test

Oracle Solaris Trusted Extensions 管理の手順

第 6 章 Trusted Extensions でのユーザー、権利、および役割 (概要)

この章では、一般ユーザーを作成する前に必要な決定事項と、ユーザーアカウントを管理する際の背景情報について説明します。この章は、初期設定チームが役割を設定し、最小限のユーザーアカウントを設定していることを前提としています。これらのユーザーは、Solaris Trusted Extensions を構成および管理するために使用する役割になることができます。詳細は、『Oracle Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions での役割とユーザーの作成」を参照してください。

Trusted Extensions のユーザーセキュリティー機能

Trusted Extensions ソフトウェアは、ユーザー、役割、または権利プロファイルに次のセキュリティー機能を追加します。

ユーザーに関する管理者のタスク

システム管理者役割は、ユーザーアカウントを作成します。セキュリティー管理者役割は、アカウントのセキュリティー面を設定します。

LDAP ネームサービス用に Sun Java System Directory Server を使用している場合は、初期設定チームが tsol_ldap.tbx ツールボックスを設定していることを確認してください。手順については、『Oracle Solaris Trusted Extensions 構成ガイド』の「LDAP のための Solaris 管理コンソールの設定 (作業マップ)」を参照してください。

ユーザーと役割の設定については、次を参照してください。

ユーザーに関するシステム管理者のタスク

Trusted Extensions では、システム管理者役割がシステムにアクセスできるユーザーを決定します。システム管理者は、次のタスクを行います。

ユーザーに関するセキュリティー管理者のタスク

Trusted Extensions では、セキュリティー管理者役割がユーザーまたは役割のすべてのセキュリティー属性を設定します。セキュリティー管理者は、次のタスクを行います。

一般的には、セキュリティー管理者役割が権利プロファイルを作成します。ただし、セキュリティー管理者役割では付与できない機能がプロファイルに必要な場合は、スーパーユーザーまたは主管理者役割がプロファイルを作成できます。

権利プロファイルを作成する前に、セキュリティー管理者は新しいプロファイルにあるコマンドまたはアクションの実行に、特権または承認が必要かどうかを分析する必要があります。各コマンドのマニュアルページに、コマンドで必要な特権と承認が記載されています。特権や承認が必要なアクションの例については、exec_attr データベースを参照してください。

Trusted Extensions でユーザーを作成する前に必要な決定事項

次の決定事項は、ユーザーが Trusted Extensions で実行可能な操作とその使いやすさに影響します。一部の決定事項は、Solaris OS のインストール時に行なった内容と同じです。Trusted Extensions に固有の決定事項は、サイトのセキュリティーや使いやすさに影響する場合があります。

Trusted Extensions のデフォルトのユーザーセキュリティー属性

label_encodings ファイルと policy.conf ファイルの設定により、ユーザーアカウントのデフォルトのセキュリティー属性が決まります。ユーザーに対して明示的に設定した値は、これらのシステム値よりも優先されます。これらのファイルで設定した値の一部は、役割のアカウントにも適用されます。明示的に設定できるセキュリティー属性については、「Trusted Extensions の構成可能なユーザー属性」を参照してください。

label_encodings ファイルのデフォルト

label_encodings ファイルは、ユーザーの最小ラベル、認可上限、およびデフォルトのラベル表示を定義します。ファイルの詳細は、label_encodings(4) のマニュアルページを参照してください。サイトの label_encodings ファイルは、初期設定チームによってインストールされています。初期設定チームが行う決定は、『Oracle Solaris Trusted Extensions 構成ガイド』の「ラベルストラテジの作成」と、『Solaris Trusted Extensions ラベルの管理』の例に基づいています。

セキュリティー管理者が Solaris 管理コンソールで個々のユーザーに明示的に設定するラベルの値は、label_encodings ファイルから派生しています。明示的に設定した値は、label_encodings ファイルの値よりも優先されます。

