Konfigurieren der Geräterichtlinie

Die Geräterichtlinie beschränkt oder verhindert den Zugriff auf integrierte Geräte des Systems. Die Richtlinie wird im Kernel durchgesetzt.

So zeigen Sie die Geräterichtlinie an

• Zeigen Sie die Geräterichtlinie für alle Geräte im System an.

  % getdevpolicy | more
  DEFAULT
          read_priv_set=none
          write_priv_set=none
  ip:*
          read_priv_set=net_rawaccess
          write_priv_set=net_rawaccess
  …

Beispiel 4-1 Anzeigen der Geräterichtlinie eines bestimmten Geräts

Im folgenden Beispiel wird die Geräterichtlinie für drei Geräte angezeigt.

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/hme
/dev/allkmem
        read_priv_set=all
        write_priv_set=all
/dev/ipsecesp
        read_priv_set=sys_net_config
        write_priv_set=sys_net_config
/dev/hme
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

So ändern Sie die Geräterichtlinie auf einem vorhandenen Gerät

1. Nehmen Sie eine Rolle an, die das Berechtigungsprofil "Device Security" beinhaltet, oder melden Sie sich als Superuser an.

   Die Rolle "Primary Administrator" enthält das Berechtigungsprofil "Device Security". Außerdem können Sie das Berechtigungsprofil "Device Security" einer von Ihnen erstellten Rolle zuweisen. Weitere Informationen zum Erstellen einer Rolle und Zuweisen der Rolle zu einem Benutzer finden Sie unter Beispiel 9-3.

2. Fügen Sie dem Gerät eine Richtlinie hinzu.

   # update_drv -a -p policy device-driver

   -a

   Gibt policy für device-driver an.

   -p policy

   Entspricht der Geräterichtlinie für device-driver. Die Geräterichtlinie gibt zwei Berechtigungssätze an. Ein Satz ist für den Lesezugriff auf das Gerät erforderlich. Der andere Satz wird für den Schreibzugriff auf das Gerät benötigt.

   device-driver

   Entspricht dem Gerätetreiber

   Weitere Informationen erhalten Sie auf der Manpage update_drv(1M).

Beispiel 4-2 Hinzufügen einer Richtlinie zu einem vorhandenen Gerät

Im folgenden Beispiel wird die Geräterichtlinie zum Gerät ipnat hinzugefügt.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=none
# update_drv -a \
-p 'read_priv_set=net_rawaccess write_priv_set=net_rawaccess' ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

Beispiel 4-3 Entfernen einer Richtlinie von einem Gerät

Im folgenden Beispiel wird der für den Lesezugriff benötigte Satz von Berechtigungen von der Geräterichtlinie für das Gerät ipnat entfernt.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess
# update_drv -a -p write_priv_set=net_rawaccess ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=net_rawaccess

So prüfen Sie Änderungen der Geräterichtlinie

Die Prüfklasse as enthält standardmäßig das Prüfereignis AUE_MODDEVPLCY.

1. Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.

   Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.

2. Führen Sie eine Vorauswahl der Prüfklasse durch, die das Prüfereignis AUE_MODDEVPLCY enthält.

   Fügen Sie die Klasse as zur Zeile flags der Datei audit_control hinzu. Die Ausgabe der Datei sieht ähnlich wie im Folgenden aus:

   # audit_control file
   dir:/var/audit
   flags:lo,as
   minfree:20
   naflags:lo

   Ausführliche Anweisungen erhalten Sie unter So ändern Sie die Datei audit_control.

So rufen Sie IP MIB-II-Informationen von einem /dev/*-Gerät ab

Von Anwendungen, die Oracle Solaris IP MIB-II-Information abrufen, sollte /dev/arp und nicht /dev/ip geöffnet werden.

1. Legen Sie die Geräterichtlinie auf /dev/ip und /dev/arp fest.

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
           read_priv_set=net_rawaccess
           write_priv_set=net_rawaccess
   /dev/arp
           read_priv_set=none
           write_priv_set=none

   Beachten Sie, dass die Berechtigung net_rawaccess für den Lese- und Schreibzugriff auf /dev/ip erforderlich ist. Es werden keine Berechtigungen für /dev/arp benötigt.

2. Öffnen Sie /dev/arp und stellen Sie die Module tcp und udp bereit.

   Hierfür werden keine Berechtigungen benötigt. Diese Methode entspricht dem Öffnen von /dev/ip und Bereitstellen der Module arp, tcp und udp. Da zum Öffnen von /dev/ip nun eine Berechtigung benötigt wird, ist die Methode über /dev/arp vorzuziehen.