Etiquetas, impresoras e impresión

Trusted Extensions usa etiquetas para controlar el acceso a las impresoras. Las etiquetas se usan para controlar el acceso a las impresoras y a la información sobre los trabajos de impresión en cola. El software también etiqueta las copias impresas. Las páginas del cuerpo y las páginas de la carátula y el ubicador obligatorios tienen etiquetas. Además, las páginas de carátula y ubicador pueden incluir instrucciones de tratamiento.

El administrador del sistema se encarga de la administración básica de las impresoras. El rol de administrador de la seguridad se ocupa de la seguridad de las impresoras, que incluye las etiquetas y el tratamiento del la impresión con etiquetas. Los administradores siguen los procedimientos de administración de impresoras básicos de Oracle Solaris. La configuración es necesaria para aplicar etiquetas, limitar el rango de etiquetas de los trabajos de impresión, configurar las zonas con etiquetas para imprimir y flexibilizar restricciones de impresión.

Trusted Extensions admite la impresión de un solo nivel y de varios niveles. De manera predeterminada, un servidor de impresión configurado en la zona global de un sistema Trusted Extensions puede imprimir toda la gama de las etiquetas, es decir, el servidor de impresión tiene varios niveles. Cualquier sistema o zona etiquetados que puedan acceder a ese servidor de impresión tienen la capacidad de imprimir en la impresora conectada. Una zona etiquetada admite la impresión de un solo nivel. La zona puede conectarse a la impresora a través de la zona global o se puede configurar como servidor de impresión. Cualquier zona en esa etiqueta que pueda acceder a la zona etiquetada y, por lo tanto, al servidor de impresión, tiene la capacidad de imprimir en la impresora conectada. La impresión de un solo nivel también es posible mediante el servidor de impresión en un sistema sin etiquetar que tiene asignada una etiqueta arbitraria. Estos trabajos de impresión se imprimen sin una etiqueta.

Diferencias entre la impresión de Trusted Extensions en Oracle Solaris 10 y Oracle Solaris 11

El protocolo de impresión predeterminado para Oracle Solaris 10 es el servicio de impresión LP. El valor predeterminado para Oracle Solaris 11 es el sistema común de impresión de Unix (CUPS). Para ver una guía completa de CUPS en Oracle Solaris, consulte Configuración y gestión de la impresión en Oracle Solaris 11.1. En la siguiente tabla, se muestran las diferencias principales entre los protocolos de impresión CUPS y LP.

Tabla 19-1 Diferencias entre CUPS y LP

lpadmin -p printer-name -E \ 
-v ipp://print-server-IP-address/
printers/printer-name-on-server

lpadmin -p printer-name \
 -s server-name

lp -d printer file1 file2

svc:/application/cups/
scheduler
.../in-lpd:default

svc:/application/print/
service-selector
.../server
.../rfc1179
.../ipp-listener
svc:/network/device-discovery/
printers:snmp

Restricción del acceso a las impresoras y a la información de trabajos de impresión en Trusted Extensions

Los usuarios y los roles de un sistema configurado con Trusted Extensions crean trabajos de impresión en la etiqueta de su sesión. Los trabajos de impresión son aceptados solamente por servidores de impresión que reconocen esa etiqueta. La etiqueta debe estar en el rango de etiquetas del servidor de impresión.

Los usuarios y los roles pueden ver los trabajos de impresión que tengan la misma etiqueta que la sesión. En la zona global, un rol puede ver los trabajos cuyas etiquetas estén controladas por la etiqueta de la zona.

Resultado de impresión con etiquetas

Trusted Extensions imprime la información de seguridad en las páginas del cuerpo y en las páginas de carátula y de ubicador. Esta opción proviene del archivo /etc/security/tsol/label_encodings y del archivo /usr/lib/cups/filter/tsol_separator.ps. Las etiquetas que tienen más de 80 caracteres se imprimen truncadas en la parte superior e inferior de todas las páginas. El truncamiento se indica mediante una flecha (->). Las etiquetas del encabezado y el pie de página se imprimen en forma vertical, aun cuando las páginas del cuerpo se imprimen en forma horizontal. Para ver un ejemplo, consulte la Figura 19-4.

El texto, las etiquetas y las advertencias que aparecen en los trabajos de impresión se pueden configurar. El texto también se puede reemplazar con texto en otro idioma para su localización. El administrador de seguridad puede configurar lo siguiente:

• Localizar o personalizar el texto de las páginas de carátula y de ubicador

• Especificar etiquetas alternativas que se vayan a imprimir en las páginas del cuerpo o en los diversos campos de las páginas de carátula y de ubicador

• Cambiar u omitir cualquiera de los textos o las etiquetas

Los usuarios que son dirigidos a una impresora sin etiquetas pueden imprimir la salida sin etiquetas. Los usuarios en una zona etiquetada con su propio servidor de impresión pueden imprimir la salida sin etiquetas si se les asigna la autorización solaris.print.unlabeled. Los roles se pueden configurar para imprimir la salida sin etiquetas en una impresora local controlada por un servidor de impresión de Trusted Extensions. Para obtener ayuda, consulte Reducción de las restricciones de impresión en Trusted Extensions (mapa de tareas).

