Solaris のシステム管理 (セキュリティサービス)

第 10 章役割によるアクセス制御 (参照)

この章は、RBAC に関する参照資料です。この章の内容は次のとおりです。

RBAC の使用方法については、第 9 章役割によるアクセス制御の使用 (手順)を参照してください。概要については、「役割によるアクセス制御 (概要)」を参照してください。

権利プロファイルの内容

この節では、いくつかの標準的な権利プロファイルについて説明します。権利プロファイルには、承認、セキュリティー属性を指定したコマンド、および補助権利プロファイルを含めることができます。権利プロファイルは、最も権限のあるものから最も権限のないものへとリストされます。権利プロファイルをサイトの役割に配布する際の方法については、「RBAC の実装を計画する方法」を参照してください。

「Primary Administrator」権利プロファイル – 1 つのプロファイルでのスーパーユーザーの機能を提供します。
「System Administrator」権利プロファイル – セキュリティーに関係しないほとんどのタスクを実行できるプロファイルを提供します。このプロファイルには、権限のある役割を作成するためにいくつかのほかのプロファイルが含まれます。
「Operator」権利プロファイル – ファイルおよびオフラインメディアを管理するための制限された機能を提供します。このプロファイルには、単純な役割を作成するための補助権利プロファイルが含まれます。
「Printer Management」権利プロファイル – 印刷を処理するための限られた数のコマンドと承認を提供します。このプロファイルは、単一の管理領域を対象とする複数のプロファイルのうちの 1 つです。
「Basic Solaris User」権利プロファイル – セキュリティーポリシーの範囲内でユーザーがシステムを使用できるようにします。このプロファイルは、デフォルトで policy.conf ファイル内にリストされます。
「All」権利プロファイル – 役割に対して、セキュリティー属性を指定していないコマンドへのアクセスを提供します。

それぞれの権利プロファイルには、関連するヘルプファイルが用意されています。ヘルプファイルは、HTML 形式で、カスタマイズが可能です。ヘルプファイルは、/usr/lib/help/profiles/locale/C ディレクトリにあります。

Primary Administrator 権利プロファイル

Primary Administrator 権利プロファイルには、システム上で最も強力な役割が割り当てられます。Primary Administrator 権利プロファイルを含む役割は、スーパーユーザーの機能を持ちます。

solaris.* 承認は、実質的に Solaris ソフトウェアから提供されるすべての承認を割り当てます。
solaris.grant 承認は、任意の権利プロファイル、役割、またはユーザーに任意の承認を割り当てます。
*:uid=0;gid=0 のコマンド割り当ては、UID=0 および GID=0 ですべてのコマンドを実行します。

ヘルプファイル RtPriAdmin.html は、必要に応じて、使用するサイトに合わせてカスタマイズできます。ヘルプファイルは、/usr/lib/help/profiles/locale/C ディレクトリに格納されています。

Primary Administrator 権利プロファイルがサイトのセキュリティーポリシーと矛盾する場合は、このプロファイルを変更したり、割り当てないようにしたりすることもできます。ただし、Primary Administrator 権利プロファイルのセキュリティー機能は、ほかの権利プロファイルの処理に必要となります。この場合、それらのほかの権利プロファイルを役割に割り当てます。

表 10–1 Primary Administrator 権利プロファイルの内容


目的	内容
すべての管理タスクを実行する	コマンド: `:uid=0;gid=0` 承認: `solaris.`、`solaris.grant` ヘルプファイル: `RtPriAdmin.html`

System Administrator 権利プロファイル

System Administrator 権利プロファイルは、System Administrator 役割用に設計されています。System Administrator では、Primary Administrator の強力な機能を持たないため、ワイルドカードは使用できません。その代わり、このプロファイルは、セキュリティーを対象外とする、一連の個別の補助的な管理権利プロファイルです。補助権利プロファイルの 1 つからのセキュリティー属性を指定したコマンドを示します。

