test

Trusted Solaris 管理の概要

第 4 章 ユーザーの管理

この章では、ユーザーアカウントや役割アカウントの管理に使用する Trusted Solaris のツール「ユーザーマネージャ」を紹介し、ユーザーの設定と管理の方法について説明します。この章は 2 部構成になっており、前半では、ユーザーマネージャの使用方法とユーザーリストの表示方法について説明し、後半では、ユーザーデータの入力方法について説明します。

ユーザーリストの読み込みと表示

ユーザーマネージャは、tsoluser データベース内のユーザーアカウントや役割アカウントの情報を表示、編集するためのグラフィカルインタフェースです。次の図は、ユーザーマネージャで管理できる情報を示しています。この項では、特に記述がない限り、ユーザーと役割の両方を「ユーザー」と呼びます。

図 4-1 ユーザー情報の管理方法

Graphic

ユーザーマネージャの起動

ユーザーマネージャを起動するには、フロントパネルの CDE アプリケーションマネージャのアイコンをクリックします。「ユーザーマネージャ (User Manager)」アイコンには、アプリケーションマネージャの「Solstice アプリケーション (Solstice_Apps)」フォルダからアクセスできます (次の図を参照)。「ユーザーマネージャ (User Manager)」アイコンをクリックすると、ユーザーマネージャの「読み込み (Load)」ダイアログボックスが空白の状態 (ユーザー情報が何も表示されていない状態) でユーザーマネージャのメインウィンドウに表示されます。「読み込み (Load)」ダイアログボックスでは、一連のユーザーを指定し、表示することができます。

図 4-2 ユーザーマネージャの起動

Graphic

ユーザーマネージャのメインウィンドウ

ユーザーマネージャのメインウィンドウには、ユーザー名、役割名、対応するユーザー ID、コメントが表示されます。この画面からユーザーの表示方法を変更したり、アカウントデータを表示、編集するためのツールを起動することができます。

図 4-3 ユーザーマネージャのメインウィンドウとメニュー

Graphic

「ファイル (File)」メニューからは、ユーザーリストの読み込み、ユーザーマネージャなどの一般的な機能を実行できます。「編集 (Edit)」メニューからは、ユーザーデータを編集 (初回は入力) するためのダイアログボックスを表示できます。「表示 (View)」メニューからは、リスト内のユーザーを検索したり、ユーザー名、ユーザー ID、コメントをキーワードにしてリストをソートしたり、新規ユーザーや削除、変更されたユーザーを反映させるためにリストを作成しなおすことができます。

ユーザーデータの変更

ユーザーデータを変更するには、ユーザーマネージャの「編集 (Edit)」メニューを使用します (次の図を参照)。Trusted Solaris には、ユーザーデータの編集用ダイアログボックスのファミリが用意されており、「編集 (Edit)」メニューのどの項目を選択しても、「ナビゲータ (Navigator)」ダイアログボックスが表示されるようになっています。「ナビゲータ (Navigator)」ダイアログボックスから、さまざまなカテゴリのユーザー情報にアクセスすることができます。

図 4-4 ユーザーマネージャの「編集 (Edit)」メニュー

Graphic

変更するデータタイプの選択

ユーザーマネージャの「ナビゲータ (Navigator)」ダイアログボックスは、「編集 (Edit)」メニューでどの項目を選択しても最初に表示されます (次の図を参照)。このダイアログボックスから、種類の異なるユーザーデータを表示するダイアログボックスを開くことができます。

図 4-5 ユーザーマネージャの「ナビゲータ (Navigator)」ダイアログボックス

Graphic

注 -

この図では、すべてのナビゲーションボタンが使用可能になっていますが (「監査 (Audit)」ボタンは、このリリースではまだサポートされていないため除きます)、通常は、1 つの役割が、すべての作業の実行を承認されることはありません。セキュリティ上、ユーザーを設定する業務は、デフォルトでセキュリティ管理者とシステム管理者に分担されています。セキュリティ管理者はユーザーアカウントのセキュリティ部分を、システム管理者は一般的な部分を設定します。このようにして、ユーザー個人が自分自身の設定を変更し、システムのセキュリティを侵すことを防ぎます。あまり厳重なセキュリティポリシーを設置しないサイトでは、1 つの役割がユーザー設定を担当することもできます。これについては、『Trusted Solaris 管理の手順』の「2 つの役割による分割管理を取らない場合」を参照してください。

