第7回 LIDSのACLをチューニングする

面 和毅
サイオステクノロジー株式会社
インフラストラクチャービジネスユニット
Linuxテクノロジー部
OSSテクノロジーグループ
シニアマネージャ
2006/6/2

　lidsadm -I

　「-I」オプションは、カーネルを封印する際に使用します。カーネルを封印すると、カーネルへのモジュールの組み込みを禁止できます。また、このオプションを用いてカーネルの封印を行うと、システムがBOOTステートからPOSTBOOTステートに移動します。

　lidsadm -S -- +/-"状態フラグ"

　「-S」オプションを使って、状態フラグの値を有効（1）／無効（0）にできます。フラグは「+」を指定すると1に、「-」を指定すると0になります。LIDSの状態フラグは、4種類に分類されます。

1．ACLの設定に使用するフラグ

　ACLをチューニングする際に使用するフラグです。このフラグを変更するには、インストール時に設定するパスワード（VMwareイメージでは「lids」）が必要になります。

LIDSフラグ

　ターミナル内で、LIDSフラグを無効（0）にすると、そのターミナルでLFSを開くことができます。そのほかのターミナルでは、LIDSは有効になったままです。

# lidsadm -S -- -LIDS

　LFSを終了するには、このパラメータを有効（1）に設定します。そのターミナルでもLIDSが有効になります。

# lidsadm -S -- +LIDS

LIDS_GLOBALフラグ

　ターミナル内で、LIDS_GLOBALフラグを無効（0）にすると、システム全体でLIDSが完全に無効になります。このフラグは、ACLの調整時にターミナルをいくつか開いて作業を行いたい場合や、スクリプトを用いて作業を行いたい場合に使用します。

# lidsadm -S -- -LIDS_GLOBAL

　また、このパラメータを有効（1）に設定すれば、再びシステム全体でLIDSが有効になります。

# lidsadm -S -- +LIDS_GLOBAL

RELOAD_CONFフラグ

　このフラグは常に0のままです。

# lidsadm -S -- +RELOAD_CONF

とすると、稼働中のシステムに/etc/lidsディレクトリ以下のLIDSの設定ファイルを再読み込みさせます。これにより、LFSで設定したACLをシステムを再起動させずに反映できます。

　LIDSがACLを読み込むタイミングは、起動時とRELOAD_CONFフラグで読み込ませたときだけです。RELOAD_CONFフラグを使うことで、チューニング時に頻繁にシステムを再起動する手間を回避できます。

2．現在のシステムのステートを変更するフラグ

　システムのステートを変更するフラグは、有効（1）にはできますが、無効（0）にはできません。そのため、一度SHUTDOWNステートにシステムが移行してしまった後にPOSTBOOTステートに戻したい場合には、システムを再起動するしか方法がありません。

POSTBOOTフラグ

　POSTBOOTフラグを有効（1）にすると、システムのステートをPOSTBOOTステートに移行できます。通常、「lidsadm -I」コマンドでカーネルを封印すると、自動的に1になります。

　また、BOOTステートで「lidsadm -S -- -CAP_HIDDEN」や「lidsadm -S -- -LIDS_GLOBAL」と入力してシステムのパラメータを変更しようとすると、「コマンドを入力できる」＝「システムの起動は終わっている」と見なして、自動的にPOSTBOOTステートに移行します。

SHUTDOWNフラグ

　SHUTDOWNフラグを有効（1）にすると、システムのステートをSHUTDOWNステートに移行できます。

3．ACL_DISCOVERYに関するフラグ

　ACL_DISCOVERYに関するフラグを有効（1）にすると、ACL_DISCOVERYモードに移行できます。このフラグは、LFSなどLIDSのアクセス制限がかかっていないターミナルからのみ有効にすることができます。

　システムをACL_DISCOVERYモードにするには、ACL_DISCOVERYフラグを有効（1）にする以外にも、/etc/lids/lids.iniファイルで「ACL_DISCOVERY=1」として「lidsconf -C」コマンドでACLを作り直して再起動する方法があります。しかし、/etc/lids/lids.iniファイルを修正しただけでは、BOOTステート、POSTBOOTステートはACL_DISCOVERYモードになりますが、SHUTDOWNステートはACL_DISCOVERYモードになりません。

　これはバグだと思われるので、当面はSHUTDOWNステートでACL_DISCOVERYモードを使用したい場合には以下のコマンドによってシステムのACL_DISCOVERYフラグを有効（1）にしてからSHUTDOWNステートに移行する必要があります。

# lidsadm -S -- -LIDS
# lidsadm -S -- +ACL_DISCOVERY
# lidsadm -S -- +SHUTDOWN

4．TPEに関するフラグ

　TPEに関するフラグを操作することにより、第5回で説明したLIDS TPE機能を有効（1）／無効（0）にできます（LIDSのカーネル設定でTPE機能が選択されている場合）。

　TPE機能を有効にするためには、

#lidsadm -S -- +TPE

としてTPEフラグを直接操作するか、カーネルを封印する際に、

#lidsadm -I +TPE

とすることにより、カーネル封印の際に自動的にTPE機能が有効になります。

　次回は、lidsconfコマンドの使用方法を見ていきます。

4/4
  

Index
LIDSのACLをチューニングする
  Page1
LIDSを実際にインストールしてみよう
LIDS Free Session（LFS）
  Page2
ACL_DISCOVERYモード
lidstools
lidsadmコマンド
  Page3
lidsadm -V
Page4
lidsadm -I
lidsadm -S -- +/-"状態フラグ"


Profile
面 和毅（おも かずき）

サイオステクノロジー株式会社
インフラストラクチャービジネスユニット Linuxテクノロジー部
OSSテクノロジーグループ
シニアマネージャ

　学生時代よりUNIXに親しむ。1997年からサーバ構築およびセキュリティ全般を扱う仕事に従事、Linuxを使い始める。

　現在はLIDSの普及活動に注力。LIDSユーザ会（LIDS-JP）の立ち上げやLIDS関連文書の日本語化、LIDSを用いたシステム構築の紹介などを行っている。また、サイオステクノロジーでビジネス面でのLIDSの普及活動に注力している。

　2005年12月より、LIDS Teamに参加し、LIDSの公式な開発チームの一員として活動している。

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

注目のテーマ

Security & Trust 記事ランキング

本日 月間
＠IT