All 権利プロファイルは、補助権利プロファイルのリストの最後にあります。

表 10–2 System Administrator 権利プロファイルの内容


目的	内容
セキュリティーに関係しない管理タスクを実行する	補助権利プロファイル: Audit Review、Printer Management、Cron Management、Device Management、File System Management、Mail Management、Maintenance and Repair、Media Backup、Media Restore、Name Service Management、Network Management、Object Access Management、Process Management、Software Installation、Project Management、User Management、All ヘルプファイル: `RtSysAdmin.html`
補助プロファイルの 1 つからのコマンド	Object Access Management 権利プロファイル、 `solaris` ポリシー: `/usr/bin/chgrp:privs=file_chown`、`/usr/bin/chmod:privs=file_chown`、`/usr/bin/chown:privs=file_chown`、`/usr/bin/setfacl:privs=file_chown` `suser` ポリシー: `/usr/bin/chgrp:euid=0`、`/usr/bin/chmod:euid=0`、`/usr/bin/chown:euid=0`、`/usr/bin/getfacl:euid=0`、`/usr/bin/setfacl:euid=0`

Operator 権利プロファイル

Operator 権利プロファイルは、権限の弱いプロファイルで、バックアップとプリンタ管理を行います。ファイルの復元は、セキュリティーに影響します。したがって、このプロファイルでは、デフォルトではファイルの復元機能は含まれていません。

表 10–3 Operator 権利プロファイルの内容


目的	内容
単純な管理タスクを実行する	補助権利プロファイル: Printer Management、Media Backup、All ヘルプファイル: `RtOperator.html`

Printer Management 権利プロファイル

Printer Management は、特定のタスクを実行する標準権利プロファイルです。このプロファイルには、承認とコマンドが含まれます。次の表では、使用できるコマンドの一部を示します。

表 10–4 Printer Management 権利プロファイルの内容


目的	内容
プリンタ、デーモン、スプール処理を管理する	承認: `solaris.print.`、`solaris.label.print`、`solaris.admin.printer.delete`、`solaris.admin.printer.modify`、`solaris.admin.printer.read`、`solaris.smf.manage.discovery.printers.`、`solaris.smf.value.discovery.printers.` コマンド: `/usr/lib/lp/local/lpadmin:uid=lp;gid =lp`、`/usr/sbin/lpfilter:euid=lp;uid=lp`、`/usr/sbin/lpforms:euid=lp`、 `/usr/sbin/lpusers:euid=lp`、`/usr/sbin/ppdmgr:euid=0` ヘルプファイル*: `RtPrntMngmnt.html`

Basic Solaris User 権利プロファイル

デフォルトでは、Basic Solaris User 権利プロファイルは、policy.conf ファイルによってすべてのユーザーに自動的に割り当てられます。このプロファイルでは、通常の操作に使用する基本的な承認を与えます。Basic Solaris User 権利プロファイルを使用するときは、サイトのセキュリティー要件を考慮する必要があります。高いセキュリティーを必要とするサイトでは、このプロファイルを policy.conf ファイルから削除することをお勧めします。

表 10–5 Basic Solaris User 権利プロファイルの内容


目的	内容
すべてのユーザーに自動的に権限を割り当てる	承認: `solaris.profmgr.read`、`solaris.jobs.user`、`solaris.mail.mailq`、`solaris.device.mount.removable`、`solaris.admin.usermgr.read`、`solaris.admin.logsvc.read`、`solaris.admin.fsmgr.read`、`solaris.admin.serialmgr.read`、`solaris.admin.diskmgr.read`、`solaris.admin.procmgr.user`、`solaris.compsys.read`、`solaris.admin.printer.read`、`solaris.admin.prodreg.read`、`solaris.admin.dcmgr.read`、`solaris.snmp.read`、`solaris.project.read`、`solaris.admin.patchmg.read`、`solaris.network.hosts.read`、`solaris.admin.volmgr.read` 補助権利プロファイル: All ヘルプファイル: `RtDefault.html`

All 権利プロファイル

All 権利プロファイルは、すべてのコマンドを使用できるようにワイルドカードを使用したプロファイルです。この権利プロファイルは、ほかのプロファイルに明示的に割り当てられていないすべてのコマンドにアクセスできる役割です。All 権利プロファイルまたはワイルドカードを使用するその他の権利プロファイルを使用しないと、役割は明示的に割り当てられているコマンド以外にはアクセスできません。このような制限された一連のコマンドは、あまり実用的でありません。