データエントリナビゲーション領域のボタンをクリックすると、それぞれに対応するダイアログボックスが表示されます。各ボタンの機能は次のとおりです。

デフォルトの役割構成では、システム管理者は「識別情報 (Identity)」ダイアログボックスと「ホーム (Home)」ダイアログボックスだけに、セキュリティ管理者は「パスワード (Password)」、「監査 (Audit)」、「ラベル (Labels)」、「プロファイル (Profiles)」、「役割 (Roles)」、「アイドル (Idle)」の各ダイアログボックスだけにアクセスできるようになっています (次の図を参照)。

図 4-6 セキュリティ管理者とシステム管理者が使用するユーザーマネージャの機能

Graphic

各ダイアログボックスのデータは、現在のアカウントレコードとして登録されます。レコード (または一部のレコード) を実際に保存するには、「完了 (Done)」または「保存 (Save)」ボタンを使用します。「完了 (Done)」または「保存 (Save)」ボタンを使用する際にパスワード情報が何も保存されていない場合は、アカウントはロック状態になります。

アカウント識別情報の編集

「識別情報 (Identity)」ダイアログボックス (次の図を参照) では、次の項目を指定できます。

図 4-7 ユーザーマネージャの「識別情報 (Identity)」ダイアログボックス

Graphic

ユーザー ID とグループ ID

「識別情報 (Identity)」ダイアログボックスでは、ユーザー名 (ログイン名)、ユーザー ID、1 次グループ、2 次グループを編集できます。これらの項目は、ユーザーに代わって動作するすべてのプロセスと、ユーザーが作成するすべてのファイルやディレクトリに対応付けられます。この識別情報は、任意アクセス制御 (DAC) でも使用され、このユーザーが他のユーザーによって作成されたファイルやディレクトリにアクセス可能かどうかが判定されます。識別・認証プロセスの一環として、ログイン時にユーザー名の入力が要求されます。UID は、監査の際、ユーザーの識別に使用されます。

新規のローカルユーザーまたはネットワークユーザーを設定する際は、一意のユーザー名と一意の UID を選択しなくてはなりません。このため、新規ユーザーを設定する前に、ネットワーク上の現在のユーザーと削除したユーザーのすべてのユーザー名、UID をチェックします (監査上の理由から、削除されたユーザーのユーザー名や UID を再利用することはできません)。

注意 - 注意 -

既存の役割アカウントと同じユーザー名、同じ UID のユーザーを設定することはできません。そのユーザーはログインできなくなります。

ユーザーに関するコメント

「識別情報 (Identity)」ダイアログボックスでは、ユーザーについてのコメントを入力できます。コメントには、ユーザーの本名、役職、電話番号、あるいは非公式の組織名や愛称などを入力します。コメントは、ユーザーマネージャのメインウィンドウのユーザーリストに表示されるので、リストをソートする際にキーワードとして使用できます。また、電子メールの送信時には「From :」の行に表示され、ユーザーを引数として finger コマンドを実行する際にも表示されます。

ログインシェル

「ログインシェル (Login Shell)」メニューからは、ユーザーのログインシェルの種類として、「プロファイル (Profile)」、「Bourne」、「Korn」、「C」、「その他 (Other)」のいずれかを指定できます。「プロファイルシェル」は特殊な Bourne シェルで、ユーザーや役割に、そのプロファイルに指定されているコマンドへのアクセス権と特権を与えます。詳細は、「実行プロファイル」を参照してください。プロファイルシェルを使用すると、ユーザーを「有効」にし、一般ユーザーが使用できないコマンドへのアクセス権と特権を与えることができます。また、ユーザーを「制約」して、特定のコマンドセットにしかアクセスできないようにすることもできます。プロファイルシェルは、特権が定義されたプロファイルを使用して、ユーザーの役割アカウントを設定する場合に必要となります。その他のシェルは、ユーザーに、システム上のすべてのコマンドの実行を許可しますが、特権は与えません。

