Trusted Extensions での遠隔システムの管理方式

Trusted Extensions では、ssh プロトコルとホストベースの認証を使用して遠隔システムに到達し、管理する必要があります。ホストベースの認証を使用すると、同じ名前を持つユーザーアカウントが遠隔 Trusted Extensions 上で役割になることができます。

ホストベースの認証を使用する場合、ssh クライアントは、元のユーザー名と役割名の両方を遠隔システムであるサーバーに送信します。サーバーはこの情報に基づいて、ユーザーアカウントがサーバーにログインしなくても役割になれるだけの内容を、pam_roles モジュールに渡すことができます。

Trusted Extensions では、次の遠隔管理方式が可能です。

• Trusted Extensions システムからの管理 – もっとも安全な遠隔管理を行えるように、両方のシステムで、相手のシステムを CIPSO セキュリティーテンプレートに割り当てます。例 12-1 を参照してください。

• ラベルなしシステムからの管理 – Trusted Extensions システムによる管理が実用的でない場合は、pam.conf ファイルで pam_tsol_account モジュールに allow_unlabeled オプションを指定することにより、ネットワークプロトコルのポリシーを引き下げることができます。

  このポリシーを引き下げた場合、任意のシステムが大域ゾーンに到達できないようにデフォルトのセキュリティーテンプレートを変更する必要があります。admin_low テンプレートはひかえめに使用するようにし、ワイルドカードアドレス 0.0.0.0 のデフォルトを ADMIN_LOW ラベルにしないようにする必要があります。詳細は、「トラステッドネットワーク上で接続できるホストを制限する」を参照してください。

どちらの管理シナリオの場合も、root 役割を使用して遠隔ログインを行うには、pam_roles モジュールに allow_remote オプションを指定して PAM ポリシーを引き下げる必要があります。

通常、管理者は ssh コマンドを使用することで、コマンド行から遠隔システムを管理します。-X オプションを指定すれば、Trusted Extensions の管理 GUI を使用できます。

また、Xvnc サーバーで遠隔 Trusted Extensions を構成することもできます。その場合、仮想ネットワークコンピューティング (VNC) 接続を使用することで、遠隔マルチレベルデスクトップの表示とシステムの管理を行うことができます。「遠隔アクセス用に Xvnc で Trusted Extensions システムを構成する」を参照してください。