構成可能なセキュリティー機能

Trusted Extensions には Oracle Solaris と同じセキュリティー機能に加え、いくつかの機能が追加されています。たとえば、Oracle Solaris OS には eeprom 保護、パスワードの要件、強力なパスワードアルゴリズム、ユーザーのロックアウトによるシステムの保護、キーボードによるシャットダウンからの保護が用意されています。

Trusted Extensions が Oracle Solaris と異なる点は、通常ある役割になることでシステムを管理するという点です。Oracle Solaris OS と同様に、構成ファイルは root 役割によって変更されます。

Trusted Extensions の役割

Trusted Extensions では、通常、役割を使用してシステムを管理します。スーパーユーザーは root 役割であり、監査フラグの設定、アカウントのパスワードの変更、システムファイルの編集など、いくつかのタスクで必要となります。役割は Oracle Solaris の場合とまったく同様に作成されます。

Trusted Extensions サイトでは、次の役割が一般的に使用されます。

• root 役割 – Oracle Solaris のインストール時に作成されます

• セキュリティー管理者役割 – 初期構成中または初期構成後に、初期設定チームによって作成されます

• システム管理者役割 – 初期構成中または初期構成後に、初期設定チームによって作成されます

Trusted Extensions での役割の作成

Trusted Extensions を管理するには、システムとセキュリティーの機能を分離する役割を作成します。

Trusted Extensions で役割を作成する処理は、Oracle Solaris と同じです。デフォルトでは、ADMIN_HIGH から ADMIN_LOW の管理ラベル範囲が役割に割り当てられます。

• 役割の作成の概要については、『Oracle Solaris の管理: セキュリティーサービス』の「RBAC の使用 (タスク)」を参照してください。

• 役割を作成するには、『Oracle Solaris の管理: セキュリティーサービス』の「役割を作成する方法」を参照してください。

Trusted Extensions での役割の引き受け

トラステッドデスクトップ上で、割り当てられた役割になるには、トラステッドストライプのユーザー名をクリックして役割の選択肢を表示します。役割のパスワードの確認が完了すると、現在のワークスペースが役割ワークスペースに変更されます。役割ワークスペースは大域ゾーンに存在し、トラステッドパスの属性を持ちます。役割ワークスペースは管理ワークスペースです。

セキュリティー機能を構成するための Trusted Extensions インタフェース

Trusted Extensions では既存のセキュリティー機能を拡張できます。さらに、Trusted Extensions は固有のセキュリティー機能も提供します。

Trusted Extensions による Oracle Solaris セキュリティー機能の拡張

Oracle Solaris が提供する次のセキュリティーメカニズムは、Trusted Extensions でも Oracle Solaris と同様に拡張可能です。

• 監査クラス – 監査クラスの追加については、『Oracle Solaris の管理: セキュリティーサービス』の第 28 章「監査の管理 (タスク)」で説明しています。

  ---

  注 - 監査イベントを追加する必要のあるベンダーは、Oracle Solaris の担当者に連絡を取り、イベント番号の予約と監査インタフェースへのアクセス権の取得を行う必要があります。

  ---

• 役割と権利プロファイル – 役割や権利プロファイルの追加については、『Oracle Solaris の管理: セキュリティーサービス』の第 9 章「役割に基づくアクセス制御の使用 (タスク)」で説明しています。

• 承認 – 新しい承認の追加例については、「Trusted Extensions でのデバイス承認のカスタマイズ (作業マップ) 」を参照してください。

Oracle Solaris と同様に、特権は拡張できません。

Trusted Extensions 固有のセキュリティー機能

Trusted Extensions には、次に示す固有のセキュリティー機能が用意されています。

• ラベル – サブジェクトとオブジェクトにはラベルが付けられます。プロセスにラベルが付けられます。ゾーンとネットワークにラベルが付けられます。ワークスペースとそのオブジェクトにラベルが付けられます。

• デバイスマネージャー – デフォルトでは、デバイスは割り当て要件により保護されます。このデバイスマネージャーの GUI は、管理者と一般ユーザー用のインタフェースです。

• 「パスワードを変更」メニュー – このメニューを使用すると、ユーザーまたは役割のパスワードを変更できます。

• 「ワークスペースラベルを変更」メニュー – マルチレベルセッションのユーザーはワークスペースのラベルを変更できます。ユーザーが別のラベルのワークスペースに入る際にパスワードの入力を要求することが可能です。