アカウントの種類

「ユーザータイプ (User Type)」メニューからは、作成するアカウントの種類として、一般ユーザー、管理役割、または非管理役割を指定できます。新しい役割を作成する主な理由は、特別なアクション、コマンド、特権や承認を必要とし、通常のユーザーと区別する必要があるジョブの担当を明確に定義することにあります。詳細は、「役割」を参照してください。

一般に、管理上のニーズは、Trusted Solaris に最初から定義されている管理役割 (セキュリティ管理者、システム管理者、システムオペレータ、スーパーユーザー) によって満たされるべきですが、必要であれば、これらの役割の定義を変更することもできます。ただし、事前に定義されている役割を 1 つの役割にまとめたり、逆に細かな業務のセットを定義したりして、別の方法で管理業務をグループ化しなければならない場合は、新たに管理役割を作成する必要があります。管理役割は、sysadmin グループ 14 に割り当てられ、NIS+ 主体の特権と、最も管理的なアプリケーションの実行に要求されるトラステッドパス属性を所持します。なお、新しい役割のグループと NIS+ ステータスは、必要に応じて変更できます。

ディレクトリやファイルの所有権を共有する場合に便利な、セキュリティに影響のないジョブの担当を設定したい場合は、非管理役割を作成します。非管理役割は、所有権の交代が必要な作業に最適です。

注 -

ユーザーアカウントと同様、役割アカウントには独自のメールボックスがあります。

注意 - 注意 -

既存のユーザーと同じ名前、同じUID の役割は作成できません。そのユーザーはログインできなくなります。

パスワード情報の指定

「ナビゲータ (Navigator)」ダイアログボックスの「パスワード (Password)」ボタンをクリックすると、「パスワード (Password)」ダイアログボックス (次の図を参照) が表示されます。ダイアログボックスの上部には、現在のアカウントが読み取り専用で表示されます。「パスワード (Password)」ダイアログボックスでは、次の項目を指定できます。

図 4-8 ユーザーマネージャの「パスワード (Password)」ダイアログボックス

Graphic

初期パスワードの作成

「パスワード (Password)」メニューからは、ユーザーの初期パスワードを設定できます (次の図を参照)。

図 4-9 初期パスワード作成時のオプション

Graphic

「パスワード (Password)」メニューには次のオプションがあります。

注 -

セキュリティ上、ユーザーアカウントと役割アカウントが使用するメニュー項目は、「パスワードの入力 (Type in)」と「リストから選択 (Choose from list)」だけにするのが良いでしょう。

パスワード選択ダイアログボックスには、システムがユーザー用に生成したパスワード候補が 5 つ表示されます。システムが生成したパスワードには、前の表の規則は適用されません。これらは、8 文字のアルファベットの小文字でできており、数字や特殊文字は使用されていません。各パスワードの右側には、括弧の中に発音記号が表示され、覚えやすいように音節ごとに区切られています。「生成 (Gen)」ボタンをクリックすると、新しいパスワードの選択肢が 5 つ生成されます。

注意 - 注意 -

ユーザーにパスワードを提供する際は、立ち聞きされたり盗み見られることのないよう、十分に注意してください。ユーザーのパスワードが他のユーザーに漏洩した疑いがある場合は、ただちにパスワードを変更してください。

パスワードの有効期限の設定

「パスワード (Password)」ダイアログボックスの次の 5 つのフィールドでは、パスワードの有効期限を設定します (図 4-8)。パスワードの変更オプションは、推測や盗みなどの不正な手段でパスワードを入手した侵入者による被害を抑えるためのものです。パスワードの有効期限の設定には、次のオプションがあります。