All 権利プロファイルを使用する場合は、最後に割り当ててください。それによって、ほかの権利プロファイルで明示的に割り当てたセキュリティー属性が誤って無効にされることがないようにできます。

表 10–6 All 権利プロファイルの内容


目的	内容
ユーザーまたは役割として任意のコマンドを実行する	コマンド: * ヘルプファイル: `RtAll.html`

権利プロファイルの順序

権利プロファイルのコマンドは、発生順に解釈されます。最初に発生したコマンドが、役割またはユーザーに対して使用されるコマンドの唯一のバージョンです。さまざまな権利プロファイルが、同一のコマンドを含むことができます。したがって、プロファイルのリスト内の権利プロファイルの順序が重要になってきます。ほとんどの機能を持つ権利プロファイルが先頭に来るようにします。

権利プロファイルは、Solaris 管理コンソールの GUI および prof_attr ファイルでリストされます。Solaris 管理コンソールの GUI では、ほとんどの機能を持つ権利プロファイルが、割り当てられた権利プロファイルのリストの一番上のプロファイルになります。prof_attr ファイルでは、ほとんどの機能を持つ権利プロファイルが、補助プロファイルのリストの最初に来ます。この配置において、セキュリティー属性を指定したコマンドがセキュリティー属性を指定していない同一のコマンドの前にリストされます。

権利プロファイルの内容の表示

Solaris 管理コンソールの権利ツールを使用して、権利プロファイルの内容を検査することもできます。

prof_attr および exec_attr ファイルでは、より細分化されて表示されます。prof_attr ファイルには、システムで定義されたすべての権利プロファイルの名前が含まれます。このファイルには、プロファイルごとの承認および補助権利プロファイルも含まれます。exec_attr ファイルには、権利プロファイルの名前と、セキュリティー属性を指定した権利プロファイルのコマンドが含まれます。

承認の命名と委託

RBAC の「承認」は、役割またはユーザーに許可できる個別の権限です。RBAC に準拠したアプリケーションによって承認が確認されてから、ユーザーはアプリケーションまたはアプリケーションの特定の操作へのアクセス権を取得します。この承認の確認は、従来の UNIX アプリケーションが行なっていた UID=0 のテストに代わるものです。

承認の命名規則

承認には、RBAC の内部およびファイル内で使用される名前があります。たとえば solaris.admin.usermgr.pswd などの承認名があります。また、グラフィカルユーザーインタフェース (GUI) に表示される短い説明もあります。たとえば、Change Passwords は、solaris.admin.usermgr.pswd 承認の説明です。

承認名の書式は、インターネット名と逆の順序になり、サプライヤ、被認証者領域、任意の下位領域、および承認の機能で構成されます。承認名の区切り文字はドット (.) です。たとえば、com.xyzcorp.device.access のように指定します。ただし、Sun から許可される承認では、インターネット名の代わりに接頭辞 solaris が使用されます。システム管理者は、承認を階層方式で適用することができます。ワイルドカード (*) は、ドットの右側の任意の文字列を表すことができます。

承認レベルの違いの例

ここでは、承認の使用方法の例を示します。 Operator 役割のユーザーは、多くの場合、solaris.admin.usermgr.read 承認に制限されます。この承認では、ユーザーの構成ファイルに対する読み取り権は許可されますが、書き込み権は許可されません。System Administrator 役割では、solaris.admin.usermgr.read 承認と、ユーザーのファイルを変更できる solaris.admin.usermgr.write 承認が許可されます。ただし、System Administrator には、solaris.admin.usermgr.pswd 承認が許可されないため、パスワードは変更できません。Primary Administrator では、これらの 3 つの承認がすべて許可されます。

Solaris 管理コンソールのユーザーツールのパスワードを変更するには、solaris.admin.usermgr.pswd 承認が必要です。この承認は、smuser、smmultiuser、および smrole コマンドのパスワード変更オプションを使用するときにも必要になります。

