定できる値を示します。

n: 手動確認を使用します。選択確認ウィンドウが表示されます。これはデフォルトです。
y: 自動確認を使用します。選択確認ウィンドウは表示されません。

自動応答

ユーザーが 1 つの操作を実行すると、転送元ウィンドウと転送先ウィンドウ間で複数の情報フローが実行されます。自動応答のエントリセットを設定することにより、ユーザーに求められる確認の数を減らすことができます。

次の形式のエントリが 1 つ存在する必要があります。

autoreply: value

value が y (yes の略) の場合、セットの残りのエントリが選択データの属性 (実際の内容ではなく) として使用され、確認を求めずに操作が完了します。value が n (no の略) の場合、残りのエントリは無視されます。

コンファーマウィンドウに表示されるすべての type フィールドで、デフォルトを指定できます。次に、デフォルトのエントリ例を示します。

replytype: TARGETS
replytype: Pixel Sets
replytype: LENGTH
replytype: Type Of Monitor

TARGETS エントリを使用すると、転送元ウィンドウでサポートされるターゲットアトムのリストが返されます。ドラッグ＆ドロップ操作時のアニメーションに、Pixel Sets および Type Of Monitor エントリが使用されます。LENGTH エントリは、選択内のバイト数を指定します。

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsu

tnrhdb(4)

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告 | 注意事項

名前

tnrhdb – トラステッドネットワーク遠隔ホストデータベース

形式

/etc/security/tsol/tnrhdb

機能説明

tnrhdb データベースは、分散システム内の各ホスト (ローカルホストを含む) で使用する遠隔ホストテンプレートを指定します。tnrhdb は tnrhtp(4) データベースと協調動作するため、管理者は各ホストのセキュリティーおよびネットワーク認可属性を確立できます。ホストの IP アドレスを tnrhdb データベース内のエントリと一致させることができない場合、そのホストとの通信は許可されません。

トラステッドネットワークソフトウェアは、ネットワークの「一致するビットの最長接頭辞」機構を使用してホストの tnrhdb エントリを検索します。このソフトウェアは、最初にホスト固有のエントリを検索します。一致するエントリを検出できない場合、このソフトウェアは、一致するビットパターンのもっとも長い接頭辞を持つエントリから検索を開始します。

注 –

この機構では、システムのサブネットアドレスの実際の数値またはその他のサブネット情報 (netmasks(4) ファイルから取得可能な情報など) は考慮されません。

IPv4 ワイルドカードエントリ (IPv4 アドレス 0.0.0.0) は、「一致するビットの最長接頭辞」機構を使用して 0 の接頭辞長を持つため、任意の IPv4 アドレスに一致させることが可能です。

tnrhdb 内の各エントリ行は次の形式になります。IP-address:template。

IP-address

このフィールドは、tnrhtp(4) データベースで定義された template により指定されたセキュリティープロパティーを持つホストまたはネットワークの IP アドレスです。

エントリは、10.100.100.201 や fe80\:\:9\:20ff\:fea0\:21f7 の形式のホストアドレスにできます。または、IPv4 または IPv6 サブネットアドレスをエントリにすることもできます。

IPv4 サブネットのエントリは、明示的な接頭辞長を持つサブネットアドレス形式 (10.100.128.0/17)、または接頭辞長を示すゼロオクテットを末尾に持つサブネットアドレス形式 (10.100.0.0) にできます。

IPv6 サブネットエントリは、接頭辞長を持つサブネットアドレス形式 (fe80\:\:/10) にできます。tnrhdb エントリ内でのバックスラッシュの使用方法については、「注意事項」を参照してください。

示された接頭辞長形式を使って IPv4 サブネットエントリを指定する場合、末尾のゼロオクテットが 4、3、2、または 1 であれば、実際の接頭辞長はそれぞれ値 0、8、16、または 24 になります。末尾のオクテットにゼロ以外の値を持つエントリは、ホストアドレスとして解釈され、接頭辞長が 32 であることを意味します。IPv4 エントリの例については、「使用例」を参照してください。

template

この値は、tnrhtp データベース内の有効なテンプレート名である必要があります。セキュリティー属性の詳細は、tnrhtp(4) を参照してください。

複数の IP アドレスで、1 つのテンプレートを使用可能です。ネットワークが稼働中にこのデータベースが変更された場合、tnctl(1M) を使って遠隔ホストエントリを更新するまで、変更は有効になりません。管理者は、ネットワークの稼働中に新規エントリの追加および既存エントリの変更を行えます。template フィールドに、空白文字を含めることはできません。

tnrhdb データベースを変更するたびに、管理者は tnchkdb(1M) を実行して構文を検査するようにしてください。ネットワークの稼働中にこのデータベースが変更された場合、tnctl(1M) によりカーネルが更新されるまで、変更は有効になりません。

