Solaris WBEM Services の管理

概要

Solaris オペレーティング環境でセキュリティを管理するには、2 つの別個のメカニズムがあります。WBEM ACL (access control list: アクセス制御リスト) ベースと、Solaris RBAC (role-based access control: 役割によるアクセス制御) です。

Solaris_Acl1.0.mof ファイルで定義されるクラスは、ACL ベースのセキュリティの実装に使用されます。これは Solaris WBEM Services のデフォルトの承認スキーマを提供し、すべての CIM の操作に適用されます。これは、Solaris WBEM Services に特有の機能です。

Solaris_Acl1.0.mof クラスのインスタンスは、WBEM のユーザーおよび (または) ネームスペースに割り当てられたデフォルトの承認を決定します。しかし、プロバイダのプログラムは、このインスタンス操作に関する CIM オペレーションのスキーマをオーバーライドすることが許可されています。Sun の Solaris Provider の場合は、RBAC スキーマを使用します。

WBEM User Manager (/usr/sadm/bin/wbemadmin) の使用により、読み取りアクセスまたは書き込みアクセスのいずれかで既存の ACL にユーザーを追加することができます。「Sun WBEM User Manager によるアクセス制御の設定」を参照してください。また、アクセス制御の設定のために Solaris_Acl1.0.mof クラスを使用して WBEM アプリケーションを作成することもできます。「API によるアクセス制御の設定」を参照してください。

Solaris_Users1.0.mof ファイルで定義されたクラスは、Solaris Management Console (SMC) の「ユーザー」ツールによるユーザーの役割および特権の定義のために Solaris RBAC セキュリティの実装で使用されます。SMC「ユーザー」ツールにより、既存の役割にユーザーを追加したり、既存のユーザーに RBAC 権利 (RBAC 権利は、SMC 「ユーザー」ツールの権利 (Rights) 部分で管理されます) を付与したりすることができます。「Solaris Management Console 「ユーザー」ツール」を参照してください。

Sun の WBEM セキュリティの機能

CIM Object Manager は、CIM Object Manager が動作しているマシンでのユーザーのログイン情報を検証します。検証されたユーザーには、Common Information Model (CIM) スキーマ全体に対する制御アクセス権が与えられます。CIM Object Manager は、個々のクラスやインスタンスのようなシステムリソースに対するセキュリティは提供しません。しかし、CIM Object Manager を使用すると、ネームスペースへのグローバルなアクセス権を制御でき、個々のユーザーベースでもアクセス権を制御できます。

次のセキュリティ機能によって、WBEM 対応しているシステム上の CIM オブジェクトへのアクセスを保護します。

認証 - コンピュータシステム内のエンティティ (ユーザー、デバイスなど) の識別情報を検証するプロセス。認証は、システム内のリソースへのアクセスを許可する場合の必須条件となることが多い
承認 - ユーザー、プログラム、またはプロセスにアクセス権を与えること
リプレイの防止 - CIM Object Manager は、セッションキーを検証することにより、クライアントが別のクライアントのメッセージを取得しサーバーへ送信することを防ぐ。

クライアントは、CIM Object Manager へ送信された別のクライアントの最後のメッセージをコピーすることはできません。CIM Object Manager は各メッセージについて MAC を使用し、ネゴシエートされたセッションキーに基づいて、クライアント-サーバーセッション内のすべての通信がそのセッションを開始しかつクライアント-サーバー認証に参加した同じクライアントとのものであることを保証します。

MAC は、シングルメッセージの認証に使用されるセキュリティ情報を含むリモート呼び出しに追加されたトークンのパラメータです。これは、そのメッセージがそのセッションについてオリジナルに認証されたクライアントから来たものであり、そのメッセージが他のクライアントからリプレイされたものではないということを確認するために使用されます。WBEM では、このメカニズムのタイプは RMI メッセージに対して使用されます。ユーザー認証の交換でネゴシエートされたセッションキーは、メッセージの MAC トークン内のセキュリティ情報の暗号化に使用されます。

メッセージのデジタル署名は行われないことに注意してください。

認証

ユーザーがログインしユーザー名とパスワードを入力すると、クライアントはそのパスワードを使用して、サーバーが検証する暗号化されたダイジェストを生成します。ユーザーが認証されると、CIM Object Manager はクライアントセッションを設定します。その後のオペレーションはすべてセキュリティ保護されたそのクライアントセッション内で行われ、認証時にネゴシエートされたセッションキーを使用する MAC トークンが使用されます。

承認

ユーザーの ID が CIM Object Manager によって認証されると、その ID を使用して、アプリケーションまたはそのタスクの実行をそのユーザーに許可すべきかどうかを検証できます。CIM Object Manager は資格ベースの承認を行うことができるため、特権を持つユーザーは読み取り権と書き込み権を特定のユーザーに割り当てることができます。この承認は、既存の Solaris ユーザーアカウントに追加されます。

Solaris Management Console 「ユーザー」ツール

SMC 「ユーザー」ツールにより、既存の役割にユーザーを追加したり、既存のユーザーに RBAC 権利 (RBAC 権利は、SMC「ユーザー」ツールの権利 (Rights) 部分で管理されます) を付与したりすることができます。

SMC および「ユーザー」ツールを起動する方法

次のように実行して SMC 起動コマンドのロケーションへ移動します。
# cd /usr/sbin

次のコマンドを実行して、SMC を起動します。
# smc

画面左側の「ナビゲーション (Navigation)」内にある「このコンピュータ (This Computer)」をダブルクリックして (またはその隣にある展開/縮小の機能を持つアイコンをシングルクリックして)、その下にあるツリーを展開します。「システム構成 (System Configuration)」についても同様に展開して、「ユーザー (Users)」アイコンを表示します。

「ユーザー (Users)」アイコンをクリックしてアプリケーションを起動します。

図 3-1 Solaris Management Console で「ユーザー (Users)」ツールを選択した状態

Solaris Management Console についての詳細は、smc(1M) のマニュアルページを参照してください。