Trusted Extensions の policy.conf ファイルのデフォルト

Solaris の /etc/security/policy.conf ファイルには、システムのデフォルトセキュリティー設定が含まれています。Trusted Extensions はこのファイルに 2 つのキーワードを追加します。システム全体の値を変更する場合は、これらの「キーワード=値」の組をファイルに追加できます。これらのキーワードは Trusted Extensions で実施されます。次の表に、これらのセキュリティー設定に指定可能な値とそのデフォルト値を示します。

表 6–1 policy.conf ファイル内の Trusted Extensions セキュリティーのデフォルト

キーワード 

デフォルト値 

取り得る値 

注釈 

IDLECMD 

LOCK 

LOCK | LOGOUT 

役割には適用されません。 

IDLETIME 

30 

0 ～ 120 分 

役割には適用されません。 

policy.conf ファイルで定義される承認と権利プロファイルは、個々のアカウントに割り当てられる承認とプロファイルに追加されます。その他のフィールドについては、個々のユーザーの値がシステムの値に優先します。

『Oracle Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions でのユーザーセキュリティーの計画」に、policy.conf のキーワードの表があります。policy.conf(4) のマニュアルページも参照してください。

Trusted Extensions の構成可能なユーザー属性

Solaris 管理コンソール 2.1 は、ユーザーアカウントを作成および修正するためのツールです。複数のラベルでログインできるユーザーに対して、管理者は各ユーザーの最小ラベルのホームディレクトリに .copy_files と .link_files ファイルを設定する場合があります。

Solaris 管理コンソールのユーザーアカウントツールは、Solaris OS の場合と同様に機能します。ただし、次の 2 点が異なります。

『System Administration Guide: Basic Administration』の「How to Add a User With the Solaris Management Console’s Users Tool」で説明したように、ウィザードを使用してユーザーアカウントを簡単に作成できます。ウィザードを使用したあと、ユーザーのデフォルトの Trusted Extensions 属性を修正できます。

.copy_files と .link_files ファイルについては、「.copy_files ファイルと .link_files ファイル」を参照してください。

ユーザーに割り当てる必要のあるセキュリティー属性

セキュリティー管理者役割は、次の表のように、新しいユーザーのためにいくつかセキュリティー属性を指定する必要があります。デフォルト値を含むファイルについては、「Trusted Extensions のデフォルトのユーザーセキュリティー属性」を参照してください。次の表に、ユーザーに割り当て可能なセキュリティー属性とそれぞれの割り当ての効果を示します。

表 6–2 ユーザーの作成後に割り当てられるセキュリティー属性

ユーザー属性 

デフォルト値の設定場所 

操作の要/不要 

効果 

パスワード 

なし 

必要 

ユーザーにパスワードが設定されます 

役割 

なし 

任意 

ユーザーは役割を引き受けることができます 

承認 

policy.conf ファイル

任意 

ユーザーに追加承認が割り当てられます 

権利プロファイル 

policy.conf ファイル

任意 

ユーザーに追加の権利プロファイルが割り当てられます 

ラベル 

label_encodings ファイル

任意 

ユーザーに異なるデフォルトラベルまたは認可範囲が与えられます 

特権 

policy.conf ファイル

任意 

ユーザーに特権の異なるセットが与えられます 

アカウントの使用 

policy.conf ファイル

任意 

アイドル時に、ユーザーにコンピュータの異なる設定が与えられます 

監査 

audit_control ファイル

任意 

ユーザーはシステム監査設定と異なる監査を受けます 

Trusted Extensions でのユーザーへのセキュリティー属性の割り当て

ユーザーアカウントが作成されると、セキュリティー管理者役割は Solaris 管理コンソールを使用して、ユーザーにセキュリティー属性を割り当てます。正しいデフォルトを設定した場合、次の手順としては、デフォルトに対する例外を必要とするユーザーのみにセキュリティー属性を割り当てることです。

セキュリティー属性をユーザーに割り当てる場合、セキュリティー管理者は次の事項について考慮する必要があります。

パスワードの割り当て

ユーザーアカウントが作成されたら、セキュリティー管理者役割はユーザーアカウントにパスワードを割り当てます。最初の割り当てのあと、ユーザーはパスワードを変更できます。