使用例

例 1 IPv4 エントリの例

IPv4 Entry      Host Address    Implied Prefix
                or Wildcard?    Length
==============  ==============  ==============
0.0.0.0         Wildcard        0
10.0.0.0        Wildcard        8
10.100.0.0      Wildcard        16
10.0.100.0      Wildcard        24
10.0.100.100    Host Address    32

例 2 tnrhdb ファイルの例

次の例で使用するテンプレートは、tnrhtp 内で定義されたあとで、tnrhdb ファイル内で使用されます。この例では、テンプレート cipso を使用するホスト、テンプレート public を使用するホスト、およびテンプレート needtoknow を使用するホストを示します。2 つのサブネットが存在します。一方のサブネットではテンプレート internal を使用し、他方のサブネットではテンプレート secret を使用します。ほかのすべてのホストは、IPv4 ホストおよび IPv6 ホスト用のワイルドカードエントリで指定されたテンプレート default-template を使用します。

 #
 # Assume that templates default-template, cipso, public,
 # internal, needtoknow, and secret are defined in the
 # tnrhtp database.
 #
 # the first two entries are addresses of the IPv4 and
 # IPv6 loopback interfaces
   127.0.0.1:cipso
   \:\:1:cipso
   10.0.0.1:cipso
   192.168.120.6:public
   192.168.120.0:internal
   192.168.120.7:needtoknow
   192.168.121.0:secret
   0.0.0.0:default-template
   0\:\:0/0:default-template
   fe80\:\:a00\:20ff\:fea0\:21f7:cipso

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsg
安定性	プロジェクト非公開

ファイル

/etc/security/tsol/tnrhdb: トラステッドネットワーク遠隔ホストデータベース

警告

ネットワークの稼働中にテンプレートを変更すると、不特定数のホストのセキュリティー表示が変更される可能性があります。

注意事項

コロン (:) は、データベース区切り文字です。コロンをデータフィールドの一部に使用する場合は、fe80\:\:a00\:20ff\:fea0\:21f7 のように、バックスラッシュ (\) を使ってエスケープする必要があります。

管理者が、Trusted Extensions ソフトウェアを実行するホストごとに 1 つの tnrhdb エントリを作成する一方、同一のセキュリティー属性を持つラベル付けされていないすべてのホストに適用できるサブネット単位のエントリを作成したい場合があります。この場合、管理者は、異なるセキュリティー属性セットを割り当てる必要のあるホストごとにエントリを個別に作成できます。

SunOS 5.10 最終更新日 2006 年 6 月 16 日

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告 | 注意事項

tnrhtp(4)

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告

名前

tnrhtp – トラステッドネットワーク遠隔ホストテンプレート

形式

/etc/security/tsol/tnrhtp

機能説明

テンプレートの tnrhtp データベースは、分散システム内の各ホスト (ローカルホストとネットワークを含む) に認可属性とセキュリティー属性を割り当てる際、利便性を向上させる目的で管理者により指定されます。

tnrhtp は、tnrhdb(4) と協調動作します。tnrhdb 内の IP アドレスを割り当てることができるのは、tnrhtp データベース内で定義されているテンプレートに対してだけです。tnrhtp データベースを変更するたびに、管理者は tnchkdb(1M) を実行して構文を検査するようにしてください。

テンプレートデータベース内の各エントリは、1 つの長い行として入力されます。エントリ内のフィールドは、セミコロン (;) で区切られます。

template_name:attr

行の先頭のポンド記号 (#) はコメント行であることを示し、コメント行は無視されます。

template_name

定義中のテンプレートに名前を付ける文字列です。この文字列では、大文字と小文字が区別されます。文字列の最初の 31 文字だけが読み取られて、解釈されます。template_name には、フィールド区切り文字、改行文字、およびコメント文字を除く出力可能な任意の文字を使用できます。

attr

セミコロン (;) で区切られた key=value ペアのリストで、各ペアにはテンプレートの属性が記述されます。 none 以外の値が設定されていない場合でも、その旨が示されていない限り、すべてのキーは必須です。現在のところ、次のキーがシステムにより解釈されます。

