ラベル付きゾーンの作成

この節の手順では、ラベル付きゾーンを構成します。2 つのラベル付きゾーンを自動的に作成することも、ゾーンを手動で作成することもできます。

デフォルトの Trusted Extensions システムを作成する

この手順では、2 つのラベル付きゾーンを備えた正常に動作する Trusted Extensions システムを作成します。このシステムのセキュリティーテンプレートには遠隔ホストが割り当てられていないため、このシステムはどの遠隔ホストとも通信できません。

始める前に

「Trusted Extensions にログインする」を完了しています。root 役割になっています。

1. 4 番目のワークスペースで端末ウィンドウを開きます。
2. (省略可能) txzonemgr のマニュアルページを確認します。

   # man txzonemgr

3. デフォルトの構成を作成します。

   # /usr/sbin/txzonemgr -c

   このコマンドは、Oracle Solaris OS と Trusted Extensions ソフトウェアをあるゾーンにコピーし、そのゾーンのスナップショットを作成し、元のゾーンにラベルを付けたあと、そのスナップショットを使用して 2 番目のラベル付きゾーンを作成します。ゾーンがブートされます。

   • 最初のラベル付きゾーンは、label_encodings ファイル内の Default User Sensitivity Label の値に基づいています。

   • 2 番目のラベル付きゾーンは、label_encodings ファイル内の Default User Clearance の値に基づいています。

   この手順は 20 分程度かかる可能性があります。このスクリプトでは、ゾーンをインストールするために、大域ゾーンの root パスワードがラベル付きゾーン用として使用されます。

次の手順

Trusted Extensions 構成を使用するには、「2 つのゾーンワークスペースにラベルを割り当てる」に進みます。

ラベル付きゾーンを対話形式で作成する

label_encodings ファイル中のラベルごとにゾーンを作成する必要はありませんが、作成することもできます。管理 GUI により、このシステムで GUI 用に作成されたゾーンを持つことのできるラベルが列挙されます。この手順では、2 つのラベル付きゾーンを作成します。Trusted Extensions の label_encodings ファイルを使用している場合は、デフォルトの Trusted Extensions 構成を作成します。

始める前に

「Trusted Extensions にログインする」を完了しています。root 役割になっています。

ゾーンはまだ 1 つも作成していません。

1. オプションを一切指定せずに txzonemgr コマンドを実行します。

   # txzonemgr &

   このスクリプトで、「Labeled Zone Manager」ダイアログボックスが開きます。この「zenity」ダイアログボックスで、構成の現在の状態に応じて、適切なタスクを実行するよう求められます。

   タスクを実行するには、メニュー項目を選択してから、Return キーを押すかまたは「了解」をクリックします。テキストの入力を求められた場合は、テキストを入力してから Return キーを押すかまたは「了解」をクリックします。

   ---

   ヒント - ゾーン完了の現在の状態を表示するには、Labeled Zone Manager の「Return to Main Menu」をクリックします。あるいは、「取消し」ボタンをクリックしてもかまいません。

   ---

2. 次のいずれかの方法を選択してゾーンをインストールします。
   • 2 つのラベル付きゾーンを作成するには、ダイアログボックスから「public and internal zones」を選択します。

     • 最初のラベル付きゾーンは、label_encodings ファイル内の Default User Sensitivity Label の値に基づいています。

     • 2 番目のラベル付きゾーンは、label_encodings ファイル内の Default User Clearance の値に基づいています

     1. システムを識別するためのプロンプトに応答します。

        public ゾーンで排他的 IP スタックが使用されている場合や、そのゾーンが DNS で定義された IP アドレスを持つ場合は、DNS で定義されたホスト名を使用します。それ以外の場合は、システムの名前を使用します。

