ラベル付きファイルへのアクセスを有効にする

言語:

管理者は、ラベル付きファイルにアクセスすることが必要なユーザーに対して適切な認可上限を割り当てることを担当します。ラベル付きファイルを表示または変更できるのは、ファイルのラベルと少なくとも同じ認可上限を持つユーザーだけです。すべてのユーザーは、ラベルエンコーディングファイル経由で認可上限を受け取ります。機密性の高いファイルへのアクセス権をユーザーに付与するには、さらに高い認可上限を持つようにユーザーを直接許可するか、高い認可上限で実行するコマンドを含む権利プロファイルを承認済みユーザーに割り当てることができます。また、高い認可上限で実行する権利プロファイルを持つ役割をユーザーに割り当てることもできます。

ユーザーに認可上限を割り当てる方法

この手順では、権利プロファイルを通じて、または役割の割り当てを通じて高い認可上限をユーザーに直接割り当てる方法を示します。

始める前に

User Management 権利プロファイルが割り当てられているか、または root 役割である必要があります。詳細は、割り当てられている管理権利の使用を参照してください。

システムで使用可能なラベルを一覧表示します。
```
$ labelcfg list
label-list-from-highest-to-lowest-label
```
ラベル付きファイルを処理する能力を特定のユーザーまたは役割に割り当てます。
```
# usermod -K clearance=label username
```
```
# rolemod -K clearance=label rolename
```
また、権利プロファイルを通じて間接的に、ユーザーに認可上限を割り当てることもできます。
ラベル付きファイルを処理するための高い認可上限で実行するコマンドを含む権利プロファイルを作成します。
コマンドには、高い認可上限に加えて十分な特権が必要です。十分な特権には、コマンドが実行するために十分な認可上限を持つ UID または EUID、またはコマンドが必要とする特権が含まれる場合があります。

次の例の「Labeled Audit Review」権利プロファイルは、Oracle Solaris 12 でのファイルのセキュリティー保護とファイル整合性の検証 のラベル付き監査トレールを作成する方法からのものです。この権利プロファイルをユーザーに直接割り当てたり、ユーザーが引き受ける役割に割り当てたりできます。
- ユーザーに権利プロファイルを割り当てるには、profiles+= または auth_profiles+= キーワードを使用します。
```
# usermod -K profiles+="Labeled Audit Review" username
# usermod -K auth_profiles+="Labeled Audit Review" username
```
  注 - ユーザーに Audit Review 権利プロファイルも割り当てられている場合、Labeled Audit Review プロファイルをその前に付ける必要があります。
- 権利プロファイルを役割に追加し、その役割をユーザーに割り当てるには、次のようにします。
  1. profiles キーワードを使用します。
```
# rolemod -K profiles+="Labeled Audit Review" rolename
# rolemod -K auth_profiles+="Labeled Audit Review" rolename
```
  2. 役割をユーザーに割り当てます。
```
# usermod -R +rolename username
```

ラベル付きファイルへのユーザーアクセスを検証する方法

ユーザーに認可上限を割り当てたあと、この構成によって、認可上限を持つユーザーは、認可されたファイルにアクセスできること、および認可上限を持たないユーザーは、ファイルの表示やバックアップ、またはこれらのファイルの監査トレールの表示ができないことを検証します。

認可上限が割り当てられたユーザーになります。

# su - cleared-user
cleared-user$ plabel
user's explicit clearance

ラベル付きデータセットディレクトリに変更します。
```
$ cd labeled-dataset
```
ゾーン内のラベル付きデータセットをテストするには、Oracle Solaris 12 でのファイルのセキュリティー保護とファイル整合性の検証 のラベル付きファイルシステムをゾーン内に分離する方法を参照してください。
ユーザーが実行するタスクを実行します。
次に例を示します。
- ディレクトリ内のファイルをリストします。
- ディレクトリにファイルを追加し、ファイルのラベルを表示します。
- ディレクトリからファイルを削除します。
- ディレクトリ内のファイルを変更します。
- ユーザーの認可上限内にある別のラベルのディレクトリに変更します。
- 同様のラベルが付いたファイルシステムにファイルを送信します。
- 別のユーザーに変更し、元のユーザーのファイルをラベルのないファイルシステムに送信してみます。
  
  このテストは失敗するはずです。
注 - 高い認可上限で実行するコマンドを格納する権利プロファイルを割り当てられた場合、ユーザーは (pfexec praudit のように) プロファイルシェルでこれらのコマンドを実行する必要があります。
root 役割で、/usr/demo/tsol ディレクトリから auditfiles.ksh スクリプトを実行して監査トレールを検査し、次にブラウザ内で出力を読み取ります。
監査トレールがラベル付きファイルシステムの一部である場合、ADMIN_HIGH ファイルを読み取るための認可上限が必要です。Oracle Solaris 12 でのファイルのセキュリティー保護とファイル整合性の検証 のラベル付き監査トレールを作成する方法を参照してください。次の例では、Labeled Audit Review 権利プロファイルが割り当てられているユーザーがコマンドを実行します。
```
$ pfexec /usr/demo/tsol/auditfiles.ksh audit-html-file
```