Ignorer les liens de navigation | |
Quitter l'aperu | |
Configuration et administration de Trusted Extensions Oracle Solaris 11.1 Information Library (Français) |
Partie I Configuration initiale de Trusted Extensions
1. Planification de la sécurité pour Trusted Extensions
2. Déroulement de la configuration de Trusted Extensions
3. Ajout de la fonction Trusted Extensions à Oracle Solaris (tâches)
4. Configuration de Trusted Extensions (tâches)
5. Configuration de LDAP pour Trusted Extensions (tâches)
Partie II Administration de Trusted Extensions
6. Concepts d'administration de Trusted Extensions
7. Outils d'administration de Trusted Extensions
8. Exigences de sécurité sur un système Trusted Extensions (présentation)
9. Exécution de tâches courantes dans Trusted Extensions
10. Utilisateurs, droits et rôles dans Trusted Extensions (présentation)
11. Gestion des utilisateurs, des droits et des rôles dans Trusted Extensions (tâches)
Personnalisation de l'environnement de l'utilisateur pour en assurer la sécurité (liste des tâches)
Modification des attributs d'étiquette par défaut des utilisateurs
Modification des valeurs par défaut de policy.conf
Configuration des fichiers de démarrage pour les utilisateurs dans Trusted Extensions
Connexion à une session de secours dans Trusted Extensions
Gestion des utilisateurs et des droits (liste des tâches)
Modification d'une plage d'étiquettes d'utilisateur
Création d'un profil de droits pour des autorisations commodes
Limitation du jeu de privilèges d'un utilisateur
Désactivation du verrouillage du compte pour certains utilisateurs
Octroi de l'autorisation de modifier le niveau de sécurité de données à un utilisateur
Suppression d'un compte utilisateur d'un système Trusted Extensions
12. Administration à distance dans Trusted Extensions (tâches)
13. Gestion des zones dans Trusted Extensions
14. Gestion et montage de fichiers dans Trusted Extensions
15. Gestion de réseaux de confiance (présentation)
16. Gestion des réseaux dans Trusted Extensions (tâches)
17. Trusted Extensions et LDAP (présentation)
18. Messagerie multiniveau dans Trusted Extensions (présentation)
19. Gestion de l'impression étiquetée (tâches)
20. Périphériques dans Trusted Extensions (présentation)
21. Gestion des périphériques pour Trusted Extensions (tâches)
22. Audit de Trusted Extensions (présentation)
23. Gestion des logiciels dans Trusted Extensions
A. Stratégie de sécurité du site
Création et gestion d'une stratégie de sécurité
Stratégie de sécurité du site et Trusted Extensions
Recommandations relatives à la sécurité informatique
Recommandations relatives à la sécurité physique
Recommandations relatives à la sécurité du personnel
Violations de sécurité courantes
Références de sécurité supplémentaires
B. Liste de contrôle de configuration pour Trusted Extensions
Liste de contrôle de configuration de Trusted Extensions
C. Guide de référence rapide pour l'administration de Trusted Extensions
Interfaces d'administration dans Trusted Extensions
Interfaces Oracle Solaris étendues par Trusted Extensions
Renforcement des paramètres de sécurité par défaut dans Trusted Extensions
Options limitées dans Trusted Extensions
D. Liste des pages de manuel Trusted Extensions
Pages de manuel Trusted Extensions par ordre alphabétique
Pages de manuel Oracle Solaris modifiées par Trusted Extensions
Dans Trusted Extensions, vous assumez le rôle d'administrateur de sécurité pour administrer les utilisateurs, les autorisations, les droits et les rôles. La liste des tâches ci-dessous décrit des tâches courantes que vous effectuez pour des utilisateurs travaillant dans un environnement étiqueté.
|
Vous pouvez souhaiter étendre la plage d'étiquettes d'un utilisateur pour lui donner les autorisations en lecture à une application d'administration. Par exemple, un utilisateur autorisé à se connecter à la zone globale peut ensuite visualiser la liste des systèmes qui s'exécutent sur une étiquette particulière. L'utilisateur peut visualiser le contenu mais pas le modifier.
