| System Management Services (SMS) 1.5 管理者マニュアル
|    
|
この章では、SMS 1.5 と Sun Fire ハイエンドサーバーシステムに関係する管理特権の概要を説明します。
SMS では、ドメインの管理特権とプラットフォームの管理特権が分離されています。たとえば、各ドメインにわたるシステム管理の特権と、プラットフォーム全体にわたるシステム管理の特権を別々に割り当てることができます。また、プラットフォームのオペレータおよびドメインの構成者に相当するユーザーに、特権のサブセットを割り当てることもできます。管理特権の付与は、アクションを開始した個人を監査により特定できるように行います。
SMS は、サイトで設定された Solaris ユーザーアカウントを使用し、これらアカウントに対して、Solaris の group メンバーシップを使用して管理特権を与えます。この方法により、デフォルトの特権の作成および整理をサイト単位で柔軟に行えます。たとえば、管理者特権を代表する同一の Solaris グループに複数のドメインを割り当てれば、ドメインのグループを 1 セットのドメイン管理者で管理できます。
SMS は、複数の管理役割を個人の管理者に割り当てることも、サイト単位で柔軟に行えます。たとえば、構成されているすべての管理特権グループに属するグループメンバーシップを持つ、単一のユーザーアカウントを設定できます。
- プラットフォーム管理者は、プラットフォームのハードウェアを管理します。実行中のドメインで使用中のハードウェアに関しては制限がありますが、プラットフォーム管理者は、最終的にはサーバーのハードウェアの電源を切断することで、実行中のドメインをシャットダウンできます。
- 各ドメイン管理者は管理するドメインの Solaris コンソールを利用でき、ドメインで実行されるソフトウェア、またはドメインに割り当てられているハードウェアを管理する特権を持ちます。
- 各種の管理特権のレベルに応じて、プラットフォームオペレータまたはドメイン構成者に対して、状態および監視の特権のサブセットを提供します。
SMS で提供される管理特権では、現行の製品の保守のためにだけ提供されている機能へアクセスできます。
管理特権の構成は、スーパーユーザーが smsconfig -g を使用して自由に変更できます。このとき SMS を停止または再起動する必要はありません。
SMS は、smsconfig コマンドの- a および- r オプションを使用して、SMS のグループへのディレクトリアクセスを設定する Solaris アクセス制御リスト (ACL) ソフトウェアを実装しています。ACL はプラットフォームおよびドメインのディレクトリへのアクセスを制限して、ファイルシステムのセキュリティーを提供します。ACL の詳細については、『Solaris のシステム管理 (セキュリティサービス)』を参照してください。
プラットフォーム管理者グループ
プラットフォーム管理者 (platadmn) グループとして特定されるグループでは、構成の制御、環境の状態を取得する手段、ドメインにボードを割り当てる機能、電源の制御、およびその他の保守プロセッサ機能が提供されます。つまり、プラットフォーム管理者グループは、ドメインの制御およびインストールと保守に関係する各コマンドへのアクセス以外のすべてのプラットフォーム特権を持ちます (図 3-1)。
プラットフォーム管理者グループの特権の概要図。
図 3-1 プラットフォーム管理者の特権
プラットフォームオペレータグループ
プラットフォームオペレータ (platoper) グループは、プラットフォーム特権のサブセットを持ちます。このグループが行えるプラットフォーム制御は、電源の制御だけです。このため、プラットフォームオペレータグループはプラットフォームの電源と状態の特権に制限されます (図 3-2)。
図 3-2 プラットフォームオペレータの特権
プラットフォーム保守グループ
プラットフォーム保守 (platsvc) グループは、プラットフォーム保守コマンドの特権に加えて、プラットフォーム制御およびプラットフォーム構成状態の特権の一部も持ちます (図 3-2)。
図 3-3 プラットフォーム保守の特権
ドメイン管理者グループ
ドメイン管理者 (dmn[domain_id]admn) グループでは、ドメインのコンソールを使用できる権限以外にも、ドメインに直接または間接に影響する操作を実行する権限が提供されます。このため、ドメイン管理グループはドメイン制御、ドメイン状態、およびコンソールを使用できますが、プラットフォーム全体の制御やプラットフォームの資源割り当てはできません (図 3-4)。
Sun Fire ドメインは 18 個まで (A-R) 作成でき、各ドメインは domain_id により識別されます。このため、ドメイン管理者のグループは 18 個あり、それぞれがドメインへのアクセスを厳密に制御します。
図 3-4 ドメイン管理者の特権
ドメイン構成グループ
ドメイン構成 (dmn[domain_id]rcfg) グループは、ドメイン管理者グループの特権のサブセットを持ちます。ドメイン構成グループでは、ドメインにあるボードの電源制御、あるいはドメインで装着または取り外すボードの (再) 構成以外のドメイン制御はできません (図 3-5)。
Sun Fire ドメインは 18 個まで作成でき、domain_id で識別されます。このため、ドメイン構成グループは 18 個あり、それぞれがドメインへのアクセスを厳密に制御できます。
ドメイン構成者グループの特権の概要図。
図 3-5 ドメイン構成者の特権
スーパーユーザーの特権
スーパーユーザーの特権は、インストール、ヘルプ、および状態の特権に制限されます (図 3-6)。
図 3-6 スーパーユーザーの特権
すべての特権のリスト
表 3-1 に、すべてのグループ特権を示します。
表 3-1 すべてのグループ特権のリスト
|
コマンド
|
グループの特権
|
|
プラットフォーム管理者
|
プラットフォームオペレータ
|
ドメイン管理者
|
ドメイン構成者
|
プラットフォーム保守担当
|
スーパーユーザー
|
|
addboard
|
プラットフォーム管理者の特権だけを持つユーザーは、-c assign だけを実行できます。
|
不可
|
ドメイン X の管理者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
ドメイン X の構成者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
不可
|
不可
|
|
addcodlicense
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
addtag
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
cancelcmdsync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
console
|
不可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
deleteboard
|
プラットフォーム管理者の特権だけを持つユーザーは、ボード (複数の場合あり) が assign の状態で、実行中のドメインでアクティブでない場合にだけ -c unassign を実行できます。
|
不可
|
ドメイン X の管理者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
ドメイン X の構成者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
不可
|
不可
|
|
deletecodlicense
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
