Oracle Solaris Trusted Extensions 구성 설명서

3장 Solaris OS에 Trusted Extensions 소프트웨어 추가(작업)

이 장에서는 Trusted Extensions 소프트웨어용 Solaris OS 준비 방법에 대해 설명합니다. 또한 이 장에서는 Trusted Extensions를 활성화하기 전에 필요한 정보에 대해서도 설명합니다. Trusted Extensions 활성화 방법에 대한 지침도 제공됩니다.

초기 설정 팀 책임

Trusted Extensions 소프트웨어는 각자 고유한 책임을 지니는 두 사람이 활성화 및 구성하도록 설계되었습니다. 그러나 Solaris 설치 프로그램은 이 두 역할 작업 배분을 적용하지 않습니다. 대신 작업 부분을 역할별로 적용합니다. 역할과 사용자는 설치가 끝날 때까지 만들어지지 않으므로 두 명 이상의 초기 설정 팀이 Trusted Extensions 소프트웨어 활성화와 구성에 참여하는 것이 좋습니다.

Trusted Extensions용 Solaris OS 설치 또는 업그레이드

Solaris 설치 옵션 선택은 Trusted Extensions의 사용과 보안에 영향을 줄 수 있습니다.

Trusted Extensions를 제대로 지원하려면 기본 Solaris OS를 안전하게 설치해야 합니다. Trusted Extensions에 영향을 주는 Solaris 설치 옵션은 Trusted Extensions 지원을 위한 Solaris 시스템 설치를 참조하십시오.
Solaris OS를 사용하는 경우 현재 구성이 Trusted Extensions의 요구 사항에 맞는지 확인하십시오. Trusted Extensions에 영향을 주는 구성 옵션은 Trusted Extensions 에 대해 설치된 Solaris 시스템 준비를 참조하십시오.

Trusted Extensions 지원을 위한 Solaris 시스템 설치

이 작업은 Solaris OS를 처음 설치할 때 적용됩니다. 업그레이드하려면 Trusted Extensions 에 대해 설치된 Solaris 시스템 준비를 참조하십시오.

Solaris OS를 설치하려면 다음 설치 옵션에 대한 권장 작업을 수행하십시오.

선택 옵션은 Solaris 설치 질문의 순서를 따릅니다. 다음 표에 언급되지 않은 설치 질문은 Trusted Extensions에 영향을 주지 않습니다.

Solaris 옵션	Trusted Extensions 동작	권장되는 작업
NIS 이름 지정 서비스 NIS+ 이름 지정 서비스	Trusted Extensions에서는 파일 및 LDAP의 이름 지정 서비스를 지원합니다. 호스트 이름 확인을 위해 DNS를 사용할 수 있습니다.	NIS 또는 NIS+를 선택하지 마십시오. None(없음)을 선택할 수 있습니다. 이는 파일에서도 동등합니다. 나중에 Trusted Extensions에서 작동하도록 LDAP를 구성할 수 있습니다.
업그레이드	Trusted Extensions에서는 특정 보안 특성을 사용하여 레이블이 있는 영역을 설치합니다.	업그레이드하는 경우 Trusted Extensions 에 대해 설치된 Solaris 시스템 준비를 참조하십시오.
`root` 암호	Trusted Extensions의 관리 도구에는 암호가 필요합니다. `root` 사용자에게 암호가 없는 경우 `root`는 시스템을 구성할 수 없습니다.	`root` 암호를 제공합니다. 기본 `crypt_unix` 암호의 암호화 방법을 변경하지 마십시오. 자세한 내용은 System Administration Guide: Security Services의 Managing Password Information을 참조하십시오.
개발자 그룹	Trusted Extensions에서는 Solaris Management Console을 사용하여 네트워크를 관리합니다. 최종 사용자 그룹과 소규모 그룹은 Solaris Management Console용 패키지를 설치하지 않습니다.	다른 시스템에서 관리하는 데 사용할 시스템에서는 최종 사용자, 코어 또는 축소 네트워크 그룹을 설치하지 마십시오.
사용자 정의 설치	Trusted Extensions는 영역을 설치하기 때문에 기본 설치에서 제공하는 것보다 더 많은 디스크 공간이 분할 영역에 필요할 수 있습니다.	Custom Install(사용자 정의 설치)을 선택하고 분할 영역을 생성합니다. 역할에 대한 스왑 공간을 추가하는 것을 고려합니다. 영역을 복제하려면 ZFS 풀에 대해 2000 MB의 분할 영역을 만듭니다. 감사 파일의 경우 전용 분할 영역을 만드는 것이 좋습니다.

