この章では、一般ユーザーを作成する前に必要な決定事項と、ユーザーアカウントを管理する際の背景情報について説明します。この章は、初期設定チームが役割を設定し、最小限のユーザーアカウントを設定していることを前提としています。これらのユーザーは、Solaris Trusted Extensions を構成および管理するために使用する役割になることができます。詳細は、『Oracle Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions での役割とユーザーの作成」を参照してください。
Trusted Extensions ソフトウェアは、ユーザー、役割、または権利プロファイルに次のセキュリティー機能を追加します。
ユーザーには、システムを使用できるラベル範囲が設定されます。
役割には、管理タスクを実行するために使用できるラベル範囲が設定されます。
Trusted Extensions 権利プロファイルには、CDE 管理アクションを含めることができます。コマンドと同様に、アクションにセキュリティー属性を設定できます。
Trusted Extensions 権利プロファイルのコマンドとアクションは、ラベル属性を持ちます。コマンドまたはアクションは、ラベル範囲内または特定のラベルで実行される必要があります。
Trusted Extensions ソフトウェアは、Solaris OS で定義された特権と承認のセットに特権と承認を追加します。
システム管理者役割は、ユーザーアカウントを作成します。セキュリティー管理者役割は、アカウントのセキュリティー面を設定します。
LDAP ネームサービス用に Sun Java System Directory Server を使用している場合は、初期設定チームが tsol_ldap.tbx ツールボックスを設定していることを確認してください。手順については、『Oracle Solaris Trusted Extensions 構成ガイド』の「LDAP のための Solaris 管理コンソールの設定 (作業マップ)」を参照してください。
ユーザーと役割の設定については、次を参照してください。
『System Administration Guide: Basic Administration』の「Setting Up User Accounts (Task Map)」
『System Administration Guide: Security Services』のパート III「Roles, Rights Profiles, and Privileges」
Trusted Extensions では、システム管理者役割がシステムにアクセスできるユーザーを決定します。システム管理者は、次のタスクを行います。
ユーザーの追加と削除
役割の追加と削除
ユーザーと役割の設定の修正 (セキュリティー属性を除く)
Trusted Extensions では、セキュリティー管理者役割がユーザーまたは役割のすべてのセキュリティー属性を設定します。セキュリティー管理者は、次のタスクを行います。
ユーザー、役割、または権利プロファイルのセキュリティー属性の割り当てと修正
権利プロファイルの作成と修正
ユーザーまたは役割への権利プロファイルの割り当て
ユーザー、役割、または権利プロファイルへの特権の割り当て
ユーザー、役割、または権利プロファイルへの承認の割り当て
ユーザー、役割、または権利プロファイルからの特権の削除
ユーザー、役割、または権利プロファイルからの承認の削除
一般的には、セキュリティー管理者役割が権利プロファイルを作成します。ただし、セキュリティー管理者役割では付与できない機能がプロファイルに必要な場合は、スーパーユーザーまたは主管理者役割がプロファイルを作成できます。
権利プロファイルを作成する前に、セキュリティー管理者は新しいプロファイルにあるコマンドまたはアクションの実行に、特権または承認が必要かどうかを分析する必要があります。各コマンドのマニュアルページに、コマンドで必要な特権と承認が記載されています。特権や承認が必要なアクションの例については、exec_attr データベースを参照してください。
次の決定事項は、ユーザーが Trusted Extensions で実行可能な操作とその使いやすさに影響します。一部の決定事項は、Solaris OS のインストール時に行なった内容と同じです。Trusted Extensions に固有の決定事項は、サイトのセキュリティーや使いやすさに影響する場合があります。
policy.conf ファイルでユーザーのデフォルトセキュリティー属性を変更するかどうかを決定する。label_encodings ファイル中のユーザーデフォルトは、初期設定チームによって設定されています。デフォルトの説明については、「Trusted Extensions のデフォルトのユーザーセキュリティー属性」を参照してください。
各ユーザーの最小ラベルのホームディレクトリから上位レベルのホームディレクトリにコピーまたはリンクする、起動ファイルを決定する。手順については、「Trusted Extensions のユーザーの起動ファイルを構成する」を参照してください。
ユーザーがマイクロフォン、CD-ROM ドライブ、JAZ ドライブなどの周辺機器にアクセスできるかどうかを決定する。
ユーザーにアクセスを許可する場合は、サイトセキュリティーを満たすために追加の承認が必要かどうかを決定します。デバイスに関する承認のデフォルトリストについては、「デバイス承認を割り当てる」を参照してください。より詳しいデバイス承認のセットについては、「Trusted Extensions でのデバイス承認のカスタマイズ (作業マップ) 」を参照してください。
