Gestión de dispositivos en Trusted Extensions (mapa de tareas)

El siguiente mapa de tareas describe los procedimientos que se deben llevar a cabo para proteger los dispositivos en el sitio.

Cómo configurar un dispositivo en Trusted Extensions

De manera predeterminada, los dispositivos asignables tienen un rango de etiquetas de ADMIN_LOW a ADMIN_HIGH y se deben asignar para su uso. Además, los usuarios deben estar autorizados para asignar dispositivos. Estos valores predeterminados se pueden cambiar.

Los siguientes dispositivos se pueden asignar para su uso:

• audion: indica un micrófono y un altavoz

• cdromn: indica una unidad de CD-ROM

• floppyn: indica una unidad de disquete

• mag_tapen: indica una unidad de cinta (transmisión por secuencias)

• rmdiskn: indica un disco extraíble, como una unidad Jaz o Zip, o medios USB conectables

Antes de empezar

Debe estar con el rol de administrador de la seguridad en la zona global.

1. En el menú Trusted Path, seleccione Allocate Device.

   Aparece Device Manager.

   
   
2. Vea las configuraciones de seguridad predeterminadas.

   Haga clic en Administration y, a continuación, resalte el dispositivo. La siguiente figura muestra un dispositivo de audio que el rol de usuario root está visualizando.

   
   
3. (Opcional) Restrinja el rango de etiquetas en el dispositivo.
   1. Establezca la etiqueta mínima.

      Haga clic en el botón Min Label... y seleccione una etiqueta mínima del generador de etiquetas. Para obtener información sobre el generador de etiquetas, consulte Generador de etiquetas en Trusted Extensions.

   2. Establezca la etiqueta máxima.

      Haga clic en el botón Max Label... y seleccione una etiqueta máxima del generador de etiquetas.

4. Especifique si el dispositivo se puede asignar localmente.

   En el cuadro de diálogo Device Configuration, en For Allocations From Trusted Path, seleccione una opción de la lista Allocatable By. De manera predeterminada, la opción Authorized Users está activada. Por lo tanto, el dispositivo es asignable y los usuarios deben estar autorizados.

   • Para hacer que el dispositivo no sea asignable, haga clic en No Users.

     Si configura una impresora, un búfer de trama u otro dispositivo que no deba ser asignable, seleccione No Users.

   • Para hacer que el dispositivo sea asignable, pero que no requiera autorización, haga clic en All Users.
5. Especifique si el dispositivo se puede asignar de manera remota.

   En la sección For Allocations From Non-Trusted Path, seleccione una opción de la lista Allocatable By. De manera predeterminada, la opción Same As Trusted Path está activada.

   • Para solicitar autorización del usuario, seleccione Allocatable by Authorized Users.
   • Para hacer que los usuarios remotos no puedan asignar el dispositivo, seleccione No Users.
   • Para hacer que cualquiera pueda asignar el dispositivo, seleccione All Users.
6. Si el dispositivo es asignable, y su sitio ha creado nuevas autorizaciones para dispositivos, seleccione la autorización adecuada.

   El cuadro de diálogo siguiente muestra que se requiere la autorización solaris.device.allocate para asignar el dispositivo cdrom0.

   
   

   Para crear y utilizar autorizaciones para dispositivos específicas del sitio, consulte Personalización de autorizaciones para dispositivos en Trusted Extensions (mapa de tareas).

7. Para guardar los cambios, haga clic en OK.

Cómo revocar o reclamar un dispositivo en Trusted Extensions

Si un dispositivo no aparece en Device Manager, es posible ya esté asignado o que tenga un estado de error de asignación. El administrador del sistema puede recuperar el dispositivo para su uso.

Antes de empezar

Debe estar con el rol de administrador del sistema en la zona global. Este rol cuenta con la autorización solaris.device.revoke.

1. En el menú Trusted Path, seleccione Allocate Device.

   En la siguiente figura, el dispositivo de audio ya está asignado a un usuario.

   
   
2. Haga clic en el botón Administration.
3. Compruebe el estado de un dispositivo.

   Seleccione el nombre del dispositivo y active el campo State.

   • Si el campo State dice Allocate Error State, haga clic en el botón Reclaim.
   • Si el campo State dice Allocated, realice una de las siguientes acciones:
     • Solicite al usuario del campo Owner que desasigne el dispositivo.
     • Para llevar a cabo la desasignación forzosa del dispositivo, haga clic en el botón Revoke.
4. Cierre Device Manager.

Cómo proteger los dispositivos no asignables en Trusted Extensions

La opción No Users de la sección Allocatable By del cuadro de diálogo Device Configuration con frecuencia se utiliza para el búfer de trama y la impresora, que no requieren asignación para su uso.

Antes de empezar

Debe estar con el rol de administrador de la seguridad en la zona global.

1. En el menú Trusted Path, seleccione Allocate Device.
2. En Device Manager, haga clic en el botón Administration.
3. Seleccione la impresora o el búfer de trama nuevos.
   1. Para hacer que el dispositivo no sea asignable, haga clic en No Users.
   2. (Opcional) Restrinja el rango de etiquetas en el dispositivo.
      1. Establezca la etiqueta mínima.

         Haga clic en el botón Min Label... y seleccione una etiqueta mínima del generador de etiquetas. Para obtener información sobre el generador de etiquetas, consulte Generador de etiquetas en Trusted Extensions.

      2. Establezca la etiqueta máxima.

         Haga clic en el botón Max Label... y seleccione una etiqueta máxima del generador de etiquetas.

Ejemplo 21-1 Impedir la asignación remota del dispositivo de audio

La opción No Users de la sección Allocatable By impide que los usuarios remotos escuchen las conversaciones en un sistema remoto.

El administrador de la seguridad configura el dispositivo de audio en Device Manager de la siguiente manera:

Device Name: audio
For Allocations From: Trusted Path
Allocatable By: Authorized Users
Authorizations: solaris.device.allocate

Device Name: audio
For Allocations From: Non-Trusted Pathh
Allocatable By: No Users

Cómo agregar una secuencia de comandos device_clean en Trusted Extensions

Si no se especifica ninguna secuencia de comandos device_clean cuando se crea un dispositivo, se usa la secuencia de comandos predeterminada /bin/true.

Antes de empezar

Debe tener lista una secuencia de comandos que purgue todos los datos utilizables del dispositivo físico y que devuelva 0 para que el proceso se realice correctamente. Para los dispositivos con medios extraíbles, la secuencia de comandos intenta expulsar el medio si el usuario no lo hace. La secuencia de comandos coloca el dispositivo en estado de error de asignación si el medio no se expulsa. Para obtener detalles sobre los requisitos, consulte la página del comando man device_clean(5).

Debe estar con el rol de usuario root en la zona global.

1. Copie la secuencia de comandos en el directorio /etc/security/lib.
2. En el cuadro de diálogo Device Properties, especifique la ruta completa de la secuencia de comandos.
   1. Abra Device Manager.
   2. Haga clic en el botón Administration.
   3. Seleccione el nombre del dispositivo y haga clic en el botón Configure.
   4. En el campo Clean Program, escriba la ruta completa para acceder a la secuencia de comandos.
3. Guarde los cambios.