Réalisation d'actions sécurisées

Les tâches suivantes liées à la sécurité nécessitent le chemin de confiance.

Attention - Si le symbole de confiance est absent lorsque vous tentez d'effectuer une action liée à la sécurité, contactez immédiatement votre administrateur de sécurité. Le problème de votre système pourrait être grave.

Modification du mot de passe dans Trusted Extensions

Contrairement au SE Oracle Solaris, Trusted Extensions fournit une interface graphique permettant de modifier votre mot de passe. L'interface graphique prend le contrôle du pointeur jusqu'à ce que l'opération sur le mot de passe soit terminée. Pour arrêter un processus qui a saisi le pointeur de la souris, reportez-vous à l'Exemple 3-5.

Choisissez Change Login Password (Modifier le mot de passe de connexion) ou Change Workspace Password (Modifier le mot de passe de l'espace de travail) dans le menu Trusted Path (Chemin de confiance).
Pour sélectionner l'option de menu relative au mot de passe, cliquez sur Trusted Path dans la bande de confiance.

Figure 3-3 Menu Trusted Path (Chemin de confiance)

Remarque - L'option de menu Change Workspace Password (Modifier le mot de passe de l'espace de travail) du menu Trusted Path (Chemin de confiance) est active lorsque votre site exécute un service de noms distinct dans chaque zone.

Saisissez votre mot de passe actuel.

Cette action confirme que vous êtes l'utilisateur légitime de ce nom d'utilisateur. Pour des raisons de sécurité, le mot de passe ne s'affiche pas lorsque vous le saisissez.

Attention - Lorsque vous saisissez votre mot de passe, assurez-vous que le curseur se trouve dans la boîte de dialogue Change Password (Modifier le mot de passe) et que le symbole de confiance est affiché. Si le curseur ne se trouve pas dans la boîte de dialogue, vous risquez de saisir par inadvertance votre mot de passe dans une autre fenêtre, dans laquelle le mot de passe pourrait être vu par un autre utilisateur. Si le symbole de confiance n'est pas affiché, il est possible qu'un autre utilisateur tente de voler votre mot de passe. Contactez immédiatement votre administrateur de sécurité.

Saisissez le nouveau mot de passe.
Confirmez le mot de passe en le saisissant à nouveau.
Remarque - Si vous choisissez Change Password (Modifier le mot de passe) et si votre site utilise des comptes locaux, votre nouveau mot de passe ne prendra effet qu'après le redémarrage de la zone ou du système. Vous ne pouvez réinitialiser la zone que si le profil de droits Zone Security (Sécurité des zones) vous est affecté. Vous ne pouvez réinitialiser le système que si le profil de droits Maintenance and Repair (Maintenance et réparations) vous est affecté. Si aucun de ces profils ne vous est affecté, contactez votre administrateur système pour programmer une réinitialisation.

Exemple 3-5 Test permettant de vérifier si l'invite de mot de passe est de confiance

Sur un système x86 équipé d'un clavier Sun, l'utilisateur a été invité à saisir un mot de passe. Le pointeur de la souris a été capté et est placé dans la boîte de dialogue du mot de passe. Pour vérifier que l'invite est de confiance, l'utilisateur appuie simultanément sur les touches Meta-Arrêt. Si le pointeur reste dans la boîte de dialogue, l'utilisateur sait que l'invite du mot de passe est de confiance.

Si le pointeur ne reste pas dans la boîte de dialogue, l'utilisateur sait que l'invite du mot de passe n'est pas sécurisée. L'utilisateur doit alors contacter l'administrateur.

Connexion sous une étiquette différente

L'étiquette du premier espace de travail qui apparaît dans les sessions de connexion suivant la première connexion peut être définie sur toute étiquette de votre plage d'étiquettes.

Les utilisateurs peuvent configurer les caractéristiques de la session de démarrage pour chaque étiquette sous laquelle ils se connectent.

Avant de commencer

Vous devez être connecté à une session multiniveau.

Créez des espaces de travail sous chaque étiquette.
Pour plus d'informations, reportez-vous à la section Ajout d'un espace de travail sous votre étiquette minimale.
Configurez chaque espace de travail comme vous souhaitez qu'il apparaisse.
Accédez à l'espace de travail que vous souhaitez afficher lorsque vous vous connectez.
Enregistrez l'espace de travail actif.
Pour plus d'informations, reportez-vous à la section Exécution de certaines tâches de bureau courantes dans Trusted Extensions.