注 -

最長有効日数または有効期限が経過した後にパスワードの変更を要求する場合は、警告メッセージを有効にしておく必要があります。

ユーザーのパスワード選択方法の設定

「パスワード (Password)」ダイアログボックスの「変更方法 (Change By)」メニューからは、ユーザーのパスワードの変更方法を指定できます。「パスワードの入力 (Type in)」を選択すると、ユーザーは、新しいパスワードを手動パスワード入力ダイアログボックスに直接入力することになります。「リストから選択 (Choose from list)」を選択した場合は、ユーザーがパスワードを変更しようとすると、必ずパスワード選択ダイアログボックスが表示されます。パスワード選択ダイアログボックスには、システムが生成した選択用のパスワードが同時に 5 つ表示されます (図 4-9)。

アカウントステータスの設定

「パスワード (Password)」ダイアログボックスにあるアカウントステータスのメニューには、現在のアカウントのステータスが表示されます (図 4-8)。メニューオプションを選択すると、アカウントのステータスが切り替わります。オプションは次のとおりです。

NIS+ 資格テーブルの更新

「認証テーブルの設定 (Cred. Table Setup)」フィールドの横にあるトグルボタンをクリックすると、NIS+ 主体の公開鍵と秘密鍵が cred テーブルに追加されます。このトグルボタンは常にチェックマークをつけておいてください。詳細は、Solaris 7 の『Solaris ネーミングの管理』の第 7 章「NIS+ 資格の管理」の「資格関連情報の格納場所」を参照してください。

ホームディレクトリ情報の指定

ナビゲータダイアログボックスの「ホーム (Home)」ボタンをクリックすると、ホームディレクトリ作成用ダイアログボックスが表示されます (次の図を参照)。このダイアログボックスでは、ユーザーマネージャを使用してユーザーのホームディレクトリを作成できます。

図 4-10 ユーザーマネージャの「ホーム (Home)」ダイアログボックス

Graphic

「ホームディレクトリの作成 (Create Home Dir)」のトグルボタンをクリックすると、指定したサーバーと指定したスケルトンディレクトリ内のテンプレートを使用して、ユーザーのホームディレクトリが、「パス (Path)」フィールドの指定どおりに作成されます。ホームディレクトリのアクセス権のトグルボタンでは、ホームディレクトリの所有者、グループ、ワールドに対する読み取り権、書き込み権、実行権を指定できます。

注 -

ユーザーのホームディレクトリに使用するサーバーは、ユーザーアカウントを作成する前に構成しておく必要があります。

「メールサーバー (Mail Server)」フィールドには、ユーザーのメールサーバーを指定します。

「AutoHome の設定 (AutoHome Setup)」トグルボタンをクリックすると、自動マウント用のホームディレクトリが設定されます。

ユーザーのラベルの指定

ナビゲータダイアログボックスの「ラベル (Labels)」ボタンをクリックすると、「ラベル (Labels)」ダイアログボックスが表示されます (次の図を参照)。「ラベル (Labels)」ダイアログボックスでは、ユーザーのアカウント SL 範囲を指定したり、ユーザーのセッションでのラベルの表示方法、表示または非表示の切り替えを指定できます。

図 4-11 ユーザーマネージャの「ラベル (Labels)」ダイアログボックス

Graphic

ユーザーのアカウント SL 範囲の設定

「アカウント SL 範囲」とは、ユーザーが作業を行える機密ラベルの範囲のことです。範囲の上限はユーザーの認可上限によって定義され、下限はユーザーの最下位機密ラベルによって定義されます。

「認可上限 (Clearance)」ボタンをクリックすると認可上限ビルダーのダイアログボックスが表示されるので、ここにユーザーの認可上限を入力します。認可上限ビルダーのダイアログボックスでは、ユーザーの認可上限の要素である、格付けとコンパートメントを選択できます。認可上限ビルダーのダイアログボックスを閉じると、選択した認可上限が「ラベル (Labels)」ダイアログボックスの「認可上限 (Clearance)」フィールドに表示されます。

