Solaris Trusted Extensions リファレンスマニュアル

tnrhtp(4)

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告

名前

tnrhtp – トラステッドネットワーク遠隔ホストテンプレート

形式

/etc/security/tsol/tnrhtp

機能説明

テンプレートの tnrhtp データベースは、分散システム内の各ホスト (ローカルホストとネットワークを含む) に認可属性とセキュリティー属性を割り当てる際、利便性を向上させる目的で管理者により指定されます。

tnrhtp は、tnrhdb(4) と協調動作します。tnrhdb 内の IP アドレスを割り当てることができるのは、tnrhtp データベース内で定義されているテンプレートに対してだけです。tnrhtp データベースを変更するたびに、管理者は tnchkdb(1M) を実行して構文を検査するようにしてください。

テンプレートデータベース内の各エントリは、1 つの長い行として入力されます。エントリ内のフィールドは、セミコロン (;) で区切られます。

template_name:attr

行の先頭のポンド記号 (#) はコメント行であることを示し、コメント行は無視されます。

template_name

定義中のテンプレートに名前を付ける文字列です。この文字列では、大文字と小文字が区別されます。文字列の最初の 31 文字だけが読み取られて、解釈されます。template_name には、フィールド区切り文字、改行文字、およびコメント文字を除く出力可能な任意の文字を使用できます。

attr

セミコロン (;) で区切られた key=value ペアのリストで、各ペアにはテンプレートの属性が記述されます。 none 以外の値が設定されていない場合でも、その旨が示されていない限り、すべてのキーは必須です。現在のところ、次のキーがシステムにより解釈されます。

host_type

定義済みの 2 つの値 unlabeled、cipso のいずれかをとります。ホストタイプ cipso は、パケットのラベル付けに CIPSO (Common IP Security Options - Tag Type 1 のみ) を使用するホスト用です。

def_label

これらの属性をサポートしない遠隔ホストからの着信データに適用するデフォルト属性を定義します。このキーは、ホストタイプ unlabeled に対してのみ有効です。

doi

解釈ドメイン。ホストタイプ unlabeled の場合、これは def_label 用の解釈ドメインです。

解釈ドメインは、セキュリティー属性の外部または内部表現と、そのネットワーク表現との間の変換に適用される規則セットを定義します。設定に Trusted Extensions ソフトウェアを使用する複数のシステムが同一の解釈ドメインを保持する場合、これらは規則セットを共有します。ホストタイプ unlabeled の場合、これらのシステムは、同じ解釈ドメインを保持するラベル付けされていないテンプレートに割り当てられるデフォルト属性についても同一の解釈を共有します。

min_sl、max_sl

このテンプレートを使用する遠隔ホストに対して、ラベル認可範囲を指定します。管理ラベル ADMIN_LOW および ADMIN_HIGH を除くすべてのラベルは、短縮化された 16 進数形式で指定されます。

ゲートウェイシステムの場合、min_sl および max_sl は、ラベル付けされたパケットを転送する際のデフォルト範囲を定義します。通常、経路のラベル範囲は、route(1M) サブコマンドで -secattr オプションを使って設定します。ルートのラベル範囲が未指定の場合、tnrhtp データベースの min_sl から max_sl の範囲が使用されます。

sl_set

このテンプレートを使用する遠隔ホストに許可されるセキュリティーレベルセットを指定します。ゲートウェイシステムの場合、sl_set 内のラベルは、ラベル付けされたパケットの転送に使用されます。sl_set の指定は任意です。セット内のラベルの最大数は 4 です。

ネットワークの稼働中に tnrhtp データベースが変更された場合、tnctl(1M) を使ってテンプレートのエントリが更新されるまで、変更は有効になりません。それ以外の場合は、トラステッドネットワークデーモン tnd(1M) による次回のポーリング時に、変更が有効になります。管理者は、ネットワークの稼働中に新規テンプレートの追加、および既存のテンプレートの属性変更を実行できます。

使用例

例 1 ラベル付けされていないホストエントリ

この例では、マニュアルページを見やすくするために継続文字 (\) を使用しています。ただし、データベースファイル内では、各エントリは 1 行で記述する必要があり、バックスラッシュは使用できません。

# Sample ADMIN_LOW template entry for machines or networks.
# Note that the doi field is required.
#
admin_low:host_type=unlabeled;\
def_label=ADMIN_LOW;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

ラベル付けされていないホストとの通信に使用するラベルが ADMIN_LOW でないかぎり、上記のテンプレートは使用しないでください。ラベルエンコーディングファイル内のエントリと一致するテンプレートを使用してください。次の例は、サンプルの label_encodings ファイル内のエントリに一致します。

# Sample PUBLIC template entry
# based on the sample label_encodings file.
#
public:host_type=unlabeled;\
def_label=0x0002-08-08;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

例 2 CIPSO ホストエントリ

# Labeled host template
#
h1_allzones:host_type=cipso;\
min_sl=ADMIN_LOW;\
max_sl=ADMIN_HIGH;\
doi=1;

属性

次の属性については、attributes(5) を参照してください。

属性タイプ	属性値
使用条件	SUNWtsg
安定性	プロジェクト非公開

ファイル

/etc/security/tsol/tnrhtp: トラステッドネットワーク遠隔ホストテンプレート

警告

ネットワークの稼働中にテンプレートを変更すると、不特定数のホストのセキュリティー表示が変更される可能性があります。

ラベル付けされていないホストから Solaris Trusted Extensions ネットワークへの接続を許可することには、セキュリティー上の危険が伴います。ネットワークの残りの部分の危殆化を避けるため、管理者がラベル付けされていないホストのために分散システムが危殆化することがないことを確信しているという意味で、この種のホストを「信頼する」必要があります。また、これらのホストを物理的に保護して、承認されている個人だけがアクセスするよう制限することも必要です。ラベル付けされていないホストが物理的に改ざんされる危険がないことを保証できない場合、そのホストおよび類似のホストをネットワークの別個のブランチに隔離するようにしてください。

SunOS 5.10 最終更新日 2006 年 6 月 16 日

名前 | 形式 | 機能説明 | 使用例 | 属性 | ファイル | 関連項目 | 警告