Trusted Extensions 에 대해 설치된 Solaris 시스템 준비

이 작업은 현재 사용 중이고 Trusted Extensions를 실행할 Solaris 시스템에 적용됩니다. 또한 업그레이드된 Solaris 시스템에서 Trusted Extensions를 실행하려면 다음 절차를 수행합니다. 설치된 Solaris 시스템을 수정할 수 있는 기타 작업은 Trusted Extensions 구성 중에 수행할 수 있습니다.

시작하기 전에

다음과 같은 일부 Solaris 환경에서는 Trusted Extensions를 활성화할 수 없습니다.

시스템이 클러스터의 일부인 경우 해당 시스템에서 Trusted Extensions를 활성화할 수 없습니다.
대체 부트 환경(Boot Environment, BE)에서는 Trusted Extensions를 활성화할 수 없습니다. Trusted Extensions는 현재 부트 환경에서만 활성화할 수 있습니다.

시스템에 비전역 영역이 설치되어 있으면 제거합니다.

또는 Solaris OS를 다시 설치할 수 있습니다. Solaris OS를 다시 설치하려면 Trusted Extensions 지원을 위한 Solaris 시스템 설치의 지침을 따릅니다.

Trusted Extensions에서는 브랜딩 영역을 사용합니다.

시스템에 root 암호가 없으면 암호를 만듭니다.

Trusted Extensions의 관리 도구에는 암호가 필요합니다. root 사용자에게 암호가 없는 경우 root는 시스템을 구성할 수 없습니다.

root 사용자의 경우 기본 crypt_unix 암호의 암호화 방법을 사용합니다. 자세한 내용은 System Administration Guide: Security Services의 Managing Password Information을 참조하십시오.

주 –
다른 사용자가 별도의 확인이나 설명 없이 사용자의 데이터에 액세스할 수 있으므로 다른 사용자에게 암호를 공개해서는 안 됩니다. 사용자가 고의적으로 자신의 암호를 다른 사용자에게 누설하여 직접적으로 암호가 공개될 수도 있고, 암호를 메모해 두거나 보안되지 않은 암호를 선택함으로써 간접적으로 암호가 공개될 수도 있습니다. Solaris OS는 보안되지 않은 암호에 대해 보호 기능을 제공하지만, 사용자가 자신의 암호를 공개하거나 메모하지 못하도록 막을 수는 없습니다.

이 시스템에서 사이트를 관리하려면 Solaris Management Console용 Solaris 패키지를 추가합니다.

Trusted Extensions에서는 Solaris Management Console을 사용하여 네트워크를 관리합니다. 최종 사용자 그룹 또는 소규모 그룹에서 시스템을 설치한 경우 시스템에는 Solaris Management Console용 패키지가 없습니다.

xorg.conf 파일을 만든 경우 이 파일을 수정해야 합니다.

/etc/X11/xorg.conf 파일에서 Module(모듈) 절의 끝에 다음 행을 추가합니다.
load "xtsol"
주 –
기본적으로 xorg.conf 파일은 존재하지 않습니다. 이 파일이 없으면 아무 작업도 수행하지 않습니다.

Solaris 10 9/09 및 Solaris 10 9/10 릴리스에서 사용 중인 시스템이 Oracle Solaris Cluster 구성에 포함된 경우 해당 클러스터에서 Trusted Extensions를 활성화할 수 있습니다.

