Configuración de política de dispositivos

La política de dispositivos restringe o impide el acceso a los dispositivos que son una parte integral del sistema. La política se aplica en el núcleo.

Cómo ver una política de dispositivos

• Visualice la política de dispositivos para todos los dispositivos del sistema.

  % getdevpolicy | more
  DEFAULT
          read_priv_set=none
          write_priv_set=none
  ip:*
          read_priv_set=net_rawaccess
          write_priv_set=net_rawaccess
  …

Ejemplo 4-1 Visualización de la política de dispositivos para un dispositivo específico

En este ejemplo, se muestra la política de dispositivos para tres dispositivos.

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/hme
/dev/allkmem
        read_priv_set=all
        write_priv_set=all
/dev/ipsecesp
        read_priv_set=sys_net_config
        write_priv_set=sys_net_config
/dev/hme
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

Cómo cambiar la política de dispositivos en un dispositivo existente

1. Asuma un rol que incluya el perfil de derechos de seguridad de dispositivos o conviértase en superusuario.

   El rol de administrador principal incluye el perfil de derechos de seguridad de dispositivos. También puede asignar el perfil de derechos de seguridad de dispositivos a un rol que cree. Para crear el rol y asignarlo a un usuario, consulte el Ejemplo 9-3.

2. Agregue una política a un dispositivo.

   # update_drv -a -p policy device-driver

   -a

   Especifica una política para controlador_dispositivo.

   -p política

   Es la política de dispositivos para controlador_dispositivo. La política de dispositivos especifica dos conjuntos de privilegios. Un conjunto es necesario para leer el dispositivo. El otro conjunto es necesario para escribir en el dispositivo.

   controlador_dispositivo

   Es el controlador del dispositivo.

   Para obtener más información, consulte la página del comando man update_drv(1M).

Ejemplo 4-2 Cómo agregar una política a un dispositivo existente

En el ejemplo siguiente, la política de dispositivos se agrega al dispositivo ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=none
# update_drv -a \
-p 'read_priv_set=net_rawaccess write_priv_set=net_rawaccess' ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

Ejemplo 4-3 Eliminación de una política de un dispositivo

En el ejemplo siguiente, el conjunto de privilegios de lectura se elimina de la política de dispositivos para el dispositivo ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess
# update_drv -a -p write_priv_set=net_rawaccess ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=net_rawaccess

Cómo auditar cambios en la política de dispositivos

De manera predeterminada, la clase de auditoría as incluye el evento de auditoría AUE_MODDEVPLCY.

1. Asuma el rol de administrador principal o conviértase en superusuario.

   El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.

2. Preseleccione la clase de auditoría que incluye el evento de auditoría AUE_MODDEVPLCY.

   Agregue la clase as a la línea flags del archivo audit_control. El archivo tendría un aspecto similar al siguiente:

   # audit_control file
   dir:/var/audit
   flags:lo,as
   minfree:20
   naflags:lo

   Para obtener instrucciones detalladas, consulte Cómo modificar el archivo audit_control.

Cómo recuperar información MIB-II IP de un dispositivo /dev/*

Las aplicaciones que recuperan información MIB-II IP de Oracle Solaris deben abrir /dev/arp, no /dev/ip.

1. Determine la política de dispositivos en /dev/ip y /dev/arp.

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
           read_priv_set=net_rawaccess
           write_priv_set=net_rawaccess
   /dev/arp
           read_priv_set=none
           write_priv_set=none

   Tenga en cuenta que se requiere el privilegio net_rawaccess para la lectura y escritura en /dev/ip. No se requieren privilegios para /dev/arp.

2. Abra /dev/arp y utilice los módulos tcp y udp.

   No se requieren privilegios. Este método es equivalente a abrir /dev/ip y utilizar los módulos arp, tcp y udp. Como la apertura de /dev/ip requiere ahora un privilegio, es preferible usar el método /dev/arp.