host_type

定義済みの 2 つの値 unlabeled、cipso のいずれかをとります。ホストタイプ cipso は、パケットのラベル付けに CIPSO (Common IP Security Options - Tag Type 1 のみ) を使用するホスト用です。

def_label

これらの属性をサポートしない遠隔ホストからの着信データに適用するデフォルト属性を定義します。このキーは、ホストタイプ unlabeled に対してのみ有効です。

doi

解釈ドメイン。ホストタイプ unlabeled の場合、これは def_label 用の解釈ドメインです。

解釈ドメインは、セキュリティー属性の外部または内部表現と、そのネットワーク表現との間の変換に適用される規則セットを定義します。設定に Trusted Extensions ソフトウェアを使用する複数のシステムが同一の解釈ドメインを保持する場合、これらは規則セットを共有します。ホストタイプ unlabeled の場合、これらのシステムは、同じ解釈ドメインを保持するラベル付けされていないテンプレートに割り当てられるデフォルト属性についても同一の解釈を共有します。

min_sl、max_sl

このテンプレートを使用する遠隔ホストに対して、ラベル認可範囲を指定します。管理ラベル ADMIN_LOW および ADMIN_HIGH を除くすべてのラベルは、短縮化された 16 進数形式で指定されます。

ゲートウェイシステムの場合、min_sl および max_sl は、ラベル付けされたパケットを転送する際のデフォルト範囲を定義します。通常、経路のラベル範囲は、route(1M) サブコマンドで -secattr オプションを使って設定します。ルートのラベル範囲が未指定の場合、tnrhtp データベースの min_sl から max_sl の範囲が使用されます。

sl_set

このテンプレートを使用する遠隔ホストに許可されるセキュリティーレベルセットを指定します。ゲートウェイシステムの場合、sl_set 内のラベルは、ラベル付けされたパケットの転送に使用されます。sl_set の指定は任意です。セット内のラベルの最大数は 4 です。

ネットワークの稼働中に tnrhtp データベースが変更された場合、tnctl(1M) を使ってテンプレートのエントリが更新されるまで、変更は有効になりません。それ以外の場合は、トラステッドネットワークデーモン tnd(1M) による次回のポーリング時に、変更が有効になります。管理者は、ネットワークの稼働中に新規テンプレートの追加、および既存のテンプレートの属性変更を実行できます。

使用例

例 1 ラベル付けされていないホストエントリ

この例では、マニュアルページを見やすくするために継続文字 (\) を使用しています。ただし、データベースファイル内では、各エントリは 1 行で記述する必要があり、バックスラッシュは使用できません。

# Sample ADMIN_LOW template entry for machines or networks.
# Note that the doi field is required.
#
admin_low:host_type=unlabeled;\
def_label=ADMIN_LOW;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

ラベル付けされていないホストとの通信に使用するラベルが ADMIN_LOW でないかぎり、上記のテンプレートは使用しないでください。ラベルエンコーディングファイル内のエントリと一致するテンプレートを使用してください。次の例は、サンプルの label_encodings ファイル内のエントリに一致します。

# Sample PUBLIC template entry
# based on the sample label_encodings file.
#
public:host_type=unlabeled;\
def_label=0x0002-08-08;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

例 2 CIPSO ホストエントリ

# Labeled host template
#
h1_allzones:host_type=cipso;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsg
安定性	プロジェクト非公開

ファイル

/etc/security/tsol/tnrhtp: トラステッドネットワーク遠隔ホストテンプレート

警告

ネットワークの稼働中にテンプレートを変更すると、不特定数のホストのセキュリティー表示が変更される可能性があります。

ラベル付けされていないホストから Solaris Trusted Extensions ネットワークへの接続を許可することには、セキュリティー上の危険が伴います。ネットワークの残りの部分の危殆化を避けるため、管理者がラベル付けされていないホストのために分散システムが危殆化することがないことを確信しているという意味で、この種のホストを「信頼する」必要があります。また、これらのホストを物理的に保護して、承認されている個人だけがアクセスするよう制限することも必要です。ラベル付けされていないホストが物理的に改ざんされる危険がないことを保証できない場合、そのホストおよび類似のホストをネットワークの別個のブランチに隔離するようにしてください。

SunOS 5.10 最終更新日 2006 年 6 月 16 日

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告

tnzonecfg(4)