주 –
응용 프로그램은 Oracle Solaris Cluster 영역 클러스터에서만 실행해야 합니다.

Trusted Extensions의 Oracle Solaris Cluster 지원에 대한 자세한 내용은 Oracle Solaris Cluster Software Installation Guide의 7장, "Creating Non-Global Zones and Zone Clusters"에 있는 "How to Prepare for Trusted Extensions Use With Zone Clusters"를 참조하십시오.

Trusted Extensions 시스템을 업그레이드하는 경우 시스템을 업그레이드하기 전에 먼저 아래의 내용을 읽으십시오.
- Solaris 10 새로운 기능의 1장, What’s New in the Solaris 10 10/08 Release
- Solaris 10 10/08 릴리스 노트
참고 –
적절한 관련 정보를 찾으려면, Trusted Extensions를 검색하십시오.

영역을 복제하려면 ZFS 풀에 대한 분할 영역을 만듭니다.

영역 만들기 방법을 결정하려면 Trusted Extensions의 영역 계획을 참조하십시오.

레이블이 있는 영역을 이 시스템에 설치하려면 영역을 위한 충분한 디스크 공간이 분할 영역에 있는지 확인합니다.

Trusted Extensions을 통해 구성되는 대부분의 시스템은 레이블이 있는 영역을 설치합니다. 레이블이 있는 영역에는 설치된 시스템에서 별도로 확보해 둔 공간보다 더 많은 디스크 공간이 필요할 수 있습니다.

그러나 Trusted Extensions 시스템에 따라 레이블이 있는 영역을 설치할 필요가 없는 경우도 있습니다. 예를 들어 다중 레벨 인쇄 서버, 다중 레벨 LDAP 서버 또는 다중 레벨 LDAP 프록시 서버는 레이블이 있는 영역을 설치할 필요가 없습니다. 이러한 시스템에는 추가 디스크 공간이 필요하지 않습니다.

(옵션) 역할에 대한 여분의 스왑 공간을 추가합니다.

역할은 Trusted Extensions를 관리합니다. 역할 프로세스에 대한 여분의 스왑 추가를 고려합니다.

(옵션) 감사 파일 전용 분할 영역을 설정합니다.

Trusted Extensions는 기본적으로 감사를 활성화합니다. 감사 파일의 경우 전용 분할 영역을 만드는 것이 가장 좋습니다.

(옵션) 강화된 구성을 실행하려면 netservices limited 명령을 실행한 후에 Trusted Extensions를 활성화합니다.
# netservices limited

Trusted Extensions 활성화 전 정보 수집 및 의사 결정

Trusted Extensions를 구성할 각 시스템에 대해 일부 정보를 확인하고 구성과 관련된 몇 가지 사항을 결정해야 합니다. 예를 들어, 레이블이 있는 영역을 만들려고 하기 때문에 영역을 Solaris ZFS 파일 시스템으로 복제할 수 있는 별도의 디스크 공간을 확보하려고 할 수 있습니다. Solaris ZFS는 영역을 추가로 격리합니다.

Trusted Extensions 활성화 전 시스템 정보 수집

시스템의 기본 호스트 이름과 IP 주소를 결정합니다.

이 호스트 이름은 네트워크 상의 호스트 이름으로, 전역 영역입니다. Solaris 시스템에서 getent 명령은 호스트 이름을 다음과 같이 반환합니다.
# getent hosts machine1 192.168.0.11 machine1

레이블이 있는 영역에 대한 IP 주소 할당을 결정합니다.

IP 주소가 두 개인 시스템은 다중 레벨 서버 역할을 수행할 수 있습니다. IP 주소가 하나인 시스템에서 인쇄하거나 다중 레벨 작업을 수행하려면 다중 레벨 서버에 액세스해야 합니다. IP 주소 옵션에 대한 자세한 내용은 다중 레벨 액세스 계획을 참조하십시오.