Vous pouvez aussi souhaiter réduire la plage d'étiquettes de l'utilisateur. Par exemple, un utilisateur invité peut être limité à une étiquette.
Avant de commencer
Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.
# usermod -K min_label=INTERNAL -K clearance=ADMIN_HIGH jdoe
Vous pouvez également étendre la plage d'étiquettes de l'utilisateur en diminuant l'étiquette minimale.
# usermod -K min_label=PUBLIC -K clearance=INTERNAL jdoe
Pour plus d'informations, reportez-vous aux pages de manuel usermod(1M) et user_attr(4).
# usermod -K min_label=INTERNAL -K clearance=INTERNAL jdoe
Lorsque la stratégie de sécurité du site le permet, vous pouvez souhaiter créer un profil de droits contenant des autorisations destinées à des utilisateurs habilités à effectuer des tâches nécessitant une autorisation. Pour permettre à tous les utilisateurs d'un système particulier d'être autorisés, reportez-vous à la section Modification des valeurs par défaut de policy.conf.
Avant de commencer
Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.
Pour la procédure étape par étape, reportez-vous à la section Création d’un profil de droits du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.
Les autorisations suivantes peuvent être utiles pour les utilisateurs :
solaris.device.allocate : autorise un utilisateur à allouer un périphérique, tel qu'un microphone ou un CD-ROM.
Par défaut, les utilisateurs d'Oracle Solaris peuvent lire et écrire sur un CD-ROM. Toutefois, dans Trusted Extensions, seuls les utilisateurs qui peuvent allouer un périphérique peuvent accéder à l'unité de CD-ROM. L'allocation du disque nécessite une autorisation. Par conséquent, pour lire et écrire sur un CD-ROM dans Trusted Extensions, un utilisateur a besoin de l'autorisation Allocate Device.
solaris.label.file.downgrade : autorise un utilisateur à diminuer le niveau de sécurité d'un fichier.
solaris.label.file.upgrade : autorise un utilisateur à augmenter le niveau de sécurité d'un fichier.
solaris.label.win.downgrade : autorise un utilisateur à sélectionner des informations dans un fichier de niveau supérieur et à les placer dans un fichier de niveau inférieur.
solaris.label.win.noview : autorise un utilisateur à déplacer des informations sans visualiser les informations déplacées.
solaris.label.win.upgrade : autorise un utilisateur à sélectionner les informations d'un fichier de niveau inférieur et à les placer dans un fichier de niveau supérieur.
solaris.login.remote : autorise un utilisateur à se connecter à distance.
solaris.print.nobanner : autorise un utilisateur à imprimer sur papier sans page de garde.
solaris.print.unlabeled : autorise un utilisateur à imprimer sur papier sans étiquette.
solaris.system.shutdown : autorise un utilisateur à arrêter le système et à arrêter une zone.
Pour la procédure étape par étape, reportez-vous à la section Modification des attributs de sécurité d’un utilisateur du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.
La sécurité du site peut exiger que les utilisateurs aient moins de privilèges que ceux qui leur sont assignés par défaut. Par exemple, sur un site qui utilise Trusted Extensions sur des systèmes Sun Ray, vous voudrez peut-être empêcher les utilisateurs d'afficher les processus d'autres utilisateurs sur le serveur Sun Ray.
Avant de commencer
Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.
Attention - Ne supprimez pas le privilège proc_fork ou proc_exec. Sans ces privilèges, un utilisateur ne peut pas utiliser le système. |
# usermod -K defaultpriv=basic,!proc_info,!proc_session,!file_link_any
En supprimant le privilège proc_info, vous empêchez l'utilisateur d'examiner les processus qui n'émanent pas de l'utilisateur. En supprimant le privilège proc_session, vous empêchez l'utilisateur d'examiner les processus à l'extérieur de sa session en cours. En supprimant le privilège file_link_any, vous empêchez l'utilisateur de créer des liens physiques vers des fichiers n'appartenant pas à l'utilisateur.
