配置设备策略（任务）

设备策略可限制或禁止访问属于系统一部分的设备。策略是在内核中实施的。

配置设备策略（任务列表）

以下任务列表列出了与设备策略相关的设备配置过程。

如何查看设备策略

• 显示系统上所有设备的设备策略。

  % getdevpolicy | more
  DEFAULT
  read_priv_set=none
  write_priv_set=none
  ip:*
  read_priv_set=net_rawaccess
  write_priv_set=net_rawaccess
  …

示例 5-1 查看特定设备的设备策略

此示例显示了三个设备的设备策略。

% getdevpolicy /dev/allkmem /dev/ipsecesp /dev/bge
/dev/allkmem
read_priv_set=all
write_priv_set=all
/dev/ipsecesp
read_priv_set=sys_net_config
write_priv_set=sys_net_config
/dev/bge
read_priv_set=net_rawaccess
write_priv_set=net_rawaccess

如何审计设备策略的更改

缺省情况下，as 审计类包括 AUE_MODDEVPLCY 审计事件。

开始之前

您必须是指定有 Audit Configuration（审计配置）权限配置文件的管理员。有关更多信息，请参见如何使用指定给您的管理权限。

• 预选包括 AUE_MODDEVPLCY 审计事件的审计类。

  # auditconfig -getflags
  current-flags
  # auditconfig -setflags current-flags,as

  有关详细说明，请参见如何预选审计类。

如何从 /dev/* 设备检索 IP MIB-II 信息

检索 Oracle Solaris IP MIB-II 信息的应用程序应该打开 /dev/arp，而不是 /dev/ip。

1. 确定 /dev/ip 和 /dev/arp 上的设备策略。

   % getdevpolicy /dev/ip /dev/arp
   /dev/ip
   read_priv_set=net_rawaccess
   write_priv_set=net_rawaccess
   /dev/arp
   read_priv_set=none
   write_priv_set=none

   请注意，读写 /dev/ip 需要具有 net_rawaccess 特权，而 /dev/arp 不需要特权。

2. 打开 /dev/arp 并推送 tcp 和 udp 模块。

   此方法不需要特权，它等同于打开 /dev/ip 并推送 arp、tcp 和 udp 模块。现在，由于打开 /dev/ip 需要特权，因此 /dev/arp 是首选方法。