Configuration de la stratégie de périphériques

La stratégie de périphériques limite ou empêche l'accès aux périphériques faisant partie intégrante du système. La stratégie est appliquée dans le noyau.

Procédure d'affichage de la stratégie de périphériques

• Affichez la stratégie pour tous les périphériques de votre système.

  % getdevpolicy | more
  DEFAULT
          read_priv_set=none
          write_priv_set=none
  ip:*
          read_priv_set=net_rawaccess
          write_priv_set=net_rawaccess
  …

Exemple 4-1 Affichage de la stratégie pour un périphérique spécifique

Dans cet exemple, la stratégie pour trois périphériques est affichée.

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/hme
/dev/allkmem
        read_priv_set=all
        write_priv_set=all
/dev/ipsecesp
        read_priv_set=sys_net_config
        write_priv_set=sys_net_config
/dev/hme
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

Procédure de modification de la stratégie pour un périphérique existant

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil de droits Device Security.

   Le rôle d'administrateur principal inclut le profil de droits Device Security (Sécurité des périphériques). Vous pouvez créer un rôle et lui attribuer le profil de droits Device Security. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à l'Exemple 9-3.

2. Ajoutez une stratégie à un périphérique.

   # update_drv -a -p policy device-driver

   -a

   Spécifie une policy pour un device-driver.

   -p policy

   Stratégie de périphériques pour le device-driver. La stratégie de périphériques spécifie deux ensembles de privilèges. L'un des ensembles est nécessaire pour lire le périphérique, l'autre pour écrire dessus.

   device-driver

   Pilote du périphérique.

   Pour plus d'informations, reportez-vous à la page de manuel update_drv(1M).

Exemple 4-2 Ajout d'une stratégie à un périphérique existant

Dans l'exemple suivant, une stratégie est ajoutée au périphérique ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=none
# update_drv -a \
-p 'read_priv_set=net_rawaccess write_priv_set=net_rawaccess' ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess

Exemple 4-3 Suppression d'une stratégie d'un périphérique

Dans l'exemple suivant, l'ensemble de privilèges en lecture est supprimé de la stratégie de périphériques pour le périphérique ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=net_rawaccess
        write_priv_set=net_rawaccess
# update_drv -a -p write_priv_set=net_rawaccess ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
        read_priv_set=none
        write_priv_set=net_rawaccess

Procédure d'audit des modifications apportées à la stratégie de périphériques

Par défaut, la classe d'audit as inclut l'événement d'audit AUE_MODDEVPLCY.

1. Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.

   Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.

2. Présélectionnez la classe d'audit incluant l'événement d'audit AUE_MODDEVPLCY.

   Ajoutez la classe as à la ligne flags du fichier audit_control. Le fichier ressemble à ce qui suit :

   # audit_control file
   dir:/var/audit
   flags:lo,as
   minfree:20
   naflags:lo

   Pour des instructions détaillées, reportez-vous à la section Modification du fichier audit_control .

Procédure de récupération d'informations IP MIB-II à partir d'un périphérique /dev/*

Les applications qui récupèrent des informations d'Oracle Solaris IP MIB-II doivent ouvrir /dev/arp et pas /dev/ip.

1. Déterminez la stratégie de périphériques sur /dev/ip et /dev/arp.

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
           read_priv_set=net_rawaccess
           write_priv_set=net_rawaccess
   /dev/arp
           read_priv_set=none
           write_priv_set=none

   Notez que le privilège net_rawaccess est requis pour la lecture et l'écriture sur /dev/ip. Aucun privilège n'est requis pour /dev/arp.

2. Ouvrez /dev/arp et empilez les modules tcp et udp.

   Aucun privilège n'est requis. Cette méthode revient à ouvrir le fichier /dev/ip et à empiler les modules arp, tcp et udp. Étant donné que l'ouverture du fichier /dev/ip exige désormais un privilège, il est préférable d'utiliser la méthode du fichier /dev/arp.