「最下位 (Minimum)」ボタンをクリックするとラベルビルダーダイアログボックスが表示されるので、ここにユーザーの最下位機密ラベルを入力します。「最下位ラベル」とは、ユーザーのアカウント SL 範囲の最下位の機密ラベルのことです。これは、ユーザーが Trusted Solaris セッションを開始してワークスペースを配置する際のデフォルトの機密ラベルになります。認可上限の設定と同様に、ラベルビルダーダイアログボックスで、最下位機密ラベルを定義する格付けとコンパートメント要素を選択します。ラベルビルダーダイアログボックスを閉じると、「ラベル (Labels)」ダイアログボックスの「最下位 (Minimum)」フィールドに、選択した最下位機密ラベルが表示されます。

注 -

認可上限ビルダーのダイアログボックスでもラベルビルダーダイアログボックスでも、選択できる値はユーザーのアカウント範囲内に限られます。詳細は、第 1 章「管理入門」の 「アカウントラベル範囲」の項を参照してください。灰色表示になっている格付けがある場合は、その格付けに対するコンパートメントが制約されている可能性があります。このような場合は、コンパートメントの選択を解除してみてください。

ラベル表示

「ラベル (Labels)」ダイアログボックスの下半分には、ユーザーセッションでの機密ラベルと情報ラベルの表示方法を指定します。ラベルを表示するように設定すると、画面下部のトラステッドパスインジケータ、ウィンドウフレームの上部、ウィンドウアイコンのタイトルバーに、ラベルが表示されます。機密ラベルは角括弧 ([ ]) の中に表示され、情報ラベルと区別されます。ユーザーが複数のレベルでの作業を許可されている場合は、機密ラベルを表示する必要があります。一方、シングルラベルセッションで作業するユーザーの場合、機密ラベルを表示する必要はありません。

「表示 (View)」メニューには次のオプションがあります。

注 -

「表示 (View)」メニューのオプションは、機密ラベルと情報ラベルを表示する場合に限り、選択できます。次の説明を参照してください。

「機密ラベル (SL)」メニューからは機密ラベルの表示または非表示の指定を、「情報ラベル (IL)」メニューからは情報ラベルの表示または非表示の指定が可能です。

ユーザーに実行プロファイルを指定する

ナビゲータダイアログボックスの「プロファイル (Profiles)」ボタンをクリックすると、「プロファイル (Profiles)」ダイアログボックスが表示されます (次の図を参照)。

図 4-12 ユーザーマネージャの「プロファイル (Profiles)」ダイアログボックス

Graphic

「プロファイル (Profiles)」ダイアログボックスでは、ユーザーや役割に実行プロファイルを割り当てることができます。実行プロファイルは、CDE アクション、コマンド、承認のためのツールの集合です (「プロファイルマネージャの使用法」を参照)。自分に割り当てられたプロファイルにないコマンドは、プロファイルシェルで使用できません。

セキュリティ関連のアプリケーションが定義されている実行プロファイルは、役割だけに割り当てられ、直接ユーザーに割り当てられることはありません。ユーザーに直接割り当てられるのは、セキュリティに関係のないアプリケーションの入った実行プロファイルです。

ダイアログボックスの左側のリストには、まだユーザーに割り当てられていない選択可能な実行プロファイルが表示されます。Trusted Solaris には、あらかじめ多数の実行プロファイルが用意されていますが (「Trusted Solaris で使用するプロファイル」を参照)、独自に新しいプロファイルを作成することもできます。これについては、「プロファイルマネージャの使用法」を参照してください。ダイアログボックスの右側のリストには、このユーザーに割り当てられた実行プロファイルが入ります。実行プロファイルの 1 つをクリックして選択すると、そのプロファイルに関する記述がある場合、それがダイアログボックス下部の記述領域に表示されます。記述として表示される情報には、次のものがあります。

