Configuration de la stratégie de périphériques (tâches)

La stratégie de périphériques limite ou empêche l'accès aux périphériques faisant partie intégrante du système. La stratégie est appliquée dans le noyau.

Configuration de la stratégie de périphériques (liste des tâches)

La liste des tâches suivante présente les procédures de configuration des périphériques liées à la stratégie de périphériques.

Procédure d'affichage de la stratégie de périphériques

• Affichez la stratégie pour tous les périphériques de votre système.

  % getdevpolicy | more
  DEFAULT
  read_priv_set=none
  write_priv_set=none
  ip:*
  read_priv_set=net_rawaccess
  write_priv_set=net_rawaccess
  …

Exemple 5-1 Affichage de la stratégie pour un périphérique spécifique

Dans cet exemple, la stratégie pour trois périphériques est affichée.

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/bge
/dev/allkmem
read_priv_set=all
write_priv_set=all
/dev/ipsecesp
read_priv_set=sys_net_config
write_priv_set=sys_net_config
/dev/bge
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

Procédure de modification de la stratégie pour un périphérique existant

Avant de commencer

Le profil de droits Device Security (sécurité des périphériques) doit vous avoir été attribué.

1. Endossez le rôle d'administrateur et dotez-vous des attributs de sécurité nécessaires.

   Pour plus d'informations, reportez-vous à la section Procédure d'obtention des droits d'administration.

2. Ajoutez une stratégie à un périphérique.

   # update_drv -a -p policy device-driver

   -a

   Spécifie une policy pour un device-driver.

   -p policy

   Stratégie de périphériques pour le device-driver. La stratégie de périphériques spécifie deux ensembles de privilèges. L'un des ensembles est nécessaire pour lire le périphérique, l'autre pour écrire dessus.

   device-driver

   Pilote du périphérique.

   Pour plus d'informations, reportez-vous à la page de manuel update_drv(1M).

Exemple 5-2 Ajout d'une stratégie à un périphérique existant

Dans l'exemple suivant, une stratégie est ajoutée au périphérique ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=none
write_priv_set=none
# update_drv -a \
-p 'read_priv_set=net_rawaccess write_priv_set=net_rawaccess' ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

Exemple 5-3 Suppression d'une stratégie d'un périphérique

Dans l'exemple suivant, l'ensemble de privilèges en lecture est supprimé de la stratégie de périphériques pour le périphérique ipnat.

# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess
# update_drv -a -p write_priv_set=net_rawaccess ipnat
# getdevpolicy /dev/ipnat
/dev/ipnat
read_priv_set=none
write_priv_set=net_rawaccess

Procédure d'audit des modifications apportées à la stratégie de périphériques

Par défaut, la classe d'audit as inclut l'événement d'audit AUE_MODDEVPLCY.

Avant de commencer

Le profil de droits Audit Configuration (configuration d'audit) doit vous avoir été attribué.

1. Endossez le rôle d'administrateur et dotez-vous des attributs de sécurité nécessaires.

   Pour plus d'informations, reportez-vous à la section Procédure d'obtention des droits d'administration.

2. Présélectionnez la classe d'audit incluant l'événement d'audit AUE_MODDEVPLCY.

   # auditconfig -getflags
   current-flags
   # auditconfig -setflags current-flags,as

   Pour des instructions détaillées, reportez-vous à la section Procédure de présélection des classes d'audit.

Procédure de récupération d'informations IP MIB-II à partir d'un périphérique /dev/*

Les applications qui récupèrent des informations d'Oracle Solaris IP MIB-II doivent ouvrir /dev/arp et pas /dev/ip.

1. Déterminez la stratégie de périphériques sur /dev/ip et /dev/arp.

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
   read_priv_set=net_rawaccess
   write_priv_set=net_rawaccess
   /dev/arp
   read_priv_set=none
   write_priv_set=none

   Notez que le privilège net_rawaccess est requis pour la lecture et l'écriture sur /dev/ip. Aucun privilège n'est requis pour /dev/arp.

2. Ouvrez /dev/arp et empilez les modules tcp et udp.

   Aucun privilège n'est requis. Cette méthode revient à ouvrir le fichier /dev/ip et à empiler les modules arp, tcp et udp. Etant donné que l'ouverture du fichier /dev/ip exige désormais un privilège, il est préférable d'utiliser la méthode du fichier /dev/arp.