Trusted Extensions でのデバイスの管理 (作業マップ)

次の作業マップでは、サイトのデバイスを保護する手順について説明します。

Trusted Extensions でデバイスを構成する

デフォルトで割り当て可能なデバイスは、ラベル範囲が ADMIN_LOW から ADMIN_HIGH であり、使用するには割り当てられる必要があります。また、ユーザーはデバイス割り当てを承認されている必要があります。これらのデフォルトは変更可能です。

使用するために割り当て可能なデバイスは次のとおりです。

• audion – マイクロフォンとスピーカーを表します

• cdromn – CD-ROM ドライブを表します

• floppyn – フロッピーディスクドライブを表します

• mag_tapen – テープドライブ (ストリーマテープドライブ) を表します

• rmdiskn – JAZ ドライブや ZIP ドライブなどのリムーバブルディスク、または USB ホットプラグ対応メディアを表します

始める前に

大域ゾーンでセキュリティー管理者役割になります。

1. 「トラステッドパス」メニューから「デバイスの割り当て」を選択します。

   デバイスマネージャーが表示されます。

   
   
2. デフォルトのセキュリティー設定を表示します。

   「管理」をクリックして、デバイスを強調表示します。次の図は、root 役割が表示しているオーディオデバイスを示したものです。

   
   
3. (省略可能) デバイスのラベル範囲を制限します。
   1. 最小ラベルを設定します。

      「最小ラベル」ボタンをクリックします。ラベルビルダーから最小ラベルを選択します。ラベルビルダーの詳細は、「Trusted Extensions のラベルビルダー」を参照してください。

   2. 最大ラベルを設定します。

      「最大ラベル...」ボタンをクリックします。ラベルビルダーから最大ラベルを選択します。

4. デバイスがローカルに割り当て可能かどうかを指定します。

   「トラステッドパスからの割り当て」の下の「Device Configuration」ダイアログボックスで、「割り当てを行えるユーザー」リストからオプションを選択します。デフォルトでは、「承認されたユーザー」オプションがチェックされています。したがって、デバイスは割り当て可能であり、ユーザーは承認が必要です。

   • デバイスを割り当て不可にするには、「なし」をクリックします。

     プリンタ、フレームバッファーなど、割り当て可能にしてはいけないデバイスを構成する場合は、「なし」を選択します。

   • デバイスを割り当て可能だが承認不要にするには、「すべてのユーザー」をクリックします。
5. デバイスが遠隔で割り当て可能かどうかを指定します。

   「信頼できないパスからの割り当て」セクションで、「割り当てを行えるユーザー」リストからオプションを選択します。デフォルトでは、「トラステッドパスと同じ」オプションがチェックされています。

   • ユーザー承認を必要にするには、「承認されたユーザーによって割り当て可能」を選択します。
   • 遠隔ユーザーによる割り当てを不可にするには、「なし」を選択します。
   • 任意のユーザーがデバイスを割り当てできるようにするには、「すべてのユーザー」を選択します。
6. デバイスが割り当て可能であり、かつサイトで新しいデバイス承認を作成してある場合、適切な承認を選択します。

   次のダイアログボックスは、cdrom0 デバイスを割り当てるために solaris.device.allocate 承認が必要であることを示しています。

   
   

   サイト固有のデバイス承認の作成と使用法については、「Trusted Extensions でのデバイス承認のカスタマイズ (作業マップ) 」を参照してください。

7. 「了解」をクリックして変更を保存します。

Trusted Extensions でデバイスを解除または再利用する

デバイスがデバイスマネージャーに表示されていない場合、すでに割り当てられているか、割り当てエラー状態である可能性があります。システム管理者は、利用できるようにデバイスを回復できます。

始める前に

大域ゾーンで、システム管理者役割になっている必要があります。この役割には、solaris.device.revoke 承認が含まれています。

1. 「トラステッドパス」メニューから「デバイスの割り当て」を選択します。

   次の図では、オーディオデバイスがすでにユーザーに割り当てられています。

   
   
2. 「管理」ボタンをクリックします。
3. デバイスの状態をチェックします。

   デバイス名を選択し、「状態」フィールドを確認します。

   • 「状態」フィールドが「割り当てエラーの状態」の場合は、「再利用」ボタンをクリックします。
   • 「状態」フィールドが「割り当て済み」の場合は、次のいずれかを行います。
     • 「所有者」フィールドのユーザーに、デバイスの割り当て解除を依頼する。
     • 「解除」ボタンを押して、デバイスを強制的に割り当て解除する。
4. デバイスマネージャーを閉じます。

Trusted Extensions で割り当て不可のデバイスを保護する

「デバイス割り当て: 構成」ダイアログボックスの「割り当てを行えるユーザー」セクションの「なし」オプションは、フレームバッファーとプリンタでもっとも頻繁に使用されます。これらのデバイスは割り当てせずに利用できるからです。

始める前に

大域ゾーンでセキュリティー管理者役割になります。

1. 「トラステッドパス」メニューから「デバイスの割り当て」を選択します。
2. デバイスマネージャーで「管理」ボタンをクリックします。
3. 新しいプリンタまたはフレームバッファーを選択します。
   1. デバイスを割り当て不可にするには、「なし」をクリックします。
   2. (省略可能) デバイスのラベル範囲を制限します。
      1. 最小ラベルを設定します。

         「最小ラベル...」ボタンをクリックします。ラベルビルダーから最小ラベルを選択します。ラベルビルダーの詳細は、「Trusted Extensions のラベルビルダー」を参照してください。

      2. 最大ラベルを設定します。

         「最大ラベル...」ボタンをクリックします。ラベルビルダーから最大ラベルを選択します。

例 21-1 オーディオデバイスの遠隔割り当ての禁止

「割り当てを行えるユーザー」セクションの「なし」オプションを使用すると、遠隔ユーザーは遠隔システム周辺の会話を聞くことができません。

セキュリティー管理者は、デバイスマネージャーで次のようにオーディオデバイスを構成します。

Device Name: audio
For Allocations From: Trusted Path
Allocatable By: Authorized Users
Authorizations: solaris.device.allocate

Device Name: audio
For Allocations From: Non-Trusted Pathh
Allocatable By: No Users

Trusted Extensions で Device_Clean スクリプトを追加する

デバイスの作成時に device_clean スクリプトが指定されていない場合、デフォルトスクリプトの /bin/true が使用されます。

始める前に

使用可能なデータをすべて物理デバイスから削除し、成功の場合は 0 を返すスクリプトを用意します。リムーバブルメディアを使用するデバイスの場合、メディアの取り出しをユーザーが行わないと、代わりにスクリプトが試行します。メディアが取り出されない場合、スクリプトによってデバイスは割り当てエラー状態になります。要件については、device_clean(5) のマニュアルページを参照してください。

大域ゾーンで root 役割になっている必要があります。

1. スクリプトを /etc/security/lib ディレクトリにコピーします。
2. 「Device Properties」ダイアログボックスで、スクリプトへのフルパスを指定します。
   1. デバイスマネージャーを開きます。
   2. 「管理」ボタンをクリックします。
   3. デバイスの名前を選択し、「構成」ボタンをクリックします。
   4. 「clean プログラム」フィールドに、スクリプトへのフルパスを入力します。
3. 変更を保存します。