Статья применима к:
- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.7)
- Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7)
- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным обновлением БЮЛЛЕТЕНЬ № 20200327SE16 (оперативное обновление 5) и выше
Создание глобального правила регистрации отчуждаемых носителей
Регистрация отчуждаемых носителей в домене FreeIPA осуществляется из web-интерфейса управления контроллера домена путем создания глобальных правил для носителей. Для регистрации носителя необходимо:
- Открыть web-интерфейс управления доменом;
- Выбрать раздел "Политика" → "Политика PARSEC";
- Выбрать в выпадающем списке "Registerd device":
- Задать имя регистрируемого носителя, а также права доступа для пользователя и группы:
- Значение параметра "Device attributes" необходимо скопировать из графической утилиты "Политика безопасности". Для этого выполнить следующие действия:
- Запустить утилиту "Политика безопасности": "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности".
Предупреждение о том, что компьютер находится под управлением домена можно игнорировать; - Выбрать раздел "Устройства и правила" → "Устройства", затем нажать кнопку добавления устройства и следовать подсказкам мастера:
При запросе мастера подключить устройство и выбрать появившееся устройство:
Обращаем внимание, что необходимо прервать создание локального правила в "Политика безопасности" (fly-admin-smc) без сохранения изменений.
- Скопировать значение правила определения устройства:
Перейти в web-интерфейс FreeIPA и вставить скопированное правило определения устройства:
Служебная доменная группа ipausers не является полноценной группой и не рекомендуется для использования при учете устройств. Для учета устройств рекомендуется создать отдельные доменные группы.- Выставить чек-бокс "Device is ON" и сохранить правило.
- Запустить утилиту "Политика безопасности": "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности".
После создания правил перед проверкой работоспособности правил в обязательном порядке необходимо извлечь накопителя.
Подготовка носителей для работы
Обращаем внимание, что работа накопителей с несколькими различными классификационными метками возможна лишь с файловыми системами поддерживающими расширенные файловые атрибуты. Для USB-носителей это файловые системы Ext2/Ext3/Ext4 (для Astra Linux Special Edition x.7 также файловая система xfs) . Подробную информацию по применению носителей с другими файловыми системами (NTFS, VFAT, ) см. Съемные носители в ОС Astra Linux.
Сценарий подготовки USB носителей Ext4/XFS для работы c несколькими различными классификационными метками
Для подготовки USB-носителя к работе с несколькими различными классификационными метками можно использовать следующий сценарий (задав необходимые переменные USERNAME и DEVICE и по необходимости откорректировав классификационные метки, присваиваемые каталогам):
#!/bin/bash USERNAME="user" DEVICE="/dev/sdc1" mkfs.ext4 $DEVICE mkdir -p /media/usb mount $DEVICE /media/usb #multilevel pdpl-file 3:0:-1:ccnr /media/usb/ mkdir /media/usb/{0,1,2,3} pdpl-file 0:0:0:0 /media/usb/0 pdpl-file 1:0:0:0 /media/usb/1 pdpl-file 2:0:0:0 /media/usb/2 pdpl-file 3:0:0:0 /media/usb/3 chown -R ${USERNAME}:${USERNAME} /media/usb/{0,1,2,3} ls -la /media/usb/ pdp-ls -M /media/usb/ umount /media/usb
Сделать сценарий исполняемым выполнив команду:
$ sudo chmod +x multilevel.sh
Создать глобальные правила в web-интерфейсе управления доменом для каждого из созданных уровней:
Сценарий подготовки USB носителей Ext4/XFS для работы с одной классификационной меткой
Для подготовки USB-носителя для работы на одном (например, втором) уровне конфиденциальности можно использовать следующий сценарий:
#!/bin/bash USERNAME="user" DEVICE="/dev/sdc1" PDPLABEL="2:0:0:0" mkfs.ext4 $DEVICE mkdir -p /media/usb mount $DEVICE /media/usb #one level pdpl-file $PDPLABEL /media/usb/ chown -R ${USERNAME}:${USERNAME} /media/usb/ ls -la /media/usb/ pdp-ls -M /media/usb/ umount /media/usb
Для подготовки носителя:
- Сохранить сценарий в файле singlelevel.sh;
- Откорректировать значение переменной USERNAME, указав имя пользователя, для которого подготавливается носитель;
- Откорректировать значение переменной DEVICE, указав имя устройства;
- Откорректировать значение переменной PDPLABEL, указав назначаемую классификационную метку;
Сделать сценарий исполняемым выполнив команду:
$ sudo chmod +x singlelevel.sh
Запустить сценарий от имени суперпользователя (суперпользователя с высоким уровнем целостности при включенном МКЦ):
sudo ./singlelevel.shСоздать глобальные правила учета устройства в web-интерфейсе управления доменом для необходимого уровня по методике описанной ранее.