Справочный центр

Дерево страниц

Вы просматриваете старую версию данной страницы. Смотрите текущую версию.

Сравнить с текущим просмотр истории страницы

« Предыдущий Версия 20 Следующий »

Статья применима к:

Создание доменного правила регистрации отчуждаемых носителей

При поиске учтенных устройств используется имя, под которым выполняется вход пользователя. Имя используется в той форме, которая указана при входе. То есть:

  • если пользователь выполнял вход без указания домена (например, user), то будут найдены устройства, учтенные для владельца user. Именно в такой форме задаются имена владельцев устройств при работе с web-интерфейсом;
  • если пользователь выполнял вход с указанием имени домена (например, user@astralinux.ru), то устройства, учтенные для владельца user найдены не будут. При регистрации устройств имена их владельцев с указанием имени домена могут быть заданы с помощью CLI (команда ipa parsecdevice-add).

Регистрация отчуждаемых носителей в домене FreeIPA осуществляется из web-интерфейса управления контроллера домена путем создания доменных правил для носителей. Для регистрации носителя необходимо:

  1. Открыть web-интерфейс управления доменом;
  2. Выбрать раздел "Политика" → "Политика PARSEC";
  3. Выбрать в выпадающем списке "Учтенные устройства" ("Registered devices"):
  4. Задать удобное имя регистрируемого носителя, а также права доступа для пользователя и группы:
  5. Значение параметра "Device attributes" необходимо скопировать из графической утилиты "Политика безопасности". Для этого выполнить следующие действия:
    1. Запустить утилиту "Политика безопасности": "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности".
      Предупреждение о том, что компьютер находится под управлением домена можно игнорировать;
    2. Выбрать раздел "Устройства и правила" → "Устройства", затем нажать кнопку добавления устройства и следовать подсказкам мастера:

    3. При запросе мастера подключить устройство и выбрать появившееся устройство:

      Обращаем внимание, что необходимо прервать создание локального правила в  "Политика безопасности" (fly-admin-smc) без сохранения изменений.

    4. Скопировать значение правила определения устройства:

    5. Перейти в web-интерфейс FreeIPA и вставить скопированное правило определения устройства:

      Служебная доменная группа ipausers не является полноценной группой (POSIX-группой), не имеет числового идентификатора (GID), и поэтому неприменима при учете устройств. Для учета устройств рекомендуется создать отдельные доменные POSIX-группы (группы, имеющие GID).


    6. Выставить чек-бокс "Device is ON" и сохранить правило.



После создания правил перед проверкой работоспособности правил в обязательном порядке необходимо извлечь накопителя.

Подготовка носителей для работы

Работа накопителей с несколькими различными классификационными метками возможна лишь с файловыми системами поддерживающими расширенные файловые атрибуты. Для USB-носителей это файловые системы Ext2/Ext3/Ext4 (для Astra Linux Special Edition x.7 также файловая система xfs) . Подробную информацию по применению носителей с другими файловыми системами (NTFS, VFAT, ) см. Съемные носители в Astra Linux.

Сценарий подготовки USB носителей Ext4/XFS для работы c несколькими различными классификационными метками

Для подготовки USB-носителя к работе с несколькими различными классификационными метками можно использовать следующий сценарий:

При использовании сценария устройство будет отформатировано и находящиеся на нем данные удалены.
multilevel.sh
#!/bin/bash
USERNAME="user"
DEVICE="/dev/sdc1"
mkfs.ext4 $DEVICE
mkdir -p /media/usb
mount $DEVICE /media/usb
#multilevel
pdpl-file 3:0:-1:ccnr /media/usb/
mkdir /media/usb/{0,1,2,3}
pdpl-file 0:0:0:0 /media/usb/0
pdpl-file 1:0:0:0 /media/usb/1
pdpl-file 2:0:0:0 /media/usb/2
pdpl-file 3:0:0:0 /media/usb/3
chown -R ${USERNAME}:${USERNAME} /media/usb/{0,1,2,3}
ls -la /media/usb/
pdp-ls -M /media/usb/
umount /media/usb

Для подготовки носителя:

  1. Сохранить сценарий в файле multilevel.sh;
  2. Откорректировать значение переменной USERNAME, указав имя пользователя, для которого подготавливается носитель;
  3. Откорректировать значение переменной DEVICE, указав имя устройства;
  4. По необходимости откорректировать значения назначаемых классификационных меток;

  5. Сделать сценарий исполняемым выполнив команду:

    $ sudo chmod +x multilevel.sh

  6. Запустить сценарий от имени суперпользователя (суперпользователя с высоким уровнем целостности при включенном МКЦ):

    sudo ./multilevel.sh

  7. Создать глобальные правила в web-интерфейсе управления доменом для каждого из созданных уровней:

Сценарий подготовки  USB носителей Ext4/XFS для работы с одной классификационной меткой

Для подготовки USB-носителя для работы на одном (например, втором) уровне конфиденциальности можно использовать следующий сценарий:

При использовании сценария устройство будет отформатировано и находящиеся на нем данные удалены.


singlelevel.sh
#!/bin/bash
USERNAME="user"
DEVICE="/dev/sdc1"
PDPLABEL="2:0:0:0"
mkfs.ext4 $DEVICE
mkdir -p /media/usb
mount $DEVICE /media/usb
#one level
pdpl-file $PDPLABEL /media/usb/
chown -R ${USERNAME}:${USERNAME} /media/usb/
ls -la /media/usb/
pdp-ls -M /media/usb/
umount /media/usb

Для подготовки носителя:

  1. Сохранить сценарий в файле singlelevel.sh;
  2. Откорректировать значение переменной USERNAME, указав имя пользователя, для которого подготавливается носитель;
  3. Откорректировать значение переменной DEVICE, указав имя устройства;
  4. Откорректировать значение переменной PDPLABEL, указав назначаемую классификационную метку;

  5. Сделать сценарий исполняемым выполнив команду:

    $ sudo chmod +x singlelevel.sh

  6. Запустить сценарий от имени суперпользователя (суперпользователя с высоким уровнем целостности при включенном МКЦ):

    sudo ./singlelevel.sh

  7. Создать глобальные правила учета устройства в web-интерфейсе управления доменом для необходимого уровня по методике описанной ранее.

  • Нет меток