label_encodings ファイルと policy.conf ファイルの設定により、ユーザーアカウントのデフォルトのセキュリティー属性が決まります。ユーザーに対して明示的に設定した値は、これらのシステム値よりも優先されます。これらのファイルで設定した値の一部は、役割のアカウントにも適用されます。明示的に設定できるセキュリティー属性については、「Trusted Extensions の構成可能なユーザー属性」を参照してください。
label_encodings ファイルは、ユーザーの最小ラベル、認可上限、およびデフォルトのラベル表示を定義します。ファイルの詳細は、label_encodings(4) のマニュアルページを参照してください。サイトの label_encodings ファイルは、初期設定チームによってインストールされています。初期設定チームが行う決定は、『Oracle Solaris Trusted Extensions 構成ガイド』の「ラベルストラテジの作成」と、『Solaris Trusted Extensions ラベルの管理』の例に基づいています。
セキュリティー管理者が Solaris 管理コンソールで個々のユーザーに明示的に設定するラベルの値は、label_encodings ファイルから派生しています。明示的に設定した値は、label_encodings ファイルの値よりも優先されます。
Solaris の /etc/security/policy.conf ファイルには、システムのデフォルトセキュリティー設定が含まれています。Trusted Extensions はこのファイルに 2 つのキーワードを追加します。システム全体の値を変更する場合は、これらの「キーワード=値」の組をファイルに追加できます。これらのキーワードは Trusted Extensions で実施されます。次の表に、これらのセキュリティー設定に指定可能な値とそのデフォルト値を示します。
表 6–1 policy.conf ファイル内の Trusted Extensions セキュリティーのデフォルト
キーワード |
デフォルト値 |
取り得る値 |
注釈 |
---|---|---|---|
IDLECMD |
LOCK |
LOCK | LOGOUT |
役割には適用されません。 |
IDLETIME |
30 |
0 ~ 120 分 |
役割には適用されません。 |
policy.conf ファイルで定義される承認と権利プロファイルは、個々のアカウントに割り当てられる承認とプロファイルに追加されます。その他のフィールドについては、個々のユーザーの値がシステムの値に優先します。
『Oracle Solaris Trusted Extensions 構成ガイド』の「Trusted Extensions でのユーザーセキュリティーの計画」に、policy.conf のキーワードの表があります。policy.conf(4) のマニュアルページも参照してください。
Solaris 管理コンソール 2.1 は、ユーザーアカウントを作成および修正するためのツールです。複数のラベルでログインできるユーザーに対して、管理者は各ユーザーの最小ラベルのホームディレクトリに .copy_files と .link_files ファイルを設定する場合があります。
Solaris 管理コンソールのユーザーアカウントツールは、Solaris OS の場合と同様に機能します。ただし、次の 2 点が異なります。
Trusted Extensions は、ユーザーアカウントに属性を追加します。
Trusted Extensions では、ホームディレクトリサーバーアクセスに管理上の注意が必要です。
ホームディレクトリサーバーエントリを、Solaris システムの場合と同様に作成します。
次に、管理者とユーザーがホームディレクトリをユーザーの各ラベルでマウントする追加手順を実行します。
『System Administration Guide: Basic Administration』の「How to Add a User With the Solaris Management Console’s Users Tool」で説明したように、ウィザードを使用してユーザーアカウントを簡単に作成できます。ウィザードを使用したあと、ユーザーのデフォルトの Trusted Extensions 属性を修正できます。
.copy_files と .link_files ファイルについては、「.copy_files ファイルと .link_files ファイル」を参照してください。
セキュリティー管理者役割は、次の表のように、新しいユーザーのためにいくつかセキュリティー属性を指定する必要があります。デフォルト値を含むファイルについては、「Trusted Extensions のデフォルトのユーザーセキュリティー属性」を参照してください。次の表に、ユーザーに割り当て可能なセキュリティー属性とそれぞれの割り当ての効果を示します。
表 6–2 ユーザーの作成後に割り当てられるセキュリティー属性
ユーザー属性 |
デフォルト値の設定場所 |
操作の要/不要 |
効果 |
---|---|---|---|
パスワード |
なし |
必要 |
ユーザーにパスワードが設定されます |
役割 |
なし |
任意 |
ユーザーは役割を引き受けることができます |
承認 |
policy.conf ファイル |
任意 |
ユーザーに追加承認が割り当てられます |
権利プロファイル |
policy.conf ファイル |
任意 |
ユーザーに追加の権利プロファイルが割り当てられます |
ラベル |
label_encodings ファイル |
任意 |
ユーザーに異なるデフォルトラベルまたは認可範囲が与えられます |
