NWAM セキュリティーの概要

NWAM のセキュリティーは、次のコンポーネントが組み込まれるように設計されています。

• CLI (netcfg と netadm コマンド)

• NWAM GUI

• NWAM プロファイルリポジトリデーモン (netcfgd)

• ポリシーエンジンデーモン (nwamd)

• NWAM ライブラリ (libnwam)

netcfgd デーモンは、すべてのネットワーク構成情報が格納されるリポジトリを制御します。netcfg コマンド、NWAM GUI、および nwamd デーモンはすべて、netcfgd デーモンに要求を送信してリポジトリにアクセスします。これらの機能コンポーネントは、NWAM ライブラリ libnwam から要求を行います。

nwamd デーモンは、システムイベントの受信、ネットワークの構成、およびネットワーク構成情報の読み取りを行うポリシーエンジンです。NWAM GUI および netcfg コマンドは、ネットワーク構成を表示および変更する際に使用可能な構成ツールです。これらのコンポーネントは、新しい構成をシステムに適用する必要がある場合に、NWAM サービスを更新する際にも使用されます。

NWAM に関連する承認とプロファイル

現在の NWAM 実装では、特定のタスクを実行する際に次の承認が使用されます。

• solaris.network.autoconf.read – netcfgd デーモンで検証される NWAM 構成データの読み取りを有効にします。

• solaris.network.autoconf.write – netcfgd デーモンで検証される NWAM 構成データの書き込みを有効にします。

• solaris.network.autoconf.select – nwamd デーモンで検証される新しい構成データの適用を有効にします。

• solaris.network.autconf.wlan – 既知の WLAN 構成データの書き込みを有効にします。

これらの承認は、auth_attr データベースに登録されています。詳細は、auth_attr(4) のマニュアルページを参照してください。

セキュリティーポリシーには、Network Autoconf User と Network Autoconf Admin の 2 つがあります。User プロファイルには、read、select、および wlan の承認があります。Admin プロファイルには、write 承認が追加されます。Network Autoconf User プロファイルは、Console User プロファイルに割り当てられます。したがって、デフォルトでは、コンソールにログインしているユーザーならだれでも、プロファイルの表示、有効化、および無効化が可能です。Console User には solaris.network.autoconf.write 承認が割り当てられていないため、このユーザーは NCP、NCU、場所、または ENM を作成または変更できません。ただし、Console User は WLAN を表示、作成、および変更することはできます。

NWAM ユーザーインタフェースを使用するために必要な承認

NWAM コマンド netcfg および netadm を使用すると、Console User 特権を持つユーザーならだれでも、NWAM プロファイルを表示および有効化できます。これらの特権は、/dev/console からシステムにログインしているユーザーに自動的に割り当てられます。

netcfg コマンドを使用して NWAM プロファイルを変更するには、solaris.network.autoconf.write 承認または Network Autoconf Admin プロファイルが必要です。

プロファイル名を指定して profiles コマンドを使用すると、権利プロファイルに関連付けられた特権を特定できます。詳細は、profiles(1) のマニュアルページを参照してください。

たとえば、Console User 権利プロファイルに関連付けられた特権を特定するには、次のコマンドを使用します。

$ profiles -p "Console User" info
Found profile in files repository.
    name=Console User
    desc=Manage System as the Console User
    auths=solaris.system.shutdown,solaris.device.cdrw,solaris.smf.manage.vbiosd,
    solaris.smf.value.vbiosd
    profiles=Suspend To RAM,Suspend To Disk,Brightness,CPU Power Management,
    Network Autoconf User,Desktop Removable Media User
    help=RtConsUser.html

NWAM GUI には、特権がない次の 3 つのコンポーネントが含まれています。これらのコンポーネントには、起動する方法および実行する必要のあるタスクに応じて、承認が付与されます。

• NWAM 固有のパネルの存在

  このコンポーネントは、ユーザーが NWAM と対話することを可能にするデスクトップ上のパネルアプレットです。このパネルは、すべてのユーザーが実行可能であり、システムの自動構成を監視したり、イベント通知を処理したりする際に使用されます。このパネルを使用して、WiFi ネットワークの選択や、手動による場所の切り替えなどの一部の基本ネットワーク構成タスクを実行することもできます。このような種類のタスクを実行するには、Network Autoconf User 権利プロファイルが必要です。パネルは、/dev/console からログインしていて Console User プロファイルを持っているユーザーの承認で実行されているため、この権利プロファイルはデフォルトの構成で使用可能です。

• NWAM GUI

  NWAM GUI は、デスクトップから NWAM と対話するための主要な手段です。GUI を使用して、ネットワークステータスの表示、NCP と場所プロファイルの作成と変更、および構成済み ENM の開始と終了を行います。GUI と対話するには、4 つの solaris.network.autoconf 承認または Network Autoconf Admin プロファイルが必要です。デフォルトでは、Console User プロファイルに、GUI を使用してネットワークステータスおよびプロファイルを表示するために必要な承認が含まれています。さらに、GUI を使用してプロファイルを変更するには、solaris.network.autoconf.write 承認または Network Autoconf Admin プロファイルが必要です。

追加の承認を取得するには、次の方法のいずれかを実行します。

• 特定のユーザーに Network Autoconf Admin プロファイルを割り当てます。

  特定のユーザーの /etc/user_attr ファイルを編集すれば、直接そのユーザーに適切な承認または権利プロファイルを割り当てることができます。

• Console User に Network Autoconf Admin プロファイルを割り当てます。

  デフォルトで割り当てられる Network Autoconf User プロファイルの代わりに、このプロファイルを Console User に割り当てることもできます。このプロファイルを割り当てるには、/etc/security/prof_attr ファイルのエントリを編集します。