Allocation d'un périphérique dans Trusted Extensions

L'option de menu Allocate Device (Allouer le périphérique) permet de monter et d'allouer un périphérique pour votre usage exclusif. Si vous essayez d'utiliser un périphérique sans l'allouer, le message d'erreur Permission Denied (Autorisation refusée) apparaît.

Avant de commencer

Vous devez être autorisé pour allouer un périphérique.

Choisissez Allocate device (Allouer le périphérique) dans le menu Trusted Path (Chemin de confiance).
Double-cliquez sur le périphérique que vous souhaitez utiliser.
Les périphériques que vous êtes autorisé à allouer sous votre étiquette active s'affichent dans la liste Available Devices (Périphériques disponibles) :
- audion : représente un microphone et un haut-parleur ;
- cdromn : représente une unité de CD-ROM ;
- floppyn : représente une unité de disquette ;
- mag_tapen : représente un lecteur de bande (transmission en continu) ;
- rmdiskn : représente un disque amovible, tel qu'un lecteur JAZ, ZIP ou un média USB enfichable à chaud.
La boîte de dialogue suivante indique que vous n'êtes pas autorisé à allouer des périphériques :
Sélectionnez le périphérique.
Déplacez le périphérique depuis la liste des périphériques disponibles (Available Devices) vers la liste des périphériques alloués (Allocated Devices).
- Double-cliquez sur le nom du périphérique dans la liste des périphériques disponibles.
- Ou sélectionnez le périphérique et cliquez sur le bouton Allocate (Allouer) qui pointe vers la droite.
Cette étape lance le script de nettoyage. Le script de nettoyage permet de s'assurer qu'aucune donnée issue d'autres transactions ne subsiste sur le média.
Notez que l'étiquette de l'espace de travail actif est appliquée au périphérique. Les éventuelles données transférées vers ou à partir du média du périphérique doivent être dominées par cette étiquette.
Suivez les instructions.
Les instructions garantissent que le média possède l'étiquette appropriée. Les instructions ci-après s'affichent par exemple pour l'utilisation d'un microphone :

Le périphérique est ensuite monté. Le nom du périphérique apparaît maintenant dans la liste des périphériques alloués. Ce périphérique est maintenant alloué pour votre usage exclusif.

Erreurs fréquentes

Si le périphérique que vous souhaitez utiliser ne figure pas dans la liste, contactez votre administrateur. Le périphérique peut être dans un état d'erreur ou être utilisé par quelqu'un d'autre. Ou vous n'êtes peut-être pas autorisé à utiliser le périphérique.

Si vous passez à l'espace de travail d'un rôle différent ou à un espace de travail d'étiquette différente, le périphérique alloué ne peut pas fonctionner. Pour utiliser le périphérique sous la nouvelle étiquette, vous devez libérer le périphérique sous l'étiquette initiale, puis l'allouer sous la nouvelle étiquette. Lorsque vous déplacez le gestionnaire de périphériques (Device Manager) vers un espace de travail sous une étiquette différente, la liste des périphériques disponibles et celle des périphériques alloués changent pour refléter le contexte correct.

Si une fenêtre du navigateur de fichiers n'apparaît pas, ouvrez la fenêtre manuellement, puis naviguez jusqu'au répertoire root, /. Dans ce répertoire, naviguez jusqu'au périphérique alloué pour afficher son contenu.

Libération d'un périphérique dans Trusted Extensions

Libérez le périphérique.
1. Accédez à l'espace de travail dans lequel le gestionnaire de périphériques (Device Manager) est affiché.
2. Déplacez le périphérique à libérer de la liste des périphériques alloués.
Retirez le média.
Cliquez sur OK dans la boîte de dialogue Deallocation (Libération).
Le périphérique peut maintenant être utilisé par un autre utilisateur autorisé.

Prise d'un rôle dans Trusted Extensions

Contrairement au SE Oracle Solaris, Trusted Extensions fournit une interface graphique permettant de prendre un rôle.

Cliquez sur votre nom d'utilisateur à droite du symbole de confiance.
Choisissez le nom du rôle dans le menu.

Tapez le mot de passe du rôle et appuyez sur la touche Entrée.

