プロセスを制限する特権は、カーネル内に実装され、コマンド、ユーザー、役割、またはシステムレベルでプロセスを制限できます。
次の表に、特権の処理に使用できるコマンドのリストを示します。
|
account-policy SMF ステンシルには次の特権情報が格納および設定されています。
default_privileges – システムに対する特権の継承可能セット
limit_privileges – システムに対する特権の制限セット
syslog – システムロギングファイル
デバッグメッセージのパスは priv.debug エントリに設定されています。
特権の使用は監査することができます。プロセスで特権が使用される場合は常に、upriv 監査トークン内の監査トレールに特権の使用が記録されます。特権の名前がレコードに含まれる場合、テキスト形式が使用されます。次の監査イベントにより、特権の使用が記録されます。
AUE_SETPPRIV 監査イベント – 特権セットが変更されたときに監査レコードを生成します。AUE_SETPPRIV 監査イベントは pm クラスにあります。
AUE_MODALLOCPRIV 監査イベント – カーネルの外部から特権が追加されたときに監査レコードを生成します。AUE_MODALLOCPRIV 監査イベントは ad クラスにあります。
AUE_MODDEVPLCY 監査イベント – デバイスポリシーが変更されたときに監査レコードを生成します。AUE_MODDEVPLCY 監査イベントは ad クラスにあります。
AUE_PFEXEC 監査イベント – pfexec() が有効になっている execve() の呼び出しが行われたときに監査レコードを生成します。AUE_PFEXEC 監査イベントは、as、ex、ps、および ua 監査クラスにあります。特権の名前は、監査レコードに含まれます。
基本セット内に含まれている特権の正常な使用は監査されません。ユーザーの基本セットから削除された基本特権の使用を試みる場合、監査されます。
特権単位の監査については、Managing Auditing in Oracle Solaris 11.4 の What’s New in the Audit Service in Oracle Solaris 11.4を参照してください。