Trusted Extensions での大域ゾーンの設定

ドキュメントの品質向上のためのご意見をください

Your rating has been updated

貴重なご意見を有り難うございました!

あなたの貴重なご意見はより良いドキュメント作成の手助けとなります内容の品質向上と追加コメントのためのアンケートに参加されますか？

Trusted Extensions の構成をカスタマイズするには、次のタスクマップの手順を実行します。デフォルトの構成をインストールするには、「ラベル付きゾーンの作成」に進みます。

タスク	説明	参照先
ハードウェアを保護します。	ハードウェア設定を変更する際にパスワードの入力を求めることによって、ハードウェアを保護します。	『Oracle Solaris 11.1 の管理: セキュリティーサービス』の「システムハードウェアへのアクセスの制御 (タスク)」
ラベルを構成します。	ラベルはサイトに合わせて構成する必要があります。デフォルトの `label_encodings` ファイルを使用する場合、この手順は省略します。	「ラベルエンコーディングファイルを検査およびインストールする」
IPv6 ネットワークを構成します。	Trusted Extensions IPv6 CIPSO ネットワークとの互換性を有効にします。	「Trusted Extensions で IPv6 CIPSO ネットワークを構成する方法」
DOI を変更します。	`1` でない解釈ドメイン (DOI) を指定します。	「異なる解釈ドメインを構成する方法」
LDAP サーバーを構成します。	Trusted Extensions LDAP ディレクトリサーバーを構成します。	第 5 章Trusted Extensions のための LDAP の構成 (タスク)
LDAP クライアントを構成します。	このシステムを、Trusted Extensions LDAP ディレクトリサーバーのクライアントにします。	「Trusted Extensions で大域ゾーンを LDAP クライアントにする」

ラベルエンコーディングファイルを検査およびインストールする

エンコーディングファイルは、通信する相手の Trusted Extensions ホストと互換性がなければなりません。

注 - Trusted Extensions はデフォルトの label_encodings ファイルをインストールします。このデフォルトファイルは、デモンストレーションとして便利です。ただし、実際の使用に適しているとは限りません。デフォルトファイルを使用する場合、この手順は省略できます。

エンコーディングファイルに慣れている場合、次に示す手順を使用します。
エンコーディングファイルに慣れていない場合、要件、手順、および例について『Trusted Extensions Label Administration』を参照してください。

注意 - 続行する前に、ラベルを正しくインストールしてください。正しくインストールしていないと構成できません。

始める前に

セキュリティー管理者です。セキュリティー管理者は、label_encodings ファイルの編集、検査、および保守を担当します。label_encodings ファイルを編集する場合、ファイルが書き込み可能であることを確認してください。詳細は、label_encodings(4) のマニュアルページを参照してください。

label_encodings ファイルを編集するには、root 役割になる必要があります。

label_encodings ファイルをディスクにコピーします。
ポータブルメディアからコピーするには、「Trusted Extensions でポータブルメディアからファイルをコピーする」を参照してください。
端末ウィンドウでファイルの構文を検査します。
1. chk_encodings コマンドを実行します。
```
# /usr/sbin/chk_encodings /full-pathname-of-label-encodings-file
```
2. 出力を読み、次のいずれかを行います。
  - エラーを解決します。
    コマンドによってエラーが報告された場合、続行する前に、そのエラーを解決しなければなりません。参考として、『Trusted Extensions Label Administration』の第 3 章「Creating a Label Encodings File (Tasks)」を参照してください。
  - そのファイルをアクティブな label_encodings ファイルにします。
```
# cp /full-pathname-of-label-encodings-file \
 /etc/security/tsol/label.encodings.site
# cd /etc/security/tsol
# cp label_encodings label_encodings.tx.orig
# cp label.encodings.site label_encodings
```
注意 - 続行するには、label_encodings ファイルがエンコーディングの検査テストに合格しなければなりません。

例 4-1 コマンド行での label_encodings 構文の検査

この例では、管理者がコマンド行を使用していくつかの label_encodings ファイルをテストします。

# /usr/sbin/chk_encodings /var/encodings/label_encodings1
No errors found in /var/encodings/label_encodings1
# /usr/sbin/chk_encodings /var/encodings/label_encodings2
No errors found in /var/encodings/label_encodings2

業務管理で label_encodings2 ファイルを使用することを決めたら、管理者はファイルの意味解析を実行します。

# /usr/sbin/chk_encodings -a /var/encodings/label_encodings2
No errors found in /var/encodings/label_encodings2

---> VERSION = MYCOMPANY LABEL ENCODINGS  2.0 10/10/2010

---> CLASSIFICATIONS <---

   Classification 1: PUBLIC
   Initial Compartment bits: 10
   Initial Markings bits: NONE

---> COMPARTMENTS AND MARKINGS USAGE ANALYSIS <---
...
---> SENSITIVITY LABEL to COLOR MAPPING <---
...