承認での委託権限

接尾辞が grant の承認が許可されたユーザーまたは役割は、割り当てられている承認のうち同じ接頭辞を持つ任意の承認を、ほかのユーザーに委託することができます。

たとえば、solaris.admin.usermgr.grant 承認と solaris.admin.usermgr.read 承認を持つ役割は、solaris.admin.usermgr.read 承認をほかのユーザーに委託できます。solaris.admin.usermgr.grant 承認と solaris.admin.usermgr.* 承認を持つ役割は、solaris.admin.usermgr 接頭辞を持つ任意の承認をほかのユーザーに委託できます。

RBAC をサポートするデータベース

次の 4 つのデータベースには、RBAC 要素のデータが格納されます。

拡張ユーザー属性のデータベース (user_attr) – ユーザーと役割を承認と権利に関連付けます
権利プロファイル属性のデータベース (prof_attr) – 権利プロファイルを定義し、その権利プロファイルに割り当てられた承認を指定し、関連するヘルプファイルを指定します
承認属性のデータベース (auth_attr) – 承認とその属性を定義し、関連するヘルプファイルを指定します
実行属性のデータベース (exec_attr) – 特定の権利プロファイルに割り当てられたセキュリティー属性を持つコマンドを指定します

policy.conf データベースには、すべてのユーザーに適用される承認、特権、および権利プロファイルが含まれます。詳細については、「policy.conf ファイル」を参照してください。

RBAC データベースの関係

各 RBAC データベースには、key= value という構文を使用して、値を格納します。この方式は、将来のデータベースの拡張に対応します。また、ポリシーが認識できないキーワードが検出された場合にも対応できます。key=value の内容によって、ファイルがリンクされます。4 つのデータベースの互いにリンクした次のエントリは、RBAC データベースの相互関係を示しています。

例 10–1 RBAC データベースの接続を示す

次の例で、ユーザー jdoe は、役割 filemgr を割り当てられることにより、File System Management プロファイルの機能を取得します。

ユーザー jdoe には、user_attr データベースの jdoe ユーザーエントリの役割 filemgr が割り当てられます。
# user_attr - user definition jdoe::::type=normal;roles=filemgr
役割 filemgr には、user_attr データベースの役割のエントリの権利プロファイル File System Management が割り当てられます。
# user_attr - role definition filemgr::::profiles=File System Management;type=role
ユーザーと役割は、ローカルシステムの passwd ファイルおよび shadow ファイル、または分散ネームサービスの同等のデータベースに一意に定義されます。

File System Management 権利プロファイルは prof_attr データベースに定義されています。また、このデータベースは File System Management エントリに 3 つの承認のセットを割り当てます。

# prof_attr - rights profile definitions and assigned authorizations
File System Management:::Manage, mount, share file systems:
help=RtFileSysMngmnt.html;
auths=solaris.admin.fsmgr.*,solaris.admin.diskmgr.*,solaris.admin.volmgr.*

これらの承認は、auth_attr データベースに定義されています。

# auth_attr - authorization definitions
solaris.admin.fsmgr.:::Mounts and Shares::help=AuthFsmgrHeader.html
solaris.admin.fsmgr.read:::View Mounts and Shares::help=AuthFsmgrRead.html
solaris.admin.fsmgr.write:::Mount and Share Files::help=AuthFsmgrWrite.html

File System Management 権利プロファイルには、exec_attr データベースでセキュリティー属性を指定したコマンドが割り当てられます。

# exec_attr - rights profile names with secured commands
File System Management:suser:cmd:::/usr/sbin/mount:uid=0
File System Management:suser:cmd:::/usr/sbin/dfshares:euid=0
…
File System Management:solaris:cmd:::/usr/sbin/mount:privs=sys_mount
…

RBAC データベースとネームサービス

RBAC データベースのネームサービスの適用範囲は、ローカルホストにのみ適用することができます。また、適用範囲には、 NIS、NIS+、LDAP などのネームサービスによってサービスが提供されるすべてのホストが含まれます。どのネームサービスが優先されるかは、/etc/nsswitch.conf ファイルでデータベースごとに設定されます。

auth_attr エントリ – auth_attr データベースにネームサービスの優先順位が設定されます。
passwd エントリ – user_attr データベースにネームサービスの優先順位が設定されます。
prof_attr エントリ – prof_attr データベースにネームサービスの優先順位が設定されます。また、exec_attr データベースにもネームサービスの優先順位が設定されます。