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目

名前

tnzonecfg – トラステッドネットワークゾーン構成データベース

形式

/etc/security/tsol/tnzonecfg

機能説明

tnzonecfg データベースは、ローカルホスト用の Solaris Trusted Extensions ゾーン構成エントリのリストです。このデータベースでは、ゾーン名を使ってインデックスが作成されます。各構成エントリでは、ゾーンのラベル、マルチレベルポート (MLP)、およびゾーン作成用のその他のゾーン関連情報を指定します。

ゾーン構成データベース内の各エントリは、5 つのフィールドで構成されます。各エントリは、各フィールドがコロン (:) で区切られた 1 つの長い行になっています。

zone-name:label:network-policy:zone-mlp-list:shared-mlp-list
global:ADMIN_LOW:1:6000-6003/tcp:6000-6003/tcp

行の先頭のポンド記号 (#) はコメント行であることを示し、コメント行は無視されます。

zone-name

ゾーンの名前。この名前は、ゾーンの構成時に使用されます。ゾーン名の制限については、zonecfg(1M) の -z zonename オプションを参照してください。

label

ゾーンのラベル。ゾーンの起動時に、このフィールドを使ってゾーンがラベル付けされます。ラベルには、短縮化された 16 進数形式、またはテキスト形式を使用できます。ラベルは、label_encodings ファイル内で定義されます。各ゾーンのラベルは一意でなければなりません。

network-policy

すべての非トランスポートトラフィックを処理するためのポリシー。正確なゾーンラベルが必須であるか、ラベル範囲の一致が許可される場合に、このフィールドを使って非 MLP トラフィック用のポリシーが決定されます。値 0 は、受信パケットに対してゾーンラベルが厳密に一致することを示します。このフィールドが 1 に設定されている場合、受信側のホストは、ホストの認可範囲内でパケットを受信します。

大域ゾーンの network-policy フィールドが 1 に設定されている場合、大域ゾーンの IP アドレス上で受信する ICMP パケットは、大域ゾーンの tnrhtp エントリのラベル範囲に基づいて受け入れられます。ゾーンに対してこのフィールドが 0 に設定されている場合、ゾーンはラベルの異なるホストからの ICMP エコー要求に応答しません。

zone-mlp-list

ゾーンに所属する IP アドレス上にある、そのゾーンのマルチレベルポート構成エントリ。zone-mlp-list は、セミコロンで区切られた MLP 構成エントリのリストです。各 MLP 構成エントリは、port/protocol または port-range/protocol で指定されます。たとえば、6001-6003/tcp は、tcp ポート 6001、6002、および 6003 がすべて MLP であることを意味します。

MLP は、大域ゾーンと非大域ゾーンの両方でマルチレベルサービスを提供するために使用されます。非大域ゾーンで MLP を使用する方法を示す例として、2 つのラベル付きゾーン internal および public を設定する場合を考えましょう。internal ゾーンは、会社のネットワークにアクセスできます。public ゾーンは公開されたインターネットにアクセスできますが、会社の内部ネットワークにはアクセスできません。ブラウズを安全に行うため、internal ゾーン内のユーザーがインターネットをブラウズする場合、internal ゾーンのブラウザは URL を public ゾーンに転送します。その後、Web コンテンツが public ゾーンの Web ブラウザに表示されます。このため、public ゾーン内へのダウンロードが原因で Web ブラウザが危殆化する場合でも、会社の内部ネットワークが影響を受けることはありません。この設定を行うために、 public ゾーン内の tcp ポート 8080 は MLP (8080/tcp) になります。また、public ゾーンの tnrhtp テンプレートが PUBLIC から INTERNAL のラベル範囲を保持するようにします。

shared-mlp-list

共有 IP アドレスのマルチレベルポート構成エントリです。shared-mlp-list は、セミコロンで区切られた MLP 構成エントリのリストです。各 MLP 構成エントリの指定には、port/protocol の形式を使用します。ほかのゾーンは共有インタフェース上にあるこの port/protocol にはアクセスできません。2 つ以上のゾーンで shared-mlp-list フィールドに同じ port/protocol を指定すると構成エラーとなります。

共有 IP アドレスを使用すると、特に大量のゾーンを構成する場合に、システムで必要とされる IP アドレスの総数を減らすことができます。ネットワークトラフィックが共有インタフェース上の、ゾーンの shared-mlp-list で指定されているポートで受信された場合、ほかのゾーンがそのトラフィックを受信することはできません。

tnzonecfg データベースを変更するごとに、管理者はあとで tnchkdb(1M) を実行して構文を検査するようにしてください。ネットワークの稼働中にこのデータベースが変更された場合、tnctl(1M) によりカーネルが更新されるまで、変更は有効になりません。