Voir aussi
Pour obtenir un exemple de collecte des restrictions de privilège dans un profil de droits, reportez-vous aux exemples suivants : Création d’un profil de droits du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.
Pour restreindre les privilèges de tous les utilisateurs sur un système, reportez-vous à l'Exemple 11-2.
Effectuez cette procédure pour tous les utilisateurs pouvant prendre un rôle.
Avant de commencer
Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.
# usermod -K lock_after_retries=no jdoe
Pour désactiver le verrouillage de comptes pour un utilisateur LDAP, spécifiez le référentiel LDAP.
# usermod -S ldap -K lock_after_retries=no jdoe
Un utilisateur standard ou un rôle peut être autorisé à modifier le niveau de sécurité ou les étiquettes de fichiers, de répertoires ou de textes sélectionnés. L'utilisateur ou le rôle, en plus d'avoir l'autorisation, doit être configuré pour pouvoir travailler à plus d'une étiquette. Aussi, les zones étiquetées doivent être configurées de façon à autoriser la modification de leur étiquette. Pour connaître la procédure, reportez-vous à la section Octroi de l'autorisation à modifier l'étiquette de fichiers à un utilisateur.
Attention - La modification du niveau de sécurité des données est une opération qui nécessite des privilèges. Cette tâche ne peut être effectuée que par des utilisateurs dignes de confiance. |
Avant de commencer
Vous devez être dans le rôle d'administrateur de sécurité dans la zone globale.
Pour la procédure étape par étape, reportez-vous à la section Modification des attributs de sécurité d’un utilisateur du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.
Exemple 11-5 Autorisation d'un utilisateur à mettre à niveau l'étiquette d'un fichier sans qu'il puisse procéder à sa rétrogradation
Le profil de droits Object Label Management (Gestion de l'étiquette des objets) permet aux utilisateurs de mettre à niveau ou de rétrograder des étiquettes. Dans cet exemple, l'administrateur autorise un utilisateur de confiance à mettre à niveau des données mais pas à les rétrograder.
L'administrateur crée un profil de droits en fonction du profil Object Label Management (Gestion de l'étiquette des objets) et supprime les autorisations Downgrade File Label (Rétrograder l'étiquette d'un fichier) et Downgrade DragNDrop or CutPaste Info (Rétrograder des informations par glisser-déposer ou couper-coller) du nouveau profil.
# profiles -p "Object Label Management" profiles:Object Label Management> set name="Object Upgrade" profiles:Object Upgrade> info auths ... profiles:Object Upgrade> remove auths="solaris.label.file.downgrade, solaris.label.win.downgrade" profiles:Object Upgrade> commit profiles:Object Upgrade> end
Ensuite, l'administrateur attribue le profil à un utilisateur de confiance.
# usermod -P +"Object Upgrade" jdoe
Lorsqu'un utilisateur est supprimé du système, vous devez vous assurer que le répertoire personnel de l'utilisateur et tous les objets qui lui appartiennent sont également supprimés. Comme alternative à la suppression d'objets appartenant à l'utilisateur, vous pouvez transférer la propriété de ces objets à un utilisateur valide.
Vous devez aussi vous assurer que tous les traitements par lots associés à l'utilisateur sont également supprimés. Aucun objet ou processus appartenant à un utilisateur supprimé ne peut rester sur le système.
Avant de commencer
Vous devez être dans le rôle d'administrateur système dans la zone globale.
# userdel -r jdoe
Remarque - Vous êtes chargé de rechercher et supprimer les fichiers temporaires de l'utilisateur sous toutes les étiquettes, tels que les fichiers dans les répertoires /tmp.
Pour plus d'informations, reportez-vous à la section Pratiques de suppression d'un utilisateur.