たとえば、セキュリティー属性を指定したコマンドを特定の権利プロファイルに割り当てた場合に、そのプロファイルが 2 つのネームサービスの適用範囲に存在するときは、最初のネームサービスの適用範囲のエントリだけが使用されます。

`user_attr` データベース

user_attr データベースには、ユーザーと役割の情報が格納されます。これらの情報は、passwd および shadow データベースによって利用されます。user_attr データベースには、承認、権利プロファイル、割り当てられた役割など、さまざまなユーザー属性が格納されます。user_attr データベースの各フィールドは次のようにコロンで区切ります。

user:qualifier:res1:res2:attr

フィールドの意味は次のとおりです。

user

passwd データベースに指定されているユーザー名または役割名。

qualifier:res1:res2

これらのフィールドは、将来的な使用のために予約されています。

attr

セミコロン (;) で区切られた、鍵と値のペアからなるリスト (省略可能)。ユーザーがコマンドを実行したときに適用されるセキュリティー属性を表します。有効な鍵は、type、auths、profiles、roles の 4 つです。

type キーワードには、アカウントが通常ユーザーの場合は normal を設定します。役割の場合 type は role になります。
auths キーワードには、auth_attr データベースの定義名から選択した承認名をコンマで区切って指定します。承認名には、ワイルドカードとしてアスタリスク (*) を使用できます。たとえば、solaris.device.* はすべての Solaris デバイスの承認を意味します。
profiles キーワードには、prof_attr データベースに定義されている権利プロファイル名をコンマで区切って指定します。権利プロファイルの順序は、UNIX 検索パスと同様に動作します。実行するコマンドにどのセキュリティー属性が適用されるかは、そのコマンドが含まれているリストの最初のプロファイルによって決まります (属性を使用する場合)。
roles キーワードには、ユーザーに割り当てる役割名をコンマで区切って指定します。役割も同じ user_attr データベースに定義されます。役割の場合は、type 値に role が設定されます。役割を他の役割に割り当てることはできません。

次の例では、Operator 役割を標準的な user_attr データベースに定義する方法を示しています。また、Operator 役割をユーザー jdoe に割り当てる方法も示しています。役割とユーザーは、type キーワードによって識別されます。

% grep operator /etc/user_attr 
jdoe::::type=normal;roles=operator
operator::::profiles=Operator;type=role

`auth_attr` データベース

承認はすべて auth_attr データベースに格納されます。承認は、ユーザー、役割、権利プロファイルに割り当てることができます。承認を権利プロファイルに配置し、権利プロファイルを役割のプロファイルリストに含めたあと、その役割をユーザーに割り当てることをお勧めします。

auth_attr データベースのフィールドは次のようにコロンで区切ります。

authname:res1:res2:short_desc:long_desc:attr

フィールドの意味は次のとおりです。

authname

承認を識別する一意の文字列。書式は prefix.[suffix]。Solaris OS では、承認の接頭辞として solaris を使用します。ほかのすべての承認には、承認を作成する組織のインターネットドメインを逆にしたもので始まる接頭辞を使用します (たとえば、com.xyzcompany)。接尾辞は、一般には機能領域と操作、およびどのように承認されるかを示します。

authname が接頭辞と機能領域で構成され、ピリオドで終わるときは、GUI 内でアプリケーションによって使用されるヘッダーとして機能します。2 つの部分からなる authname は実際の承認ではありません。たとえば、authname は solaris.printmgr. ではヘッダーです。

authname が「grant」で終わるときは、認可承認として機能します。認可承認を持つユーザーは、同じ接頭辞と機能領域で構成される承認をほかのユーザーに委託できます。たとえば、solaris.printmgr.grant が authname の場合は、認可承認として使用されます。solaris.printmgr.grant が許可されたユーザーは、solaris.printmgr.admin や solaris.printmgr.nobanner などの承認をほかのユーザーに委託する権利を持ちます。

res1:res2

これらのフィールドは、将来的な使用のために予約されています。

short_desc

承認の簡略名。この簡略名は、GUI のスクロールリストの中など、ユーザーインタフェースでの表示に適しています。

long_desc

詳しい記述。このフィールドには、承認の目的、承認が使用されるアプリケーション、承認を使用するユーザーの種類などを記述します。詳しい記述は、アプリケーションのヘルプテキストに表示できます。

attr

承認の属性を記述する鍵と値のペアをセミコロン (;) で区切ったリスト (オプション)。0 または 1 つ以上の鍵を指定できます。

キーワード help には HTML 形式のヘルプファイルを指定します。ヘルプファイルは、/usr/lib/help/auths/locale/C ディレクトリの index.html ファイルからアクセスできます。

