この節では、Solaris 8 オペレーティング環境の新規機能のうち、システムセキュリティ、およびファイルシステムとディレクトリの所有権に関連する機能について説明します。
Solaris スマートカード機能は、Open Card Framework (OCF) 1.1 標準を実装しています。この技術によりセキュリティ管理者は、ユーザーにスマートカードを用いて自己認証させ、コンピュータデスクトップまたは個々のアプリケーションを保護できます。Solaris スマートカードによって保護される各ホストには、カードリーダーが必要です。保護されたデスクトップまたはアプリケーションにアクセスするには、ユーザーはまず自分のスマートカードをカードリーダーに挿入し、続いてカードの PIN を入力します。ホストマシンは、カードに埋め込まれた PIN とユーザーのパスワードを使用してそのユーザーを検証します。
Solaris スマートカードは、Sun Smart Card Reader I と iButton Reader の 2 種類の外部カードリーダーをサポートします。サポートされるスマートカードは、Java ベースの iButton カードと Cyberflex カード、および Payflex スマートカードです。
サイトにおけるスマートカードサポートの設定方法は、『Solaris スマートカードの管理』で説明します。このマニュアルでは、スマートカードの技術についても紹介します。
Solaris 8 リリースのシステムファイルとディレクトリの多くにおいて、デフォルトの所有権が以前のリリースとは異なっており、アクセス権もより厳密になっています。デフォルトの所有権とアクセス権の変更点は次のとおりです。
ファイルとディレクトリのデフォルトの所有権は、bin から root に変更されました。
これまでデフォルトアクセス権が 775 であったファイルとディレクトリは、Solaris 8 では 755 になりました。
これまでデフォルトアクセス権が 664 であったファイルとディレクトリは、Solaris 8 では 644 になりました。
システムのデフォルトの umask は 022 です。
Solaris 8 リリースを使用したシステムに追加するパッケージを作成する場合は、次の点を考慮してください。
すべてのファイルとディレクトリのデフォルトの所有者はスーパーユーザーでなければなりません。
ディレクトリと実行可能ファイルのデフォルトのアクセス権は 555 または 755 でなければなりません。
通常のファイルのデフォルトのアクセス権は 644 または 444 でなければなりません。
所有者がスーパーユーザーでないかぎり、set-uid ファイルと set-gid ファイルに対して所有者が書き込みを行うことはできません。
これらの変更は、このリリースのすべてのファイルとディレクトリに適用されるわけではありません。たとえば、OpenWindows または CDE のファイルとディレクトリには適用されません。
従来のスーパーユーザーベースのシステムでは、スーパーユーザーになることができるユーザー全員に完全なスーパーユーザー権限が与えられます。Solaris 8 オペレーティング環境の役割によるアクセス制御を使用すると、管理者は一般ユーザーに制限付きの管理権限を割り当てることができます。この割り当ては、次の 3 つの新機能を使用して行います。
承認 - 制限付きの機能へのアクセス権を付与するユーザー権限
実行プロファイル - 特殊な属性 (スーパーユーザー ID など) を持つ承認とコマンドをグループ化するバンドリングメカニズム
役割 - 一連の管理作業の実行を目的とした特殊なユーザーアカウント
管理者は、特定の作業のための、認証と特権コマンドを含む実行プロファイルを作成します。作成された実行プロファイルは、ユーザーまたは役割に直接割り当てることができます。役割は、ユーザーに割り当てられます。割り当てられた役割を持つユーザーは、su コマンドを実行して役割へのアクセス権を取得します。役割には、個々の役割が変化する場合に更新する必要がない共有アカウントという利点があります。次に示す新しいファイルは、役割によるアクセス制御をサポートします。
/etc/user_attr - ユーザーと役割に関連する拡張セキュリティ属性を格納する
/etc/security/auth_attr - 認証の一覧を説明とともに示す
/etc/security/prof_attr - 実行プロファイルと、関連付けられた認証の一覧を示す
/etc/security/exec_attr - 実行属性を実行プロファイルに関連付ける
/etc/security/policy.conf - ユーザーレベル属性のセキュリティポリシー構成を提供する
詳細は、『Solaris のシステム管理 (第 2 巻)』を参照してください。
ネームスイッチでは、ユーザーと役割の監査事前選択クラスを格納する /etc/security/audit_user ファイルがサポートされるようになりました。現在は、ユーザーがアクセスできるシステムごとにユーザーの監査イベントを設定する必要はありません。
この機能は、Kerberos V5 のクライアント側インフラストラクチャ (PAM (Pluggable Authentication Module) への追加) と、NFS サービスのような RPC ベースアプリケーションの保護に使用できるユーティリティプログラムを提供します。Kerberos は、選択可能なユーザーレベルまたはサーバーレベルの強い認証、完全性、またはプライバシサポートを提供します。Kerberos クライアントを Sun Enterprise 認証メカニズム (SEAM) (SEAS 3.0 の一部) やその他の Kerberos V5 ソフトウェア (MIT 配布など) と組み合わせて使用し、完結した単一のネットワークサインオンソリューションを作成できます。
詳細は、『Solaris のシステム管理 (第 2 巻)』を参照してください。