탐색 링크 건너뛰기 | |
인쇄 보기 종료 | |
![]() |
Oracle Solaris 11.1 관리: 보안 서비스 Oracle Solaris 11.1 Information Library (한국어) |
장치 할당은 일반적으로 장치 보안의 추가 계층이 필요한 사이트에서 구현됩니다. 일반적으로 사용자는 할당 가능한 장치에 액세스하기 위한 권한 부여가 있어야 합니다.
다음 작업 맵은 장치 할당을 사용으로 설정하고, 구성 및 문제 해결하는 절차를 가리킵니다. 장치 할당은 기본적으로 사용으로 설정되지 않습니다. 장치 할당을 사용으로 설정한 후 장치 할당 지침은 장치 할당(작업)을 참조하십시오.
|
시작하기 전에
사용자는 Device Security 권한 프로파일이 지정된 관리자여야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
# svcadm enable svc:/system/device/allocate # svcs -x allocate svc:/system/device/allocate:default (device allocation) State: online since September 10, 2011 01:10:11 PM PDT See: allocate(1) See: deallocate(1) See: list_devices(1) See: device_allocate(1M) See: mkdevalloc(1M) See: mkdevmaps(1M) See: dminfo(1M) See: device_maps(4) See: /var/svc/log/system-device-allocate:default.log Impact: None.
# svcadm disable device/allocate
시작하기 전에
사용자는 User Security 권한 프로파일이 지정된 관리자여야 합니다. 권한 프로파일은 solaris.auth.delegate 권한 부여를 포함해야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
일반적으로, solaris.device.allocate 권한을 포함하는 권한 프로파일을 만듭니다. 권한 프로파일을 만드는 방법의 지침을 따릅니다. 다음과 같은 적절한 등록 정보를 권한 프로파일에 제공합니다.
권한 프로파일 이름: Device Allocation
부여된 권한: solaris.device.allocate
권한 포함 명령: sys_mount 권한의 mount 및 sys_mount 권한의 umount
역할을 만드는 방법의 지침을 따릅니다. 다음 역할 등록 정보를 길잡이로 사용합니다.
역할 이름: devicealloc
역할 전체 이름: Device Allocator
역할 설명: Allocates and mounts allocated devices
권한 프로파일: Device Allocation
이 권한 프로파일은 역할에 포함된 프로파일 목록의 첫번째여야 합니다.
이동식 매체 할당의 예는 장치를 할당하는 방법을 참조하십시오.
시작하기 전에
장치 할당을 사용으로 설정하는 방법을 완료했습니다.
사용자는 Device Security 권한 프로파일이 지정된 관리자여야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
# list_devices device-name
여기서 device-name은 다음 중 하나입니다.
audio[n] – 마이크로폰 및 스피커입니다.
fd[n] – 디스켓 드라이브입니다.
rmdisk[n] – USB와 같은 이동식 매체 장치입니다.
sr[n] – CD-ROM 드라이브입니다.
st[n] – 테이프 드라이브입니다.
일반 오류
list_devices 명령이 다음과 비슷한 오류 메시지를 반환하는 경우 장치 할당이 사용으로 설정되지 않았거나 정보를 검색할 권한이 부족한 것입니다.
list_devices: No device maps file entry for specified device.
명령을 성공하려면 장치 할당을 사용으로 설정하고 solaris.device.revoke 권한을 가진 역할을 맡습니다.
누군가 장치 할당 해제를 잊어버렸을 때 강제 할당이 사용됩니다. 사용자가 장치를 즉시 필요로 할 때에도 강제 할당을 사용할 수 있습니다.
시작하기 전에
solaris.device.revoke 권한 부여가 지정된 관리자여야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
$ auths solaris.device.allocate solaris.device.revoke
이 예에서 USB 드라이브가 사용자 jdoe에 강제로 할당됩니다.
$ allocate -U jdoe
프로세스를 종료하거나 사용자가 로그아웃할 때 사용자에 할당된 장치가 자동으로 할당 해제되지 않습니다. 사용자가 장치 할당 해제를 잊어버렸을 때 강제 할당 해제가 사용됩니다.
시작하기 전에
solaris.device.revoke 권한 부여가 지정된 관리자여야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
$ auths solaris.device.allocate solaris.device.revoke
이 예에서 프린터가 강제로 할당 해제됩니다. 이제 다른 사용자가 프린터를 할당할 수 있습니다.
$ deallocate -f /dev/lp/printer-1
시작하기 전에
이 절차가 성공하려면 장치 할당을 사용으로 설정해야 합니다. 장치 할당을 사용으로 설정하려면 장치 할당을 사용으로 설정하는 방법을 참조하십시오. root 역할을 맡아야 합니다.
device_allocate 파일에서 장치 항목의 다섯번째 필드를 변경합니다.
audio;audio;reserved;reserved;solaris.device.allocate;/etc/security/lib/audio_clean fd0;fd;reserved;reserved;solaris.device.allocate;/etc/security/lib/fd_clean sr0;sr;reserved;reserved;solaris.device.allocate;/etc/security/lib/sr_clean
여기서 solaris.device.allocate는 사용자가 장치를 사용하려면 solaris.device.allocate 권한이 필요함을 나타냅니다.
예 5-2 모든 사용자가 장치를 할당하도록 허가
다음 예에서 시스템의 모든 사용자가 모든 장치를 할당할 수 있습니다. device_allocate 파일에서 모든 장치 항목의 다섯번째 필드는 at 기호(@)로 변경되었습니다.
# pfedit /etc/security/device_allocate audio;audio;reserved;reserved;@;/etc/security/lib/audio_clean fd0;fd;reserved;reserved;@;/etc/security/lib/fd_clean sr0;sr;reserved;reserved;@;/etc/security/lib/sr_clean …
예 5-3 일부 주변 장치의 사용을 금지
다음 예에서 오디오 장치를 사용할 수 없습니다. device_allocate 파일에서 오디오 장치 항목의 다섯번째 필드는 별표(*)로 변경되었습니다.
# pfedit /etc/security/device_allocate audio;audio;reserved;reserved;*;/etc/security/lib/audio_clean fd0;fd;reserved;reserved;solaris device.allocate;/etc/security/lib/fd_clean sr0;sr;reserved;reserved;solaris device.allocate;/etc/security/lib/sr_clean …
예 5-4 모든 주변 장치의 사용을 금지
다음 예에서 어떤 주변 장치도 사용할 수 없습니다. device_allocate 파일에서 모든 장치 항목의 다섯번째 필드는 별표(*)로 변경되었습니다.
# pfedit /etc/security/device_allocate audio;audio;reserved;reserved;*;/etc/security/lib/audio_clean fd0;fd;reserved;reserved;*;/etc/security/lib/fd_clean sr0;sr;reserved;reserved;*;/etc/security/lib/sr_clean …
기본적으로 장치 할당 명령은 other 감사 클래스에 속합니다.
시작하기 전에
Audit Configuration 권한 프로파일이 지정된 관리자여야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.
$ auditconfig -getflags current-flags $ auditconfig -setflags current-flags,ot
자세한 지침은 감사 클래스를 사전 선택하는 방법을 참조하십시오.