deletetag
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
disablecomponent
|
可 (プラットフォームのみ)
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
enablecomponent
|
可 (プラットフォームのみ)
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
flashupdate
|
可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
help
|
可
|
可
|
可
|
可
|
可
|
可
|
|
initcmdsync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
moveboard
|
プラットフォーム管理者の特権だけを持つユーザーは、ボードが assign の状態であり、ボードが取り外されるドメインでアクティブでない場合にだけ-c unassign を実行できます。
|
不可
|
ユーザーは、関係するドメインの両方に属している必要です。ドメインに取り付けるボードがまだドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
ユーザーは、関係するドメインの両方に属している必要です。ドメインに取り付けるボードがまだドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
不可
|
不可
|
|
poweron
|
可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
poweroff
|
可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
rcfgadm
|
プラットフォーム管理者の特権だけを持つユーザーは、-x assign を実行できます。このユーザーは、ボードが assign の状態で、実行中のドメインでアクティブでない場合にだけ -x unassign を実行できます。
|
不可
|
ドメイン X の管理者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
ドメイン X の構成者特権だけを持つユーザーは、各自のドメインでこのコマンドを実行できます。ボードがドメインに割り当てられていない場合、そのボードはドメインの使用可能構成要素リストになければなりません。
|
不可
|
不可
|
|
reset
|
不可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
resetsc
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
runcmdsync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
savecmdsync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
setbus
|
可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
setcsn
|
可
|
不可
|
不可
|
不可
|
可
|
不可
|
|
setdatasync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
setdate
|
可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
setdefaults
|
可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
setfailover
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
setkeyswitch
|
不可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
setobpparams
|
不可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
setupplatform
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
showboards
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showbus
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showcmdsync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
showcodlicense
|
可
|
可
|
不可
|
不可
|
不可
|
不可
|
|
showcodusage
|
可
|
可
|
不可
|
不可
|
不可
|
不可
|
|
showcomponent
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showdatasync
|
可
|
可
|
可
|
可
|
可
|
不可
|
|
showdate
|
可 (プラットフォームのみ)
|
可 (プラットフォームのみ)
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可 (プラットフォームのみ)
|
不可
|
|
showdevices
|
不可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
showenvironment
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showfailover
|
可
|
可
|
不可
|
不可
|
可
|
不可
|
|
showkeyswitch
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showlogs
|
可 (プラットフォームのみ)
|
可 (プラットフォームのみ)
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可 (プラットフォームのみ)
|
不可
|
|
showobpparams
|
不可
|
不可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
不可
|
不可
|
|
showplatform
|
可
|
可
|
可 (自分のドメインだけ)
|
可 (自分のドメインだけ)
|
可
|
不可
|
|
showxirstate
|
不可
|
不可
|
可 (自分のドメインだけ)
|
不可
|
不可
|
不可
|
|
smsbackup
|
不可
|
不可
|
不可
|
不可
|
不可
|
可
|
|
smsconfig
|
不可
|
不可
|
不可
|
不可
|
不可
|
可
|
|
smsconnectsc
|
可
|
不可
|
不可
|
不可
|
不可
|
不可
|
|
smsrestore
|
不可
|
不可
|
不可
|
不可
|
不可
|
可
|
|
smsversion
|
不可
|
不可
|
不可
|
不可
|
不可
|
可
|
|
testemail
|
可
|
不可
|
不可
|
不可
|
可
|
不可
|
| System Management Services (SMS) 1.5 管理者マニュアル
| 819-3296-10
|
|
Copyright© 2005, Sun Microsystems, Inc. All rights reserved.