엔터프라이즈 관리 안내서 › 중앙에서 정책 관리 › 정책 위반 계산 작동 방법

정책 위반 계산 작동 방법

고급 정책 관리를 사용하면 정책 배포의 결과로 끝점에 배포되어야 하는 액세스 규칙과 동일한 끝점에 성공적으로 배포된 실제 규칙 사이의 차이점을 확인할 수 있습니다. 또한 정책 개체에 추가된 속성과 변경된 속성을 확인합니다. 이 정보를 사용하면 정책 배포와 연관된 문제를 해결할 수 있습니다.

끝점에서 정책 위반 계산기를 실행하면 다음 작업이 수행됩니다.

1. 끝점에 배포해야 하는 규칙 목록을 로컬 호스트에서 검색합니다.

   이러한 규칙은 배포된 각 정책 버전의 POLICY 개체와 연관된 로컬 RULESET 개체에 지정된 대로 각 배포 정책에 지정된 규칙입니다.

2. 이러한 각 규칙이 끝점에 적용되는지 확인합니다.

   중요! 위반 계산에서는 기본 규칙이 적용되는지 여부를 확인하지 않습니다. 또한 데이터베이스에서 개체(사용자 또는 개체 특성, 사용자 또는 리소스 권한 부여, 실제 사용자 또는 리소스)를 제거하는 규칙을 무시합니다. 예를 들어 위반 계산에서는 다음 규칙이 적용되는지 여부를 확인할 수 없습니다.
   rr FILE /etc/passwd

3. (선택 사항) 로컬 정책 개체와 DMS의 정책 개체를 비교합니다.

   일반적으로 위반 계산기는 로컬 호스트에서만 위반을 확인합니다. -strict 옵션을 지정하면 위반 계산기가 로컬 HNODE 개체와 연관된 정책과 DMS에 있는 HNODE 개체와 연관된 정책도 비교합니다. 비교하는 내용은 다음과 같습니다.

   1. 로컬 호스트를 나타내는 HNODE 개체와 연관된 정책 목록
   2. HNODE 개체와 연관된 각 POLICY 개체의 정책 상태
   3. HNODE 개체와 연관된 각 POLICY 개체의 정책 서명
4. 다음 두 개의 파일이 출력됩니다.
   • ACInstallDir/data/devcalc/deviation.log

     마지막 위반 계산 시 수집된 로그 및 오류 메시지입니다.

   • ACInstallDir/data/devcalc/deviation.dat

     정책 및 해당 위반 목록입니다. 끝점에서 selang 명령 get devcalc를 사용하여 이 파일의 내용을 가져올 수 있습니다.

     참고: CA Access Control은 seaudit -a를 사용하여 볼 수 있는 감사 이벤트도 전송합니다. seaudit 유틸리티에 대한 자세한 내용은 참조 안내서를 참조하십시오.

5. 위반이 있음을 DMS에 알립니다.

   알림은 로컬 CA Access Control 데이터베이스에 대해 지정된 DH를 통해 DMS에 전달됩니다.