デバイスポリシーの構成 (タスク)

デバイスポリシーは、システムに不可欠なデバイスに対するアクセスの制限または防止を行うものです。このポリシーはカーネルで適用されます。

デバイスポリシーの構成 (タスクマップ)

次のタスクマップは、デバイスポリシーに関連するデバイス構成作業の参照先を示しています。

デバイスポリシーを表示する方法

• システム上のすべてのデバイスのデバイスポリシーを表示します。

  % getdevpolicy | more
  DEFAULT
  read_priv_set=none
  write_priv_set=none
  ip:*
  read_priv_set=net_rawaccess
  write_priv_set=net_rawaccess
  …

例 5-1 特定のデバイスのデバイスポリシーを表示する

この例では、3 つのデバイスのデバイスポリシーが表示されています。

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/bge
/dev/allkmem
read_priv_set=all
write_priv_set=all
/dev/ipsecesp
read_priv_set=sys_net_config
write_priv_set=sys_net_config
/dev/bge
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

デバイスポリシーの変更を監査する方法

デフォルトでは、as 監査クラスに、AUE_MODDEVPLCY 監査イベントが含まれます。

始める前に

Audit Configuration 権利プロファイルが割り当てられている管理者になる必要があります。詳細は、「割り当てられている管理権限を使用する方法」を参照してください。

• AUE_MODDEVPLCY 監査イベントを含む監査クラスをあらかじめ選択します。

  # auditconfig -getflags
  current-flags
  # auditconfig -setflags current-flags,as

  詳細な手順については、「監査クラスを事前選択する方法」を参照してください。

/dev/* デバイスから IP MIB-II 情報を取得する方法

Oracle Solaris IP MIB-II 情報を取得するアプリケーションは、/dev/ip ではなく /dev/arp を開く必要があります。

1. /dev/ip および /dev/arp のデバイスポリシーを決定します。

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
   read_priv_set=net_rawaccess
   write_priv_set=net_rawaccess
   /dev/arp
   read_priv_set=none
   write_priv_set=none

   /dev/ip の読み取りおよび書き込みには、net_rawaccess 特権が必要であることに注意してください。/dev/arp は特権を必要としません。

2. /dev/arp を開き、tcp モジュールと udp モジュールをプッシュします。

   特権は不要です。この方法は、/dev/ip を開いて arp、tcp、および udp モジュールをプッシュするのと同じです。現在、/dev/ip を開くには特権が必要なため、/dev/arp メソッドを推奨します。