管理设备分配

设备分配会限制或禁止访问外围设备。限制在用户分配时实施。缺省情况下，用户必须具有授权才能访问可分配设备。

如何使设备可分配

如果已经运行 bsmconv 命令启用了审计，则已经在系统上启用了设备分配。有关更多信息，请参见 bsmconv(1M) 手册页。

1. 承担拥有 Audit Control（审计控制）权限配置文件的角色或成为超级用户。

   Primary Administrator（主管理员）角色拥有 Audit Control（审计控制）权限配置文件。您也可以将 Audit Control（审计控制）权限配置文件指定给您创建的角色。要创建该角色并将它指定给用户，请参见示例 9-3。

2. 启用设备分配。

   # bsmconv
   This script is used to enable the Basic Security Module (BSM).
   Shall we continue with the conversion now? [y/n] y
   bsmconv: INFO: checking startup file.
   bsmconv: INFO: move aside /etc/rc3.d/S81volmgt.
   bsmconv: INFO: turning on audit module.
   bsmconv: INFO: initializing device allocation files.
   
   The Basic Security Module is ready.
   If there were any errors, please fix them now.
   Configure BSM by editing files located in /etc/security.
   Reboot this system now to come up with BSM enabled.

   ---

   注 - 此命令禁用 Volume Management 守护进程 (/etc/rc3.d/S81volmgt)。

   ---

如何授权用户分配设备

1. 承担 Primary Administrator（主管理员）角色，或成为超级用户。

   Primary Administrator（主管理员）角色拥有 Primary Administrator（主管理员）配置文件。要创建该角色并将其指定给用户，请参见《系统管理指南：基本管理》中的第 2  章 "使用 Solaris Management Console（任务）"。

2. 创建包含适当授权和命令的权限配置文件。

   通常，您会创建一个包括 solaris.device.allocate 授权的权限配置文件。请按如何创建或更改权限配置文件中的说明操作。为权限配置文件指定相应的属性，例如：

   • 权限配置文件名称：Device Allocation（设备分配）

   • 授予的授权：solaris.device.allocate

   • 带安全属性的命令：带 sys_mount 特权的 mount 和带 sys_mount 特权的 umount。

3. 创建权限配置文件的角色。

   请按如何使用 GUI 创建和指定角色中的说明操作。使用以下角色属性作为指南：

   • 角色名称：devicealloc

   • 角色全名：Device Allocator（设备分配器）

   • 角色说明：Allocates and mounts allocated devices（分配并挂载已分配的设备）

   • 权限配置文件：Device Allocation（设备分配）

     此权限配置文件必须位于该角色包含的配置文件列表的顶部。

4. 将角色指定给允许分配设备的每个用户。
5. 向用户讲授如何使用设备分配。

   有关分配可移除介质的示例，请参见如何分配设备。

   因为卷管理守护进程 (vold) 未运行，因此不会自动挂载可移除介质。有关挂载已分配设备的示例，请参见如何挂载分配的设备。

如何查看有关设备的分配信息

开始之前

必须启用设备分配，此过程才会成功。要启用设备分配，请参见如何使设备可分配。

1. 承担拥有 Device Security（设备安全）权限配置文件的角色或成为超级用户。

   Primary Administrator（主管理员）角色拥有 Device Security（设备安全）权限配置文件。您也可以将 Device Security（设备安全）权限配置文件指定给您创建的角色。要创建该角色并将它指定给用户，请参见示例 9-3。

2. 显示有关您系统上的可分配设备的信息。

   # list_devices device-name

   其中，device-name 是以下各项之一：

   • audio[n]－麦克风和扬声器。

   • fd[n]－软盘驱动器。

   • sr[n]－CD-ROM 驱动器。

   • st[n]－磁带机。

故障排除

如果 list_devices 命令返回了类似以下内容的错误消息，则表示设备分配未启用，或者您没有足够的权限来检索信息。

list_devices: No device maps file entry for specified device.