次の例は、標準的な値がいくつか設定された auth_attr データベースを示します。

% grep printer /etc/security/auth_attr 
solaris.admin.printer.:::Printer Information::help=AuthPrinterHeader.html
solaris.admin.printer.delete:::Delete Printer Information::help=AuthPrinterDelete.html
solaris.admin.printer.modify:::Update Printer Information::help=AuthPrinterModify.html
solaris.admin.printer.read:::View Printer Information::help=AuthPrinterRead.html

solaris.admin.printer. はドット (.) で終わっているため、ヘッダーとして定義されます。ヘッダーは、承認の集合を作成するために、GUI によって使用されます。

`prof_attr` データベース

prof_attr データベースには、権利プロファイルに割り当てる名前、説明、ヘルプファイルの場所、および承認が格納されます。権利プロファイルに割り当てられたコマンドとセキュリティー属性は、exec_attr データベースに格納されます。詳細については、「exec_attr データベース」を参照してください。prof_attr データベースのフィールドは次のようにコロンで区切ります。

profname:res1:res2:desc:attr

フィールドの意味は次のとおりです。

profname

権利プロファイルの名前。権利プロファイル名では大文字と小文字が区別されます。この名前は、役割とユーザーにプロファイルを指定するために、user_attr データベースでも使用されます。

res1:res2

これらのフィールドは、将来的な使用のために予約されています。

desc

詳しい記述。このフィールドでは、権利プロファイルの使用に適したユーザーの種類など、権利プロファイルの目的を説明します。詳しい記述は、アプリケーションのヘルプテキストとして適している内容である必要があります。

attr

実行時にそのオブジェクトに適用するセキュリティー属性を記述する鍵と値のペアをセミコロン (;) で区切ったリスト (オプション)。0 または 1 つ以上の鍵を指定できます。有効な鍵は、help と auths の 2 つです。

キーワード help には HTML 形式のヘルプファイルを指定します。ヘルプファイルは、/usr/lib/help/profiles/locale/C ディレクトリの index.html ファイルからアクセスできます。

キーワード auths には、auth_attr データベースから選択した承認名をコンマで区切って指定します。承認名には、ワイルドカードとしてアスタリスク (*) を使用できます。

次の例では、標準的な 2 つの prof_attr データベースエントリを示します。Printer Management 権利プロファイルは、Operator 権利プロファイルの補助権利プロファイルです。この例は、表示の都合上、折り返して記載されています。

% grep 'Printer Management' /etc/security/prof_attr
Printer Management:::         Name of rights profile
Manage printers, daemons, spooling: Description
help=RtPrntAdmin.html;              Help file
auths=solaris.admin.printer.read, Authorizations
solaris.admin.printer.modify,solaris.admin.printer.delete
...
Operator:::                         Name of rights profile
Can perform simple administrative tasks: Description
profiles=Printer Management,  Supplementary rights profiles
Media Backup,All;
help=RtOperator.html               Help file

`exec_attr` データベース

exec_attr データベースでは、成功するためにセキュリティー属性を必要とするコマンドが定義されます。このコマンドは、権利プロファイルの一部です。セキュリティー属性を指定したコマンドは、プロファイルが割り当てられている役割が実行できます。

exec_attr データベースのフィールドは次のようにコロンで区切って指定します。

name:policy:type:res1:res2:id:attr

フィールドの意味は次のとおりです。

profname

権利プロファイルの名前。権利プロファイル名では大文字と小文字が区別されます。この名前は、prof_attr データベースのプロファイルを参照します。

policy

このエントリに関連付けるセキュリティーポリシー。現時点では、suser と solaris が有効なエントリです。solaris ポリシーでは、特権が認識されます。suser ポリシーでは、認識されません。