Solaris OS の場合と同様に、ユーザーに定期的なパスワードの変更を強制することができます。パスワードの有効期限オプションは、パスワードを推測または盗むことができる侵入者がシステムにアクセスできる期間を制限します。変更が可能になるまでの最低期間を設定すると、新しいパスワードに変更したユーザーがすぐに古いパスワードに戻すのを防ぐこともできます。詳細は、passwd(1) のマニュアルページを参照してください。

注 –

役割になれるユーザーのパスワードは、パスワードの有効期限の制約を受けないようにします。

役割の割り当て

1 人のユーザーに 1 つの役割を割り当てる必要はありません。サイトのセキュリティーポリシーに矛盾しなければ、1 人のユーザーに複数の役割を割り当てることができます。

承認の割り当て

Solaris OS と同様、承認をユーザーに直接割り当てると、これらの承認は既存の承認に追加されます。Trusted Extensions では、承認を権利プロファイルに追加し、プロファイルをユーザーに割り当てます。

権利プロファイルの割り当て

Solaris OS と同様に、 プロファイルの順序は重要です。プロファイルの機構は、アカウントのプロファイルセットにある最初のコマンドまたはアクションのインスタンスを使用します。

プロファイルの整列順を利用することができます。既存のプロファイルの定義と異なるセキュリティー属性でコマンドを実行する場合は、コマンドに目的の属性を割り当てた新しいプロファイルを作成します。続いて、既存のプロファイルの前に新しいプロファイルを挿入します。

注 –

管理アクションまたは管理コマンドを含む権利プロファイルは、一般ユーザーに割り当てないでください。一般ユーザーは大域ゾーンに入れないため、プロファイルが機能しません。

特権デフォルトの変更

多くのサイトにとって、デフォルトの特権セットでは厳格さが足りません。システム上のすべての一般ユーザーに対して特権セットを制限するには、policy.conf ファイルの設定を変更します。個々のユーザーの特権セットを変更するには、Solaris 管理コンソール を使用します。例については、「ユーザーの特権セットを制限する」を参照してください。

ラベルのデフォルトの変更

ユーザーのラベルのデフォルトを変更すると、label_encodings ファイルのユーザーデフォルトの例外が作成されます。

監査デフォルトの変更

Solaris OS の場合と同様、ユーザーに監査クラスを割り当てると、システムの/etc/security/audit_control ファイルに割り当てられている監査クラスの例外が作成されます。監査の詳細は、第 18 章Trusted Extensions での監査 (概要)を参照してください。

.copy_files ファイルと .link_files ファイル

Trusted Extensions では、ファイルはスケルトンディレクトリからアカウントの最小ラベルを含むゾーンにのみ、自動的にコピーされます。上位ラベルのゾーンで起動ファイルを使用できるようにするには、ユーザーまたは管理者が .copy_files ファイルと .link_files ファイルを作成する必要があります。

Trusted Extensions の .copy_files ファイルと .link_files ファイルは、起動ファイルをアカウントの各ラベルのホームディレクトリに自動的にコピーまたはリンクします。ユーザーが新しいラベルでワークスペースを作成するごとに、updatehome コマンドはアカウントの最小ラベルで .copy_files ファイルと .link_files ファイルの内容を読み取ります。続いてコマンドは、リストに指定されたファイルを上位ラベルのワークスペースにコピーまたはリンクします。

.copy_files ファイルは、ユーザーが別のラベルで少しだけ異なる起動ファイルを使用する場合に有効です。たとえば、ユーザーが別のラベルで異なるメールエイリアスを使用する場合は、コピーが適しています。.link-files ファイルは、起動ファイルを、そのファイルが呼び出されたすべてのラベルでまったく同じにする必要がある場合に便利です。たとえば、すべてのラベル付き印刷ジョブを 1 台のプリンタで処理する場合は、リンクが適しています。サンプルファイルについては、「Trusted Extensions のユーザーの起動ファイルを構成する」を参照してください。

次のリストに、ユーザーに上位ラベルへのコピーまたはリンクを許可する起動ファイルの例を示します。

.acrorc

.login

.signature

.aliases

.mailrc

.soffice

.cshrc

.mime_types

.Xdefaults

.dtprofile

.newsrc

.Xdefaults-hostname

.emacs

.profile