管理者は自分の記録用に意味解析のコピーを出力したのち、このファイルを /etc/security/tsol ディレクトリに移動します。

# cp /var/encodings/label_encodings2 /etc/security/tsol/label.encodings.10.10.10
# cd /etc/security/tsol
# cp label_encodings label_encodings.tx.orig
# cp label.encodings.10.10.10 label_encodings

最後に、管理者は label_encodings ファイルが会社ファイルであることを確認します。

# /usr/sbin/chk_encodings -a /etc/security/tsol/label_encodings | head -4
No errors found in /etc/security/tsol/label_encodings

---> VERSION = MYCOMPANY LABEL ENCODINGS  2.0 10/10/2010

次の手順

ラベル付きゾーンを作成する前にシステムをリブートする必要があります。

Trusted Extensions で IPv6 CIPSO ネットワークを構成する方法

IPv6 の場合、Trusted Extensions はセキュリティーラベル付けプロトコルとして CALIPSO (Common Architecture Label IPv6 Security Option) を使用します。構成は不要です。廃止された Trusted Extensions IPv6 CIPSO プロトコルを実行しているシステムと通信する必要がある場合は、この手順を実行します。ほかの CALIPSO システムと通信する場合は、この手順を実行しないでください。

注意 - IPv6 CALIPSO プロトコルを使用するシステムは、廃止された TX IPv6 CIPSO プロトコルを使用するシステムとは通信できません。これは、これらのプロトコルには互換性がないためです。

廃止された Trusted Extensions IPv6 CIPSO のオプションには、パケットの「IPv6 Option Type」フィールドに使用する IANA (Internet Assigned Numbers Authority) 番号がありません。この手順で設定するエントリは、ローカルネットワーク上で使用する番号を指定します。

始める前に

廃止された占有の Trusted Extensions IPv6 CIPSO セキュリティーラベル付けオプションを使用するシステムと通信する必要がある場合は、この手順を実行します。

大域ゾーンで root 役割になっています。

/etc/system ファイルに次のエントリを入力します。
```
set ip:ip6opt_ls = 0x0a
```

注意事項

ブート中に IPv6 CIPSO の構成が正しくないことを示すエラーメッセージが表示されたら、エントリを修正します。たとえば、エントリのスペルが間違っている場合は、次のメッセージが表示されます: 「sorry, variable 'ip6opt_1d' is not defined in the 'ip' module. Verify that the entry is spelled correctly」。

エントリを修正します。
/etc/system ファイルに正しいエントリを追加したあとにシステムがリブートされたことを確認します。

次の手順

ラベル付きゾーンを作成する前にシステムをリブートする必要があります。

異なる解釈ドメインを構成する方法

サイトで 1 の解釈ドメイン (DOI) が使用されない場合は、すべてのセキュリティーテンプレートで doi 値を変更する必要があります。詳細は、「セキュリティーテンプレートの解釈のドメイン」を参照してください。

始める前に

大域ゾーンで root 役割になっています。

デフォルトのセキュリティーテンプレートで DOI 値を指定します。
```
# tncfg -t cipso set doi=n
# tncfg -t admin_low set doi=n
```
注 - すべてのセキュリティーテンプレートで DOI 値を指定する必要があります。

参照

次の手順

LDAP を使用する予定の場合は、第 5 章Trusted Extensions のための LDAP の構成 (タスク)に進みます。ラベル付きゾーンを作成する前に LDAP を構成する必要があります。

それ以外の場合は、「ラベル付きゾーンの作成」に進みます。

ナビゲーションリンクをスキップ
印刷ビューの終了
	Trusted Extensions 構成と管理 Oracle Solaris 11.1 Information Library (日本語)