右向き、または左向きの移動ボタンをクリックすると、左右のリストにプロファイルが移動します。

上下の移動ボタンは、現在強調表示されているプロファイルを、「選択 (Selected)」リストの中で上下に移動したいときに使用します。Trusted Solaris では、PATH 変数の場合と同様、プロファイル内のコマンドがこのリストの順番に従って検索されるため、プロファイルの順番が重要です。したがって、複数のプロファイルに定義されているコマンドを実行する場合、このコマンドは、複数のプロファイルのうち、プロファイルリストの一番上にあるプロファイルのコマンドとして実行されます。このような重複コマンドの使用には注意が必要です。

注 -

重複コマンドには便利な使い方もあります。たとえば、あるコマンドの特権を変更したいという場合は、そのコマンドに新しい特権を割り当てて別のプロファイルを作成し、コマンドが今まで定義されていたプロファイルの上に挿入します。

ユーザーに役割を指定する

「ナビゲータ (Navigator)」ダイアログボックスの「役割 (Roles)」ボタンをクリックすると、「役割 (Roles)」ダイアログボックスが表示されます (次の図を参照)。

図 4-13 ユーザーマネージャの「役割 (Roles)」ダイアログボックス

Graphic

ここで重要なのは、役割はユーザーにしか指定できないということです。つまりある役割を別の役割に指定することはできません。「役割 (Roles)」ダイアログボックスは、ユーザーにアイテムを割り当てるという点で「プロファイル (Profiles)」ダイアログボックスと操作が似ています。ダイアログボックスの左側のリストには、まだユーザーに割り当てられていない選択可能な役割が表示されています。この中の役割を右側のリストに移動すると、ユーザーに役割が割り当てられます。役割をクリックして選択すると、その役割に関する記述があれば、ダイアログボックス下部の記述領域に表示されます。記述領域には、選択した役割の名前と、その役割に割り当てられている実行プロファイルが表示されます。

役割の詳細については、「役割」を参照してください。

ユーザーのアイドル時間とアクションの指定

「ナビゲータ (Navigator)」ダイアログボックスの「アイドル (Idle)」ボタンをクリックすると、「アイドル (Idle)」ダイアログボックスが表示されます (次の図を参照)。「アイドル (Idle)」ダイアログボックスでは、設定した時間内にユーザーがワークステーションで何の操作も行わなかった場合の処置を指定します。

図 4-14 ユーザーマネージャの「アイドル (Idle)」ダイアログボックスと「アイドル時間 (Idle Time)」メニュー

Graphic

「アイドル (Idle)」ダイアログボックスの「アイドル時間 (Idle Time)」メニューからは、ユーザーが無操作のままワークステーションを放置した場合に、画面ロックまたはログアウトアクションが実行されるまでの時間を、1、2、3、4、5、10、15、30、60、120 分の中から指定できます。「制限なし (Forever)」を選択すると、事実上この機能は無効になり、セッションを無期限に続けることができます。

「アイドルアクション (Idle Action)」フィールドには、次の 2 つのオプションがあります。

注意 - 注意 -

ログアウトを強制すると、ユーザーのセッションで実行されていたプロセスが強制的に中断されるため、異常終了する場合があります。

ユーザーとグループの削除

ユーザーマネージャのメインウィンドウで「編集 (Edit)」メニューを選択すると、システムからユーザーを削除できます。リストから削除するユーザー名を選択した後、「削除 (Delete)」をクリックしてください。システムからユーザーを削除する際は、そのユーザーが所有するホームディレクトリやオブジェクトも削除されているかどうかあらかじめ確認する必要があります。ユーザーが所有するオブジェクトを削除しないで、システム上の別のユーザーに所有権を変更することもできます。このほか、削除するユーザーに関連するすべてのバッチジョブが削除されており、システム上にそのユーザーに属するオブジェクトやプロセスが何も残っていないことも確認してください。監査上の理由から、削除したユーザーの名前と UID は再利用できません。