Cette action confirme que vous pouvez légitimement prendre ce rôle. Pour des raisons de sécurité, le mot de passe ne s'affiche pas lorsque vous le saisissez.

Une fois le mot de passe du rôle accepté, l'espace de travail actif devient l'espace de travail du rôle. Vous vous trouvez dans la zone globale. Vous pouvez effectuer les tâches autorisées par les profils de droits de votre rôle.

Modification de l'étiquette d'un espace de travail

La possibilité de définir les étiquettes des espaces de travail dans Trusted Extensions offre un moyen pratique de travailler sous différentes étiquettes dans une même session multiniveau.

Utilisez la procédure décrite ci-dessous pour travailler avec une étiquette différente dans le même espace de travail. Pour créer un espace de travail sous une étiquette différente, reportez-vous à la section Ajout d'un espace de travail sous votre étiquette minimale.

Avant de commencer

Vous devez être connecté à une session multiniveau.

Cliquez sur l'étiquette de la fenêtre dans la bande de confiance.
Vous pouvez également cliquer sur le panneau d'un espace de travail.
Cliquez sur Change Workspace Label (Modifier l'étiquette de l'espace de travail).
Sélectionnez une étiquette dans le générateur d'étiquettes (Label Builder).
L'illustration suivante présente l'utilisateur en train de cliquer sur le bouton Trusted Path (Chemin de confiance).

Figure 3-4 Générateur d'étiquettes (Label Builder)
Après avoir cliqué sur ce bouton, l'utilisateur peut sélectionner une étiquette parmi les étiquettes de l'utilisateur. L'étiquette de l'espace de travail est remplacée par la nouvelle étiquette. Dans un système dans lequel les étiquettes sont assorties d'une couleur, les nouvelles fenêtres sont représentées à l'aide de la nouvelle couleur.
Si vous êtes invité à saisir votre mot de passe, saisissez-le.
Si votre site exécute un service de noms distinct pour chaque zone, les utilisateurs sont invités à saisir un mot de passe lorsqu'ils accèdent à un espace de travail sous une nouvelle étiquette.

Ajout d'un espace de travail sous votre étiquette minimale

La possibilité de définir les étiquettes des espaces de travail dans Trusted Extensions offre un moyen pratique de travailler sous différentes étiquettes dans une même session multiniveau. Vous pouvez ajouter un espace de travail sous votre étiquette minimale.

Pour modifier l'étiquette de l'espace de travail actif, reportez-vous à la section Modification de l'étiquette d'un espace de travail.

Avant de commencer

Vous devez être connecté à une session multiniveau.

Pour créer un espace de travail sous votre étiquette minimale, procédez comme suit :
1. Cliquez avec le bouton 3 de la souris sur un panneau de l'espace de travail.
2. Dans le menu, choisissez Preferences (Préférences).
3. Augmentez le numéro figurant dans le champ Number of Workspaces (Nombre d'espaces de travail).
  Les nouveaux espaces de travail créés possèdent votre étiquette minimum. Vous pouvez également utiliser cette boîte de dialogue pour nommer les espaces de travail. Le nom s'affiche dans l'info-bulle.
4. (Facultatif) Attribuez un nom aux espaces de travail.
  Lorsque la souris se trouve sur le panneau d'un espace de travail, le nom de celui-ci s'affiche dans l'info-bulle.
Pour modifier l'étiquette d'un espace de travail, sélectionnez le panneau de l'espace de travail et modifiez son étiquette.
Pour plus d'informations, reportez-vous à la section Modification de l'étiquette d'un espace de travail.

Basculement vers un espace de travail possédant une étiquette différente

Avant de commencer

Vous devez être connecté à une session multiniveau.

Cliquez sur le panneau d'un espace de travail de couleur différente.
Si vous êtes invité à saisir votre mot de passe, saisissez-le.
Si votre site exécute un service de noms distinct pour chaque zone, les utilisateurs sont invités à saisir un mot de passe lorsqu'ils accèdent à un espace de travail sous une nouvelle étiquette.

Erreurs fréquentes

Si vous êtes connecté à une session à niveau unique, vous devez vous déconnecter pour travailler au niveau d'une autre étiquette. Ensuite, connectez-vous à l'étiquette souhaitée. Si vous y êtes autorisé, vous pouvez également ouvrir une session multiniveau.