使用例

例 1 ゾーン構成エントリの例

各ゾーンエントリは、データベースファイル内で 1 行で記述されます。

この例では、4 つの非大域ゾーン public、internal、 needtoknow、および restricted が存在します。大域ゾーンと public ゾーンだけが MLP を保持します。

大域エントリ内の zone-mlp-list 値 111/tcp;111/udp;2049/tcp;6000-6003/tcp は、これらのポートを大域ゾーン専用の MLP として指定します。shared-mlp-list 値の 6000-6003/tcpは、これらのポートを共有 IP アドレス (ラベル付けされたゾーン) 用の MLP として指定します。network-policy が 1 であるため、大域ゾーンだけが、自分自身とは異なるラベルを持つホストからの着信パケットを受け入れます。

public エントリ内の network-policy 値 0 は、受信を public 非トランスポートトラフィックだけに制限します。zone-mlp-list 値の 8080/tcp は、public ゾーンの Web ブラウザポートを MLP にします。

その他のゾーン内の 8080 tcp ポートは、単一レベルのポートであるため、リストには含められません。同様に、ラベル付けされた各ゾーンは単一レベルの 111 ポート、2049 ポートなどを保持します。

#
    # Sample global zone configuration file
    #
    # Multilevel Port (MLP) specification:
    #
    #       MLP                     PURPOSE
    #       ---                     -------
    #       111                     Port Mapper
    #       2049                    NFSv4 server
    #       6000-6003               Multilevel Desktop
    #
    global:ADMIN_LOW:1:111/tcp;111/udp;2049/tcp;6000-6003/tcp:6000-6003/tcp
    public:PUBLIC:0:8080/tcp:
    internal:0x0004-08-48:0::
    needtoknow:0x0004-08-68:0::
    restricted:0x0004-08-78:0::

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsg
安定性	プロジェクト非公開

ファイル

/etc/security/tsol/tnzonecfg: トラステッドネットワークゾーン構成データベース

TrustedExtensionsPolicy(4)

名前 | 形式 | 機能説明 | 属性 | 使用例 | ファイル | 関連項目

名前

TrustedExtensionsPolicy – Trusted Extensions X サーバー拡張用構成ファイル

形式

/usr/X11/lib/X11/xserver/TrustedExtensionsPolicy

/usr/openwin/server/etc/TrustedExtensionsPolicy

機能説明

TrustedExtensionsPolicy は、Trusted Extensions X サーバー拡張 (SUN_TSOL) 用の構成ファイルです。 SUN_TSOL を使用すると、セキュリティーポリシーを施行できます。これは、必須アクセス制御 (MAC) および任意アクセス制御 (DAC) に基づいています。

TrustedExtensionsPolicy ファイル内の空白行およびコメントは無視されます。コメントの先頭には、ポンド記号 (#) が付けられます。このファイルの形式を次に示します。

keyword{space|tab}value

ここで、keyword には次のいずれかを指定できます。

atom: このアトムに ADMIN_LOW のラベルを付けて、XGetAtomName(3X11) が成功するようにします。
property: このプロパティーを一度インスタンス化します。デフォルトは、プロパティーの多インスタンス化です。
selection: この選択を多インスタンス化します。デフォルトでは、選択内容を一度インスタンス化します。
extension: この拡張機能を無効にします。
privilege: このウィンドウ特権を、すべてのクライアントで暗黙的に許可します。

使用可能なキーワード値については、Xorg X サーバーの /usr/X11/lib/X11/xserver/TrustedExtensionsPolicy ファイルを参照してください。Xsun については、/usr/openwin/server/etc/TrustedExtensionsPolicy ファイルを参照してください。

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWxwts

使用例

TrustedExtensionsPolicy ファイル内の次のエントリにより、Dtpad プログラムが多インスタンス化されます。

selection Dtpad

このエントリが存在しないか、コメントアウトされている場合、Dtpad プログラムは 1 回インスタンス化されます。

同様に、次のエントリにより WM_ICON_SIZE プロパティーが 1 回インスタンス化されます。

property WM_ICON_SIZE

エントリが欠落しているか、コメントアウトされている場合、WM_ICON_SIZE プロパティーが多インスタンス化されます。

ファイル

/usr/X11/lib/X11/xserver/TrustedExtensionsPolicy: Trusted Extensions X サーバー拡張用の構成ファイル