Páginas de carátula y de ubicador con etiquetas

Las siguientes figuras muestran la página de carátula predeterminada y las variaciones de la página de ubicador predeterminada. Las llamadas identifican las distintas secciones. Para obtener una explicación del origen del texto en estas secciones, consulte el Capítulo 4, Labeling Printer Output (Tasks) de Trusted Extensions Label Administration. Tenga en cuenta que la página de ubicador utiliza una línea exterior diferente.

Figura 19-1 Página de carátula típica de un trabajo de impresión con etiquetas

Figura 19-2 Diferencias en una página de ubicador

Páginas del cuerpo con etiquetas

De manera predeterminada, la clasificación “Protect as” se imprime en la parte superior y en la parte inferior de cada página del cuerpo. La clasificación “Protect as” es la clasificación dominante cuando la clasificación de la etiqueta del trabajo se compara con la clasificación minimum protect as. La clasificación minimum protect as se define en el archivo label_encodings .

Por ejemplo, si el usuario se encuentra en una sesión Internal Use Only, los trabajos de impresión del usuario están en esa etiqueta. Si la clasificación minimum protect as en el archivo label_encodings es Public, la etiqueta Internal Use Only se imprime en las páginas del cuerpo.

Figura 19-3 Etiqueta del trabajo impresa en la parte superior y en la parte inferior de una página del cuerpo

Cuando las páginas del cuerpo se imprimen en modo horizontal, la etiqueta se imprime en modo vertical. En la figura siguiente, se ilustra una página del cuerpo, impresa en modo horizontal, cuya etiqueta Protect As se extiende más allá de los límites de la página. La etiqueta se trunca a 80 caracteres.

Figura 19-4 Etiqueta del trabajo impresa en modo vertical cuando la página del cuerpo se imprime en modo horizontal

Archivo de configuración tsol_separator.ps

En la siguiente tabla, se muestran los aspectos de la impresión de confianza que el administrador de seguridad puede cambiar mediante la modificación del archivo /usr/lib/cups/filter/tsol_separator.ps.

Tabla 19-2 Valores configurables en el archivo tsol_separator.ps

Impresión PostScript de la información de seguridad

La impresión con etiquetas en Trusted Extensions se basa en las funciones de impresión de Oracle Solaris. Al igual que en el SO Oracle Solaris, la job-sheets gestiona la creación de páginas de carátula. Para implementar el etiquetado, un filtro convierte el trabajo de impresión en un archivo PostScript. A continuación, el archivo PostScript se manipula para que se inserten etiquetas en las páginas del cuerpo y se creen las páginas de la carátula y del ubicador.

Interfaces de impresión de Trusted Extensions (referencia)

Trusted Extensions agrega las siguientes autorizaciones de impresión para implementar la política de seguridad de Trusted Extensions. Estas autorizaciones se comprueban en el servidor de impresión. Por lo tanto, los usuarios remotos, como los usuarios de zonas etiquetadas, no pueden aprobar la comprobación de autorización.

• solaris.print.admin: activa un rol para administrar la impresión

• solaris.print.list: activa un rol para ver trabajos de impresión que no pertenecen al rol

• solaris.print.nobanner: activa un rol para imprimir trabajos sin páginas de carátula ni de ubicador de la zona global

• solaris.print.unlabeled: activa un rol para imprimir trabajos de impresión sin etiquetas de páginas de la zona global

Los siguientes comandos de usuario se amplían a fin de cumplir con la política de seguridad de Trusted Extensions:

• cancel: el emisor de llamada debe ser igual a la etiqueta del trabajo de impresión para cancelar un trabajo. Los usuarios normales solamente pueden cancelar sus propios trabajos.

• lp: la opción -o nolabel, que imprime páginas del cuerpo sin etiquetas, requiere la autorización solaris.print.unlabeled. La opción -o job-sheets=none, que imprime el trabajo sin una página de carátula ni de ubicador, requiere la autorización solaris.print.nobanner.

• lpstat: el emisor de llamada debe ser igual a la etiqueta del trabajo de impresión para obtener el estado de un trabajo. Los usuarios normales solamente pueden ver sus propios trabajos de impresión.

Los siguientes comandos administrativos se amplían a fin de cumplir con la política de seguridad de Trusted Extensions. Al igual que en el SO Oracle Solaris, solamente los roles que incluyen el perfil de derechos de gestión de impresoras pueden ejecutar estos comandos.

• lpmove: el emisor de llamada debe ser igual a la etiqueta del trabajo de impresión para mover un trabajo. De manera predeterminada, los usuarios comunes pueden mover solamente sus propios trabajos de impresión.

• lpadmin: en la zona global, este comando funciona para todos los trabajos. En una zona etiquetada, el emisor de llamada debe dominar la etiqueta del trabajo de impresión para ver un trabajo y debe ser igual para cambiar un trabajo.

• lpsched: en la zona global, este comando siempre se ejecuta correctamente. Al igual que en el SO Oracle Solaris, use el comando svcadm para activar, desactivar, iniciar o reiniciar el servicio de impresión. En una zona etiquetada, el emisor de llamada debe ser igual a la etiqueta del servicio de impresión para cambiar el servicio de impresión. Para obtener detalles sobre la utilidad de gestión de servicios, consulte las páginas del comando man smf(5), svcadm(1M) y svcs(1).