特権 |
policy.conf ファイル |
任意 |
ユーザーに特権の異なるセットが与えられます |
アカウントの使用 |
policy.conf ファイル |
任意 |
アイドル時に、ユーザーにコンピュータの異なる設定が与えられます |
監査 |
audit_control ファイル |
任意 |
ユーザーはシステム監査設定と異なる監査を受けます |
ユーザーアカウントが作成されると、セキュリティー管理者役割は Solaris 管理コンソールを使用して、ユーザーにセキュリティー属性を割り当てます。正しいデフォルトを設定した場合、次の手順としては、デフォルトに対する例外を必要とするユーザーのみにセキュリティー属性を割り当てることです。
セキュリティー属性をユーザーに割り当てる場合、セキュリティー管理者は次の事項について考慮する必要があります。
ユーザーアカウントが作成されたら、セキュリティー管理者役割はユーザーアカウントにパスワードを割り当てます。最初の割り当てのあと、ユーザーはパスワードを変更できます。
Solaris OS の場合と同様に、ユーザーに定期的なパスワードの変更を強制することができます。パスワードの有効期限オプションは、パスワードを推測または盗むことができる侵入者がシステムにアクセスできる期間を制限します。変更が可能になるまでの最低期間を設定すると、新しいパスワードに変更したユーザーがすぐに古いパスワードに戻すのを防ぐこともできます。詳細は、passwd(1) のマニュアルページを参照してください。
役割になれるユーザーのパスワードは、パスワードの有効期限の制約を受けないようにします。
1 人のユーザーに 1 つの役割を割り当てる必要はありません。サイトのセキュリティーポリシーに矛盾しなければ、1 人のユーザーに複数の役割を割り当てることができます。
Solaris OS と同様、承認をユーザーに直接割り当てると、これらの承認は既存の承認に追加されます。Trusted Extensions では、承認を権利プロファイルに追加し、プロファイルをユーザーに割り当てます。
Solaris OS と同様に、 プロファイルの順序は重要です。プロファイルの機構は、アカウントのプロファイルセットにある最初のコマンドまたはアクションのインスタンスを使用します。
プロファイルの整列順を利用することができます。既存のプロファイルの定義と異なるセキュリティー属性でコマンドを実行する場合は、コマンドに目的の属性を割り当てた新しいプロファイルを作成します。続いて、既存のプロファイルの前に新しいプロファイルを挿入します。
管理アクションまたは管理コマンドを含む権利プロファイルは、一般ユーザーに割り当てないでください。一般ユーザーは大域ゾーンに入れないため、プロファイルが機能しません。
多くのサイトにとって、デフォルトの特権セットでは厳格さが足りません。システム上のすべての一般ユーザーに対して特権セットを制限するには、policy.conf ファイルの設定を変更します。個々のユーザーの特権セットを変更するには、Solaris 管理コンソール を使用します。例については、「ユーザーの特権セットを制限する」を参照してください。
ユーザーのラベルのデフォルトを変更すると、label_encodings ファイルのユーザーデフォルトの例外が作成されます。
Solaris OS の場合と同様、ユーザーに監査クラスを割り当てると、システムの/etc/security/audit_control ファイルに割り当てられている監査クラスの例外が作成されます。監査の詳細は、第 18 章Trusted Extensions での監査 (概要)を参照してください。
Trusted Extensions では、ファイルはスケルトンディレクトリからアカウントの最小ラベルを含むゾーンにのみ、自動的にコピーされます。上位ラベルのゾーンで起動ファイルを使用できるようにするには、ユーザーまたは管理者が .copy_files ファイルと .link_files ファイルを作成する必要があります。
Trusted Extensions の .copy_files ファイルと .link_files ファイルは、起動ファイルをアカウントの各ラベルのホームディレクトリに自動的にコピーまたはリンクします。ユーザーが新しいラベルでワークスペースを作成するごとに、updatehome コマンドはアカウントの最小ラベルで .copy_files ファイルと .link_files ファイルの内容を読み取ります。続いてコマンドは、リストに指定されたファイルを上位ラベルのワークスペースにコピーまたはリンクします。
.copy_files ファイルは、ユーザーが別のラベルで少しだけ異なる起動ファイルを使用する場合に有効です。たとえば、ユーザーが別のラベルで異なるメールエイリアスを使用する場合は、コピーが適しています。.link-files ファイルは、起動ファイルを、そのファイルが呼び出されたすべてのラベルでまったく同じにする必要がある場合に便利です。たとえば、すべてのラベル付き印刷ジョブを 1 台のプリンタで処理する場合は、リンクが適しています。サンプルファイルについては、「Trusted Extensions のユーザーの起動ファイルを構成する」を参照してください。
次のリストに、ユーザーに上位ラベルへのコピーまたはリンクを許可する起動ファイルの例を示します。
.acrorc |
.login |
.signature |
.aliases |
.mailrc |
.soffice |
.cshrc |
.mime_types |
.Xdefaults |
.dtprofile |
.newsrc |
.Xdefaults-hostname |
.emacs |
.profile |
|