대부분의 시스템은 레이블이 있는 영역을 위한 두 번째 IP 주소가 필요합니다. 예를 들어, 레이블이 있는 영역을 위한 두 번째 IP 주소가 있는 호스트는 다음과 같습니다.
# getent hosts machine1-zones 192.168.0.12 machine1-zones

LDAP 구성 정보를 수집합니다.

Trusted Extensions 소프트웨어를 실행하는 LDAP 서버의 경우 다음과 같은 정보가 필요합니다.
- LDAP 서버가 실행되는 Trusted Extensions 도메인의 이름
- LDAP 서버의 IP 주소
- 로드할 LDAP 프로필 이름
LDAP 프록시 서버의 경우 LDAP 프록시 암호도 설정해야 합니다.

Trusted Extensions 활성화 전 시스템 및 보안 사항 결정

Trusted Extensions를 구성할 각 시스템에 대해 소프트웨어를 활성화하려면 먼저 다음과 같이 구성과 관련된 사항을 결정해야 합니다.

시스템 하드웨어를 안전하게 보호해야 하는 방법을 결정합니다.

안전한 사이트에서는 설치된 모든 Solaris 시스템에 대해 다음 단계를 수행해야 합니다.
- SPARC 시스템의 경우 PROM 보안 수준 및 암호가 제공되었습니다.
- x86 시스템의 경우 BIOS가 보호됩니다.
- 모든 시스템에서 root가 암호로 보호됩니다.

label_encodings 파일을 준비합니다.

사이트별 label_encodings 파일이 있는 경우 해당 파일을 확인하여 설치한 이후에 다른 구성 작업을 시작할 수 있습니다. 사이트에 label_encodings 파일이 없는 경우 Sun에서 제공하는 기본 파일을 사용할 수 있습니다. 또한 /etc/security/tsol 디렉토리에서 찾을 수 있는 기타 label_encodings 파일도 제공합니다. Sun 파일은 데모용 파일입니다. 해당 파일은 생산 시스템에 적합하지 않을 수도 있습니다.

파일을 사이트에 맞게 사용자 정의하려면 Oracle Solaris Trusted Extensions Label Administration을 참조하십시오.

label_encodings 파일의 레이블 목록에서 사용자가 만들어야 하는 레이블이 있는 영역 목록을 작성합니다.

다음 표에는 기본 label_encodings 파일에 대한 레이블 이름 및 권장 영역 이름이 나와 있습니다.

레이블	영역 이름
`PUBLIC`	`public`
`CONFIDENTIAL : INTERNAL`	`internal`
`CONFIDENTIAL : NEED TO KNOW`	`needtoknow`
`CONFIDENTIAL : RESTRICTED`	`restricted`

NFS를 쉽게 마운트하려면 특정 레이블의 영역 이름이 모든 시스템에서 동일해야 합니다. 다중 레벨 인쇄 서버와 같은 일부 시스템에는 레이블이 있는 영역을 설치할 필요가 없습니다. 그러나 인쇄 서버에 레이블이 있는 영역을 설치할 경우 영역 이름은 네트워크에 있는 다른 시스템의 영역 이름과 동일해야 합니다.

역할을 만들 시기를 결정합니다.

사이트 보안 정책에 따라 역할을 수락하여 Trusted Extensions를 관리해야 할 수 있습니다. 평가된 구성에 대한 기준에 맞게 시스템을 구성하려면 구성 프로세스의 초기에 역할을 만들어야 합니다.

역할을 사용하여 시스템을 구성할 필요가 없는 경우 수퍼유저로 시스템을 구성하도록 선택할 수 있습니다. 이 구성 방법은 보안성이 떨어집니다. 감사 레코드는 구성하는 동안 수퍼유저였던 사용자를 표시하지 않습니다. 수퍼유저는 시스템에서 모든 작업을 수행할 수 있지만 역할은 수행 가능한 작업이 제한됩니다. 따라서 역할별로 수행할 때 보다 세부적으로 구성할 수 있습니다.

