test

Solaris 移行ガイド

第 5 章 セキュリティ

Solaris 7 環境のセキュリティは、SunOS 4 の機能と AT&T SVR4 の機能を組み合わせたもので、また新しい環境に特に追加された機能も含まれています。いくつかの SunOS 4 のセキュリティプログラムのパッケージも変更されています。

この章では、SunOS 4 と Solaris 7 環境のセキュリティの主な違いについて説明し、この変更がどのようにシステム管理手順に影響するかを示します。『Solaris のシステム管理 (第 2 巻)』では、管理やこれらの機能の使用方法をより詳細に説明しています。

Solaris 7 のセキュリティ機能

SunOS 4 システムのセキュリティ機能のうち、ほとんどが Solaris 7 の環境でも使用できます。これらの機能には次のものがあります。

GSS-API に基づいて RPC が変更されました。その結果、セキュリティの完全性と信頼性が向上し、NFS サービスが特定または単独のセキュリティ機構に拘束されなくなります。また、認証キーの長さを 192 ビットから 640 ビットに拡張することで、 NIS+ セキュリティが強化されています。

『NFS の管理』では、Secure NFS と .rhosts ファイルについて説明しています。『TCP/IP とデータ通信』では、インターネットセキュリティの管理について説明しています。

ローカルの SunOS 5.7 システムのセキュリティには、別ファイルへの暗号化されたパスワードの格納や、ログインデフォルトの制御、制限付きシェルなどが含まれます。『NIS+ への移行』と『NFS の管理』で説明されている、同じ機能の NIS+ セキュリティは、システムへのアクセスをネットワーク全体で制御します。

次の項では、ローカルでのシステム制御におけるセキュリティ機能について要約しています。

/etc/passwd と /etc/shadow ファイル

SunOS 5.7 の passwd コマンドは暗号化したパスワードを別のファイル /etc/shadow に格納し、シャドーファイルへの root のアクセスのみを許可します。これにより、以前の /etc/passwd ファイルにあったような暗号化されたパスワードへのアクセスを防止します。

また、/etc/shadow ファイルは個々のユーザログインアカウントのパスワード有効期限の設定を強制的に行うエントリを含んでいます。passwd ファイルと shadow ファイルへのエントリを変更するメカニズムについては、『Solaris のシステム管理 (第 2 巻)』に説明があります。

/etc/default ファイル

デフォルトのシステムアクセスを制御するいくつかのファイルは、/etc/default ディレクトリに格納されます。これらのファイルはネットワークの特定のシステムへアクセスすることを制限します。表 5-1 では、/etc/default ディレクトリにあるファイルについて要約します。

表 5-1 /etc/default ディレクトリにあるファイル

/etc/default/login

root のアクセスを含むシステムログイン条件を制御する。デフォルトでは、root のアクセスをコンソールに制限する。 

/etc/default/passwd

パスワード有効期限のデフォルト条件を制御する。 

/etc/default/su

システムにアクセスする root (su) のログをどこにとるか、またその root のアクセスをどこに表示させるかを制御する。

制限付きシェル

システム管理者は、制限付きの Korn シェル (rksh) および Bourne シェル (rsh) を使用して特定のユーザアカウントに対する操作を制限できます。

制限付きシェルは次のような操作を許可しません。

これらのシェルの説明については、 ksh(1) と sh(1) のマニュアルページを参照してください。

制限付きシェルとリモートシェルには異なるパス名を持つ同じコマンド名 (rsh) があることに注意してください。

パスワード有効期限の変更

SunOS 5.7 システムには、パスワードに有効期限を設定する機能があります。この機能は、各ユーザのパスワードに限られた有効期間を割り当てて、パスワードの機密を保持します。パスワードの有効期間が終了すると、パスワードの所有者に通知し、新しいパスワードを選ぶよう要求します。

パスワード有効期限の設定は、次のどちらかの方法で実装することができます。

システム管理者もパスワードの有効期間を設定できます。

ユーザパスワードは次のどちらかの方法で変更できます。

アクセス制御リスト (ACL)

アクセス制御リスト (ACL) は UFS と NFS のどちらでもサポートされており、ファイル許可を管理する際に従来の UNIX ファイル保護よりも柔軟に対応できます。従来の UNIX ファイル保護では、所有者、グループ、その他という 3 つのユーザクラスに対して読み取り、書き込み、実行の許可が与えられます。

ACL を使用すると、ファイルの許可を所有者、所有者のグループ、その他、特定のユーザとグループに定義することができ、これらのカテゴリの 1 つずつにデフォルトの許可を定義できます。たとえば、あるユーザのグループに読み取り許可を定義し、そのグループ内の 1 人のユーザだけに書き込み許可を定義する ACL を設定することができます。標準の UNIX ファイル許可では、このような設定はできませんでした。

setfacl(1) コマンドは ACL エントリの設定、追加、変更、および削除を行い、getfacl(1) コマンドは ACL エントリを表示します。

ACL の使用法については、『Solaris のシステム管理 (第 2 巻)』を参照してください。

自動セキュリティ拡張ツール (ASET)

SunOS 4 システムでは別売オプションとして利用できた自動セキュリティ拡張ツール (ASET) は、Solaris 7 の動作環境に組み込まれています。ASET では、全体のシステムセキュリティレベル (low、medium、high) を指定し、それらのレベルで自動的にシステムを管理できます。このツールは、サーバやそのすべてのクライアント、または個々のクライアントが実行するように設定できます。

ASET は次の作業を実行します。

『Solaris のシステム管理 (第 2 巻)』では、ASET の設定と監視について詳細に説明しています。

セキュリティオプション

現在使用できるアンバンドルのセキュリティオプションは、Kerberos と SunSHIELDTM と Pluggable Authentication Module (PAM) です。

Kerberos 4.0 セキュリティ

Solaris 7 の環境には、Secure RPC における Kerberos V4 認証のサポートが含まれます。Kerberos のソースコードや管理ユーティリティは MIT から入手できます。

このリリースに含まれるものは以下です。

『Solaris のシステム管理 (第 2 巻)』では、クライアント側のユーティリティを使用する方法について説明しています。また、『NFS の管理』では、NFS で Kerberos を使用する方法について説明しています。

SunSHIELD パッケージ

Solaris 7 には、SunSHIELD 基本セキュリティモジュール (BSM) パッケージが組み込まれています。この製品は、トラステッドコンピュータシステム評価基準 (TCSEC) の中に C2 として定義されているセキュリティ機能を備えています。BSMによって提供される機能は、セキュリティ監査サブシステムとデバイス割当て機構です。C2 の任意アクセス制御機能と識別および認証機能は、オペレーティングシステムに組み込まれています。

BSM の管理については、『SunSHIELD 基本セキュリティモジュール』で説明しています。

PAM

プラグ可能な認証モジュール (PAM) フレームワークは login、ftp、telnet などのコマンドを変更せずに新しい認証技術を「プラグイン」できるものです。このフレームワークを使うことによって、システム管理者はサービスを任意に組み合わせて認証を提供できます。また、アカウント、セッション、パスワードの管理機構も、このフレームワークを使って「プラグイン」できます。

PAM の管理については、『Solaris のシステム管理 (第 2 巻)』で説明しています。