【HP】Trusted & !trusted system

http://bbs2.chinaunix.net/archiver/tid-1436765.html

Trusted & !trusted system


设置trusted system是HP UNIX安全机制的一部分，首先看下trusted system增加了哪些安全特性：
口令放置在单独的且只有root用户可读的文件中
可以设置更多的口令与登录属性
可以进行审计

怎样由!trusted system转换为trusted system
对于一个在用的并且有运行应用的系统上，一定要对在用的应用进行分析，对更改后的限制是否会影响应用（尤其注意用户umask值更改带来的隐患）
由以上的分析规划适合的安全方案（比如在更改后是否要对特定用户设置环境变量等）
备份文件系统，以便以后可以恢复用户文件，还应将/etc/passwd备份到磁带或其他地方（这是一个建议做法）
转换到trusted system（这是一个可逆操作）
方法一：通过SAM操作
运行SAM-->Auditing and Security,激活任何审核屏幕，直到出现convert to trusted system的提示框，点击Y开始转换
方法二：command
#/usr/lbin/tsconvert

转换过程做了哪些更改：
在/tcb/files/auth中新建口令数据库
将加密口令从/etc/passwd文件移动到受保护的口令数据库中，并用*替代/etc/passwd文件中的password字段
强制所有用户使用口令
为每个用户建立一个审核ID
对现有的用户打开审核标志
从HP UNIX 11.0开始，umask的缺省值为077（这一点至关重要，在转换前一定要分析现有用户的文件创建权限需求，否则可能带来意想不到的错误）

确认已转换为trusted system

对于用户而言，确认最直接的方法是在用户登录时显示"last successful /unsuccessful login"的消息

回退操作即从trusted system转换为!trusted system
方法一：通过SAM 操作
启动sam：
"Auditing and Security" ->
"Audited Events" -> "Actions" -> "Unconvert the System"

方法二：command
#/usr/lbin/tsconvert -r

确认：
可通过一个简单命令检查：
#/usr/lbin/getprpw root
如果已经转换成!trusted system,会显示"system is not trusted"