영역 생성 방법을 선택합니다.

영역을 처음부터 만들거나, 복사 또는 복제할 수 있습니다. 이러한 방법은 작성 속도, 디스크 공간 요구 사항 및 견고성이 서로 다릅니다. 각 방법의 장단점에 대한 자세한 내용은 Trusted Extensions의 영역 계획을 참조하십시오.

LDAP 구성을 계획합니다.

네트워크로 연결되지 않은 시스템의 경우 로컬 파일을 사용하여 관리하는 것이 좋습니다.

LDAP는 네트워크로 연결된 환경에 대한 이름 지정 서비스입니다. 여러 시스템을 구성할 경우 이름이 입력된 LDAP 서버가 필요합니다.
- 기존 Sun Java System Directory Server(LDAP 서버)가 있는 경우 Trusted Extensions를 실행 중인 시스템에서 LDAP 프록시 서버를 만들 수 있습니다. 다중 레벨 프록시 서버는 레이블이 없는 LDAP 서버와의 통신을 처리합니다.
- LDAP 서버가 없는 경우 Trusted Extensions 소프트웨어를 실행하는 시스템을 다중 레벨 LDAP 서버로 구성할 수 있습니다.

각 시스템 및 네트워크에 대한 기타 보안 문제를 결정합니다.

예를 들어 다음 보안 문제를 고려할 수 있습니다.
- 시스템에 연결하여 사용할 수 있는 장치를 결정합니다.
- 시스템에서 액세스할 수 있는 프린터와 해당 레이블을 식별합니다.
- 게이트웨이 시스템 또는 공개 키오스크와 같이 제한된 레이블 범위를 가진 시스템을 식별합니다.
- 레이블이 없는 특정 시스템과 통신할 수 있는 레이블이 있는 시스템을 식별합니다.

Trusted Extensions 서비스 활성화

Solaris 10 5/08 릴리스부터 Trusted Extensions는 서비스 관리 기능(Service Management Facility, SMF)에서 관리되는 서비스입니다. 서비스 이름은 svc:/system/labeld:default입니다. 기본적으로 labeld 서비스는 비활성화되어 있습니다.

Trusted Extensions 활성화

labeld 서비스는 통신 끝점에 레이블을 연결합니다. 예를 들어 다음에 레이블이 있습니다.

모든 영역 및 각 영역에 있는 디렉토리와 파일
창 프로세스가 포함된 모든 프로세스
모든 네트워크 통신

시작하기 전에

Trusted Extensions용 Solaris OS 설치 또는 업그레이드 및 Trusted Extensions 활성화 전 정보 수집 및 의사 결정의 작업을 완료했습니다.

Solaris 시스템에서 labeld 서비스를 활성화합니다.
# svcadm enable -s svc:/system/labeld:default
labeld 서비스는 시스템에 레이블을 추가하고 Solaris 감사 서비스와 장치 할당을 시작합니다. 커서가 프롬프트로 반환될 때까지 다른 작업을 수행하면 안 됩니다.

서비스가 활성화되었는지 확인합니다.
# svcs -x labeld svc:/system/labeld:default (Trusted Extensions) State: online since weekday month date hour:minute:second year See: labeld(1M) Impact: None.
주 –
레이블은 시스템을 다시 부트한 후에 표시됩니다. Trusted Extensions의 전역 영역 설정에는 다시 부트 전 수행할 작업이 포함되어 있습니다.

일반 오류

다음 메시지는 Trusted Extensions를 서비스로 지원하는 Solaris 릴리스가 실행되고 있지 않음을 나타냅니다. svcs: Pattern 'labeld' doesn't match any instances.

labeld 서비스를 지원하지 않는 Solaris 시스템에서 Trusted Extensions를 실행하려면 Solaris Trusted Extensions 설치 및 구성 설명서의 지침을 따르십시오.