type

指定するエンティティーの種類。現在は、cmd (コマンド) が唯一の有効なエンティティーです。

res1:res2

これらのフィールドは、将来的な使用のために予約されています。

id

エンティティーを識別する文字列。コマンドには、完全パスかワイルドカード (*) をもつパスを指定します。引数を指定する場合は、引数をもつスクリプトを作成し、そのスクリプトを id に指定します。

attr

実行時にそのエンティティーに適用するセキュリティー属性を記述する鍵と値のペアをセミコロン (;) で区切ったリスト (オプション)。 0 または 1 つ以上の鍵を指定できます。有効なキーワードのリストは、適用するポリシーによって異なります。

suser ポリシーに対して有効な鍵は、euid、uid、egid、gid の 4 つです。

euid および uid キーワードには、1 つのユーザー名またはユーザー ID (UID) の数値が含まれます。euid を使用すると、コマンドは指定された UID で動作します。これは、実行可能ファイルに setuid ビットを設定することと同じです。uid を使用すると、コマンドは指定された実 UID と実効 UID で動作します。
egid および gid キーワードには、1 つのグループ名またはグループ ID (GID) の数値が含まれます。egid を使用すると、コマンドは指定された GID で動作します。これは、実行可能ファイルに setgid ビットを設定することと同じです。gid を使用すると、コマンドは指定された実 GID と実効 GID で動作します。

solaris ポリシーに対して、有効なキーワードは privs です。値は、コンマで区切られた特権のリストから構成されます。

次の例に、exec_attr データベースの標準的な値をいくつか示します。

% grep 'File System Management' /etc/security/exec_attr
File System Management:suser:cmd:::/usr/sbin/ff:euid=0
File System Management:solaris:cmd:::/usr/sbin/mount:privs=sys_mount
…

`policy.conf` ファイル

policy.conf ファイルは、特定の権利プロファイル、特定の承認、および特定の特権をすべてのユーザーに与える方法を定義します。ファイル内の関連するエントリは、key=value のペアから構成されます。

AUTHS_GRANTED=authorizations – 1 つまたは複数の承認を示します。
PROFS_GRANTED=rights profiles – 1 つまたは複数の権利プロファイルを示します。
PRIV_DEFAULT=privileges – 1 つまたは複数の特権を示します。
PRIV_LIMIT=privileges – すべての特権を示します。

次の例では、policy.conf データベースの標準的な値をいくつか示します。

# grep AUTHS /etc/security/policy
AUTHS_GRANTED=solaris.device.cdrw

# grep PROFS /etc/security/policy
PROFS_GRANTED=Basic Solaris User

# grep PRIV /etc/security/policy

#PRIV_DEFAULT=basic
#PRIV_LIMIT=all

権限の詳細は、「特権 (概要)」を参照してください。

RBAC コマンド

この節では、RBAC の管理に使用するコマンドを一覧します。承認を使用してアクセス権を制御できるコマンドについても説明します。

RBAC を管理するコマンド

ローカルの RBAC データベースは手動で編集できますが、そのような編集はできるだけ避けてください。RBAC を使用したタスクへのアクセスを管理するために、次のコマンドが使用できます。