Déplacement d'une fenêtre vers un autre espace de travail

Si vous faites glisser une fenêtre vers un espace de travail sous une étiquette différente, la fenêtre conserve son étiquette d'origine. Les actions effectuées dans cette fenêtre sont réalisées sous l'étiquette de la fenêtre, et non sous celle de l'espace de travail qui la contient. Le déplacement d'une fenêtre est utile pour comparer des informations. Vous pouvez aussi vouloir utiliser des applications à différents niveaux d'étiquette sans avoir à changer d'espace de travail.

Dans l'affichage des panneaux, faites glisser la fenêtre d'un panneau vers un autre.
La fenêtre déplacée apparaît maintenant dans le deuxième espace de travail.
Pour afficher la fenêtre dans tous les espaces de travail, choisissez Always Visible (Toujours visible) dans le menu affiché d'un clic sur le bouton droit de la souris dans la barre de titre.
La fenêtre sélectionnée apparaît à présent dans chaque espace de travail.

Détermination de l'étiquette d'un fichier

En général, l'étiquette d'un fichier est évidente. Toutefois, si vous êtes autorisé à visualiser les fichiers possédant une étiquette inférieure à celle de votre espace de travail actif, l'étiquette d'un fichier peut ne pas être évidente. En particulier, l'étiquette d'un fichier peut être différente de l'étiquette du navigateur de fichiers.

Utilisation du navigateur de fichiers.
Astuce - Vous pouvez également utiliser l'option de menu de demande d'étiquette dans le menu Trusted Path (Chemin de confiance).

Déplacement de données entre des fenêtres possédant des étiquettes différentes

Comme dans un système Oracle Solaris, vous pouvez déplacer les données entre les fenêtres dans Trusted Extensions. Toutefois, les données doivent posséder la même étiquette. Lorsque vous transférez des informations entre des fenêtres possédant des étiquettes différentes, vous augmentez ou réduisez la sensibilité de ces informations.

Avant de commencer

La stratégie de sécurité de votre site doit autoriser ce type de transfert, la zone contenant les données doit autoriser le nouvel étiquetage et vous devez être autorisé à déplacer des données entre des étiquettes.

Par conséquent, l'administrateur doit avoir effectué les tâches suivantes :

Vous devez être connecté à une session multiniveau.

Créez deux espaces de travail possédant chacun l'une des étiquettes.
Pour plus d'informations, reportez-vous à la section Ajout d'un espace de travail sous votre étiquette minimale.
Confirmez l'étiquette du fichier source.
Pour plus d'informations, reportez-vous à la section Détermination de l'étiquette d'un fichier.
Déplacez la fenêtre contenant les informations source vers un espace de travail possédant l'étiquette cible.
Pour plus d'informations, reportez-vous à la section Déplacement d'une fenêtre vers un autre espace de travail.
Mettez en surbrillance les informations à déplacer et collez la sélection dans la fenêtre cible.
La boîte de dialogue de confirmation du Gestionnaire de sélections s'affiche.

Figure 3-5 Boîte de dialogue de confirmation du gestionnaire de sélection (Selection Manager)
Examinez la boîte de dialogue de confirmation du gestionnaire de sélection, puis confirmez ou annulez la transaction.
Cette boîte de dialogue :
- explique pourquoi la confirmation de la transaction est nécessaire ;
- identifie l'étiquette et le propriétaire du fichier source ;
- identifie l'étiquette et le propriétaire du fichier cible ;
- identifie le type de données sélectionnées pour le transfert, le type du fichier cible et la taille des données en octets. Par défaut, les données sélectionnées sont visibles sous forme de texte ;
- indique le temps restant jusqu'à l'achèvement de la transaction. La durée et l'utilisation de l'horloge dépendent de la configuration de votre site.

Mise à niveau de données dans un jeu de données multiniveau

Dans Trusted Extensions, les jeux de données facilitent la modification de l'étiquette de fichiers. Pour plus d'informations sur les jeux de données multiniveau, reportez-vous à la section Jeux de données multiniveau pour la modification d’étiquette de fichiers du manuel Configuration et administration de Trusted Extensions.

Avant de commencer

Vous devez être autorisé à modifier l'étiquette de fichiers. Vous pouvez fonctionner sur deux étiquettes ou plus, dont l'une doit dominer l'autre.