要使此命令成功执行，请启用设备分配并承担具有 solaris.device.revoke 授权的角色。

强制分配设备

可在某个用户忘记解除分配设备时使用强制分配，也可在用户即时需要设备时使用强制分配。

开始之前

用户或角色必须具有 solaris.device.revoke 授权。

1. 确定您在您的角色中是否具有相应授权。

   $ auths
   solaris.device.allocate solaris.device.revoke

2. 将设备强制分配给需要设备的用户。

   在此示例中，将磁带机强制分配给了用户 jdoe。

   $ allocate -U jdoe

强制解除分配设备

进程终止或用户注销之后，不会自动解除分配用户已分配的设备。用户忘记解除分配设备时，应使用强制解除分配。

开始之前

用户或角色必须具有 solaris.device.revoke 授权。

1. 确定您在您的角色中是否具有相应授权。

   $ auths
   solaris.device.allocate solaris.device.revoke

2. 强制解除分配设备。

   在此示例中，强制解除分配了打印机。现在，打印机可供其他用户分配了。

   $ deallocate -f /dev/lp/printer-1

如何更改可分配的设备

1. 承担拥有 Device Security（设备安全）权限配置文件的角色或成为超级用户。

   Primary Administrator（主管理员）角色拥有 Device Security（设备安全）权限配置文件。您也可以将 Device Security（设备安全）权限配置文件指定给您创建的角色。要创建该角色并将它指定给用户，请参见示例 9-3。

2. 指定是否需要授权，或者指定 solaris.device.allocate 授权。

   更改 device_allocate 文件中设备项的第五个字段。

   audio;audio;reserved;reserved;solaris.device.allocate;/etc/security/lib/audio_clean
   fd0;fd;reserved;reserved;solaris.device.allocate;/etc/security/lib/fd_clean
   sr0;sr;reserved;reserved;solaris.device.allocate;/etc/security/lib/sr_clean

   其中 solaris.device.allocate 指示用户必须具有 solaris.device.allocate 授权才能使用此设备。

示例 4-4 允许任何用户分配设备

在以下示例中，系统上的任何用户都可以分配任何设备。device_allocate 文件中每个设备项的第五个字段都已更改为一个 at 符号 (@)。

$ whoami
devicesec
$ vi /etc/security/device_allocate
audio;audio;reserved;reserved;@;/etc/security/lib/audio_clean
fd0;fd;reserved;reserved;@;/etc/security/lib/fd_clean
sr0;sr;reserved;reserved;@;/etc/security/lib/sr_clean
…

示例 4-5 禁止使用某些外围设备

在以下示例中，不能使用音频设备。device_allocate 文件中音频设备项的第五个字段已更改为一个星号 (*)。

$ whoami
devicesec
$ vi /etc/security/device_allocate
audio;audio;reserved;reserved;*;/etc/security/lib/audio_clean
fd0;fd;reserved;reserved;solaris device.allocate;/etc/security/lib/fd_clean
sr0;sr;reserved;reserved;solaris device.allocate;/etc/security/lib/sr_clean
…

示例 4-6 禁止使用所有外围设备

在以下示例中，不能使用任何外围设备。device_allocate 文件中每个设备项的第五个字段都已更改为一个星号 (*)。

$ whoami
devicesec
$ vi /etc/security/device_allocate
audio;audio;reserved;reserved;*;/etc/security/lib/audio_clean
fd0;fd;reserved;reserved;*;/etc/security/lib/fd_clean
sr0;sr;reserved;reserved;*;/etc/security/lib/sr_clean
…

如何审计设备分配

缺省情况下，设备分配命令在 other 审计类中。

1. 承担 Primary Administrator（主管理员）角色，或成为超级用户。

   Primary Administrator（主管理员）角色拥有 Primary Administrator（主管理员）配置文件。要创建该角色并将其指定给用户，请参见《系统管理指南：基本管理》中的第 2  章 "使用 Solaris Management Console（任务）"。

2. 预选 ot 类进行审计。

   将 ot 类添加到 audit_control 文件的 flags 行中。此文件将显示类似如下的内容：

   # audit_control file
   dir:/var/audit
   flags:lo,ot
   minfree:20
   naflags:lo

   有关详细说明，请参见如何修改 audit_control 文件 。