     2. root パスワードの入力を求めるプロンプトには応答しません。

        root パスワードはシステムのインストール時に設定されました。このプロンプトに対して入力すると、処理が失敗します。

     3. ゾーンのログインプロンプトで、ユーザーのログインとパスワードを入力します。

        次に、svcs -x コマンドを実行し、すべてのサービスが構成されていることを確認します。メッセージが何も表示されなければ、すべてのサービスが構成されています。

     4. ゾーンからログアウトし、ウィンドウを閉じます。

        プロンプトで exit と入力し、ゾーンのコンソールから「ウィンドウを閉じる」を選択します。

        別のウィンドウで 2 番目のゾーンのインストールが完了します。このゾーンはスナップショットから構築されるため、すぐに構築が終了します。

     5. 2 番目のゾーンのコンソールにログインし、すべてのサービスが実行中であることを確認します。

        # svcs -x
        #

        メッセージが何も表示されなければ、すべてのサービスが構成されています。Labeled Zone Manager が表示されています。

     6. Labeled Zone Manager で internal ゾーンをダブルクリックします。

        「リブート」を選択したあと、「取消し」ボタンをクリックしてメイン画面に戻ります。すべてのゾーンが実行されています。ラベルなしのスナップショットは実行されていません。

   • ゾーンを手動で作成するには、「メイン・メニュー」を選択したあと、「Create a Zone」を選択します。

     プロンプトに従います。GUI がゾーンの作成手順を案内します。

     このゾーンの作成とブートが完了したら、大域ゾーンに戻ってゾーンをさらに作成できます。これらのゾーンはスナップショットから作成されます。

例 4-2 別のラベル付きゾーンの作成

この例では、管理者が、デフォルトの label_encodings ファイルから制限されたゾーンを 1 つ作成します。

まず、管理者が txzonemgr スクリプトを対話モードで開きます。

# txzonemgr &

次に、管理者は大域ゾーンに移動し、restricted という名前のゾーンを作成します。

Create a new zone:restricted

次に、管理者は正しいラベルを適用します。

Select label:CNF : RESTRICTED

管理者はリストから、「クローン」オプションを選択したあと、新しいゾーンのテンプレートとして「snapshot」を選択します。

restricted ゾーンが使用可能になったあと、管理者は「ブート」をクリックしてこの 2 番目のゾーンをブートします。

restricted ゾーンにアクセスできるように、管理者は label_encodings ファイル内の Default User Clearance の値を CNF RESTRICTED に変更します。

2 つのゾーンワークスペースにラベルを割り当てる

この手順では、2 つのラベル付きワークスペースを作成し、各ラベル付きワークスペース内でラベル付きウィンドウを開きます。このタスクが完了すると、ネットワーク機能を持たない正常に動作する Trusted Extensions システムが作成されます。

始める前に

「デフォルトの Trusted Extensions システムを作成する」、「ラベル付きゾーンを対話形式で作成する」のいずれかを完了しています。

初期ユーザーです。

1. PUBLIC ワークスペースを作成します。

   PUBLIC ワークスペースのラベルは Default User Sensitivity Label に対応しています。

   1. 2 番目のワークスペースに切り替えます。
   2. 右クリックして「ワークスペースラベルを変更」を選択します。
   3. 「PUBLIC」を選択し、「了解」をクリックします。
2. プロンプトにパスワードを入力します。

   PUBLIC ワークスペースにアクセスします。

3. 端末ウィンドウを開きます。

   ウィンドウには PUBLIC というラベルが表示されます。

4. INTERNAL USE ONLY ワークスペースを作成します。

   サイト固有の label_encodings ファイルを使用する場合は、Default User Clearance の値からワークスペースを作成することになります。

   1. 3 番目のワークスペースに切り替えます。
   2. 右クリックして「ワークスペースラベルを変更」を選択します。
   3. 「INTERNAL USE ONLY」を選択し、「了解」をクリックします。
5. プロンプトにパスワードを入力します。

   INTERNAL ワークスペースに入ります。

6. 端末ウィンドウを開きます。

   ウィンドウには CONFIDENTIAL : INTERNAL USE ONLY というラベルが表示されます。

   システムを使用する準備が整いました。ユーザーは 2 つのユーザーワークスペースと 1 つの役割ワークスペースを持ちます。この構成では、ラベル付きゾーンは、大域ゾーンと同じ IP アドレスを使用してほかのシステムとの通信を行います。それが可能なのは、デフォルトでこの IP アドレスが all-zones インタフェースとして共有されるからです。

次の手順

Trusted Extensions システムでほかのシステムとの通信を行う予定の場合は、「Trusted Extensions でのネットワークインタフェースの構成」に進みます。