Un jeu de données multiniveau est monté sur l'une des zones étiquetées au moins, et le nom de montage, tel que /multi par exemple, est le même dans chaque zone qui monte le jeu de données.

Pour que la modification d'étiquette soit possible, l'administrateur doit avoir effectué les tâches suivantes :

Vous devez être connecté à une session multiniveau.

Créez un espace de travail sous l'étiquette supérieure.
Par exemple, pour mettre à niveau un fichier de PUBLIC à INTERNAL, créez un espace de travail sous l'étiquette INTERNAL.
Pour plus d'informations, reportez-vous à la section Ajout d'un espace de travail sous votre étiquette minimale.
Ouvrez une fenêtre de terminal et affichez le répertoire contenant le fichier à mettre à niveau.
Dans cet exemple, le nom de fichier est temppub1.
```
$ ls /multi/public
temppub1
```

Modifiez l'étiquette du fichier.

$ setlabel "cnf : internal" /multi/public/temppub1

Vérifiez la modification de l'étiquette.

$ getlabel  /multi/public/temppub1
/multi/public/temppub1: "CONFIDENTIAL : INTERNAL USE ONLY"

(Facultatif) Déplacez le fichier vers un répertoire possédant l'étiquette cible.
```
$ mv /multi/public/temppub1 /multi/internal/temppub1
```

Rétrogradation de données dans un jeu de données multiniveau

Pour rétrograder des données, vous devez d'abord déplacer le fichier vers le répertoire cible, puis modifier son étiquette. Pour plus d'informations, reportez-vous à la section Jeux de données multiniveau pour la modification d’étiquette de fichiers du manuel Configuration et administration de Trusted Extensions.

Avant de commencer

Vous devez être autorisé à rétrograder des fichiers. L'administrateur a monté un jeu de données multiniveau dans l'une des zones étiquetées au moins ; il a utilisé un nom standard, tel que /multi par exemple, pour tous les montages du jeu de données auxquels vous pouvez accéder et a autorisé la modification de l'étiquette dans la zone concernée.

Par conséquent, l'administrateur doit avoir effectué les tâches suivantes :

Vous devez être connecté à une session multiniveau.

Créez un espace de travail sous l'étiquette du fichier source.
Par exemple, créez un espace de travail internal.
Pour plus d'informations, reportez-vous à la section Ajout d'un espace de travail sous votre étiquette minimale.
Ouvrez une fenêtre de terminal et ouvrez un shell de profil.
```
% pfbash
$
```
(Facultatif) Confirmez l'étiquette du fichier source et le répertoire qui le contient.
Pour plus d'informations, reportez-vous à la section Détermination de l'étiquette d'un fichier.

Remarque - Si le fichier source se trouve sous la même étiquette que son répertoire parent, le fichier ne peut pas être rétrogradé sur place. Vous devez déplacer le fichier. Le déplacement du fichier est une opération qui nécessite des privilèges.
Déplacez le fichier source vers un répertoire possédant l'étiquette cible.
```
$ mv /multi/internal-directory/file /multi/public-directory
```
Modifiez l'étiquette et remplacez-la par celle du répertoire cible.
```
$ cd /multi/public-directory
$ setlabel public file
```
(Facultatif) Vérifiez que l'étiquette du fichier a été modifiée.
```
$ getlabel /multi/public-directory/file
/multi/public-directory/file: PUBLIC
```
Vous pouvez modifier le fichier sous l'étiquette PUBLIC.

Exemple 3-6 Modification de l'étiquette d'un répertoire

Dans cet exemple, un utilisateur autorisé modifie l'étiquette d'un répertoire.

Tout d'abord, l'utilisateur déplace ou supprime tous les fichiers du répertoire.

$ getlabel /multi/conf
/multi/conf: CONFIDENTIAL : NEED TO KNOW
$ mv /multi/conf/* /multi/confNTK/temp

Ensuite, l'utilisateur définit l'étiquette du répertoire et vérifie la nouvelle étiquette.

$ setlabel "Confidential : Internal Use Only" /multi/conf
getlabel /multi/conf
/multi/conf: "CONFIDENTIAL : INTERNAL USE ONLY"

Ignorer les liens de navigation
Quitter l'aperu
	Guide de l'utilisateur Trusted Extensions Oracle Solaris 11.1 Information Library (Français)