表 10–7 RBAC 管理コマンド


コマンドのマニュアルページ	説明
auths(1)	ユーザーに対する承認を表示します。
makedbm(1M)	`dbm` ファイルを作成します。
nscd(1M)	ネームサービスキャッシュデーモン。`user_attr`、 `prof_attr`、および`exec_attr` データベースをキャッシュするときに使用します。`svcadm` コマンドを使用してデーモンを再起動します。
pam_roles(5)	PAM 用の役割アカウント管理モジュール。役割になる承認があるかを検査します。
pfexec(1)	プロファイルシェルによって使用されます。`exec_attr` データベースに指定されているセキュリティー属性を使用してコマンドを実行します。
policy.conf(4)	システムのセキュリティーポリシーの構成ファイル。与えられている承認、与えられている特権、およびその他のセキュリティー情報を一覧表示します。
profiles(1)	指定したユーザーの権利プロファイルを表示します。
roles(1)	指定したユーザーが引き受けられる役割を表示します。
roleadd(1M)	役割をローカルシステムに追加します。
roledel(1M)	役割をローカルシステムから削除します。
rolemod(1M)	ローカルシステム上の役割のプロパティーを変更します。
smattrpop(1M)	2 つのセキュリティー属性データベースをマージします。ローカルデータベースをネームサービスにマージするときに使用します。変換スクリプトを使用しないでアップグレードするときも使用します。
smexec(1M)	`exec_attr` データベースのエントリを管理します。認証を必要とします。
smmultiuser(1M)	ユーザーアカウントの一括操作を管理します。認証を必要とします。
smprofile(1M)	`prof_attr` および `exec_attr` データベースの権利プロファイルを管理します。認証を必要とします。
smrole(1M)	役割アカウントの役割とユーザーを管理します。認証を必要とします。
smuser(1M)	ユーザーのエントリを管理します。認証を必要とします。
useradd(1M)	ユーザーアカウントをシステムに追加します。ユーザーのアカウントに役割を割り当てるには、`-P` オプションを使用します。
userdel(1M)	ユーザーのログインをシステムから削除します。
usermod(1M)	システム上のユーザーのアカウントプロパティーを変更します。

承認を必要とするコマンド

次の表では、承認を使用して Solaris システムのコマンドオプションを制限する方法を示します。承認の詳細については、「承認の命名と委託」を参照してください。

表 10–8 コマンドおよび関連する承認


コマンドのマニュアルページ	承認の要件
at(1)	`solaris.jobs.user` がすべてのオプションで必要です (`at.allow` ファイルおよび `at.deny` ファイルがない場合)
atq(1)	`solaris.jobs.admin` がすべてのオプションで必要です
cdrw(1)	`solaris.device.cdrw` がすべてのオプションで必要です。`policy.conf` ファイルにデフォルトで与えられます
crontab(1)	ジョブを送信するオプションの場合は、`solaris.jobs.user` が必要です (`crontab.allow` および `crontab.deny`ファイルがない場合) ほかのユーザーの `crontab` ファイルを一覧表示または変更する場合は、`solaris.jobs.admin` が必要です
allocate(1)	デバイスを割り当てる場合は、`solaris.device.allocate` (または、 `device_allocate` ファイルに指定されている別承認) が必要ですほかのユーザーにデバイスを割り当てる場合 (`F` オプション) は、 `solaris.device.revoke` (または、 `-device_allocate` ファイルに指定されている別承認) が必要です
deallocate(1)	ほかのユーザーのデバイスの割り当てを解除する場合は、 `solaris.device.allocate` (または、`device_allocate` ファイルに指定されている別承認) が必要です指定したデバイス (`-F` オプション) またはすべてのデバイス (`-I` オプション) の割り当てを強制的に解除する場合は、`solaris.device.revoke` (または、 `device_allocate` に指定されている別承認) が必要です
list_devices(1)	ほかのユーザーのデバイスを一覧表示する場合 (`U` オプション) は、`-solaris.device.revoke` が必要です
sendmail(1M)	メールサブシステム機能にアクセスする場合は、`solaris.mail` が必要。メールキューを表示する場合は、`solaris.mail.mailq` が必要です

第 10 章 役割によるアクセス制御 (参照)

権利プロファイルの内容

Primary Administrator 権利プロファイル

System Administrator 権利プロファイル

Operator 権利プロファイル

Printer Management 権利プロファイル

Basic Solaris User 権利プロファイル

All 権利プロファイル

権利プロファイルの順序

権利プロファイルの内容の表示

承認の命名と委託

承認の命名規則

承認レベルの違いの例

承認での委託権限

RBAC をサポートするデータベース

RBAC データベースの関係

例 10–1 RBAC データベースの接続を示す

RBAC データベースとネームサービス

user_attr データベース

auth_attr データベース

prof_attr データベース

exec_attr データベース

policy.conf ファイル

RBAC コマンド

RBAC を管理するコマンド

承認を必要とするコマンド

第 10 章役割によるアクセス制御 (参照)

`user_attr` データベース

`auth_attr` データベース

`prof_attr` データベース

`exec_attr` データベース

`policy.conf` ファイル