마운트된 파일 시스템에 대한 Trusted Extensions 정책

Trusted Extensions에서는 Oracle Solaris와 동일한 파일 시스템 및 파일 시스템 관리 명령을 지원하지만 Trusted Extensions의 마운트된 파일 시스템에서는 레이블 지정된 데이터를 보고 수정하기 위해 MAC(필수 액세스 제어) 정책을 준수해야 합니다. 마운트 정책과 읽기 및 쓰기 정책에서는 레이블 지정에 MAC 정책을 적용합니다.

단일 레벨 데이터 세트에 대한 Trusted Extensions 정책

단일 레벨 데이터 세트에 대해 마운트 정책에서는 MAC에 위반되는 NFS 또는 LOFS 마운트를 방지합니다. 예를 들어, 영역의 레이블은 마운트된 파일 시스템 레이블을 모두 지배해야 하고, 동일한 레이블의 파일 시스템만 읽기-쓰기 권한으로 마운트될 수 있습니다. 다른 영역이나 NFS 서버에 속한 공유 파일 시스템은 소유자 레이블에 마운트됩니다.

다음은 NFS 마운트된 단일 레벨 데이터 세트의 동작을 요약한 것입니다.

• 전역 영역에서 마운트된 파일은 모두 볼 수 있지만 ADMIN_HIGH 레이블이 지정된 파일만 수정할 수 있습니다.

• 레이블이 있는 영역에서는 영역의 레이블보다 낮거나 동일한 레이블에 마운트된 파일을 모두 볼 수 있지만 영역의 레이블에 있는 파일만 수정할 수 있습니다.

• 신뢰할 수 없는 시스템에서는 레이블이 신뢰할 수 없는 시스템에 지정된 레이블과 동일한 레이블이 있는 영역의 파일 시스템만 보고 수정할 수 있습니다.

LOFS 마운트된 단일 레벨 데이터 세트의 경우 마운트된 파일을 볼 수 있습니다. 이들 파일은 ADMIN_LOW 레이블에 있으므로 수정할 수 없습니다.

다중 레벨 데이터 세트에 대한 Trusted Extensions 정책

다중 레벨 데이터 세트의 경우 MAC 일기 및 쓰기 정책이 파일 시스템 단위가 아니라 파일 및 디렉토리 단위에서 적용됩니다.

다중 레벨 데이터 세트는 전역 영역에만 마운트될 수 있습니다. 레이블이 있는 영역에서는 LOFS zonecfg 명령으로 지정하는 LOFS 마운트 지점을 사용하여 다중 레벨 데이터 세트에 액세스할 수 있습니다. 절차는 다중 레벨 데이터 세트를 만들고 공유하는 방법을 참조하십시오. 전역 영역 또는 레이블이 있는 영역에서 적절히 권한이 부여된 프로세스를 통해 파일 및 디렉토리의 레이블을 다시 지정할 수 있습니다. 레이블 다시 지정 예는 Trusted Extensions 사용자 설명서를 참조하십시오.

• 전역 영역에서는 다중 레벨 데이터 세트의 모든 파일을 볼 수 있습니다. 레이블이 ADMIN_HIGH인 마운트된 파일은 수정할 수 있습니다.

• 레이블이 있는 영역에서는 다중 레벨 데이터 세트가 LOFS를 통해 마운트됩니다. 영역과 동일한 레이블이나 영역보다 낮은 레벨에 마운트된 파일을 볼 수 있습니다. 영역과 동일한 레이블에 마운트된 파일을 수정할 수 있습니다.

• 다중 레벨 데이터 세트는 전역 영역에서 NFS를 통해 공유될 수도 있습니다. 원격 클라이언트는 해당 네트워크 레이블에서 지배되는 파일을 볼 수 있고 동일한 레이블의 파일을 수정할 수 있습니다. 그러나 NFS 마운트된 다중 레벨 데이터 세트에 대한 레이블 다시 지정은 가능하지 않습니다. NFS 마운트에 대한 자세한 내용은 다른 시스템에서 다중 레벨 데이터 세트 마운트를 참조하십시오.

자세한 내용은 파일의 레이블 다시 지정을 위한 다중 레벨 데이터 세트를 참조하십시오.

MAC 읽기/쓰기 정책에 대한 권한 대체 없음

파일 읽기 및 쓰기에 대한 MAC 정책에는 권한 대체가 없습니다. 단일 레벨 데이터 세트는 영역의 레이블이 데이터 세트의 레이블과 동일한 경우에만 읽기/쓰기로 마운트될 수 있습니다. 읽기 전용 마운트의 경우 영역 레이블이 데이터 세트 레이블을 지배해야 합니다. 다중 레벨 데이터 세트의 경우 모든 파일 및 디렉토리는 mlslabel 등록 정보에 의해 지배되어야 합니다. 이 등록 정보는 기본적으로 ADMIN_HIGH로 설정됩니다. 다중 레벨 데이터 세트의 경우 MAC 정책이 파일 및 디렉토리 레벨에서 적용됩니다. MAC 정책 적용은 일부 사용자에게 표시되지 않습니다. 객체에 대한 MAC 액세스 권한이 없는 사용자는 객체를 볼 수 없습니다.

다음은 단일 레벨 데이터 세트에 대한 Trusted Extensions의 공유 및 마운트 정책을 요약한 것입니다.

• Trusted Extensions 시스템에서 다른 Trusted Extensions 시스템의 파일 시스템을 마운트하려면 서버와 클라이언트에 cipso 유형의 호환 가능한 원격 호스트 템플리트가 있어야 합니다.

• Trusted Extensions 시스템에서 신뢰할 수 없는 시스템의 파일 시스템을 마운트하려면 Trusted Extensions 시스템에서 신뢰할 수 없는 시스템에 지정한 단일 레이블이 전역 영역의 레이블과 일치해야 합니다.

  마찬가지로 레이블이 있는 영역에서 신뢰할 수 없는 시스템의 파일 시스템을 마운트하려면 Trusted Extensions 시스템에서 신뢰할 수 없는 시스템에 지정한 단일 레이블이 있는 영역의 레이블과 일치해야 합니다.

• 레이블이 마운트 영역과 다르고 LOFS로 마운트된 파일은 볼 수 있지만 수정할 수는 없습니다. NFS 마운트에 대한 자세한 내용은 Trusted Extensions에서 NFS 서버 및 클라이언트 구성을 참조하십시오.

다음은 다중 레벨 데이터 세트에 대한 Trusted Extensions의 공유 및 마운트 정책을 요약한 것입니다.

• Trusted Extensions 시스템에서 다른 시스템과 다중 레벨 데이터 세트를 공유하려면 NFS 서버를 다중 레벨 서비스로 구성해야 합니다.

• Trusted Extensions 시스템에서 자체 시스템의 레이블이 있는 영역과 다중 레벨 데이터 세트를 공유하려면 전역 영역에서 데이터 세트를 영역으로 LOFS 마운트해야 합니다.

  레이블이 있는 영역에서는 영역의 레이블과 레이블이 일치하는 LOFS 마운트된 파일 및 디렉토리에 대해서는 쓰기 권한이 있고 해당 영역에서 지배하는 파일 및 디렉토리에 대해서는 읽기 권한이 있습니다. MAC 정책은 개별 파일 및 디렉토리 레벨에서 적용됩니다.