用語集 (Solaris のシステム管理 (セキュリティサービス))

Solaris のシステム管理 (セキュリティサービス)

用語集

admin 主体

username/admin という形式 (joe/admin など) の名前を持つユーザー主体。通常のユーザー主体より多くの特権 (ポリシーの変更など) を持つことができる。「主体名」と「ユーザー主体」も参照

FQDN

完全指定形式のドメイン名。denver.mtn.example.com など (単なる denver は FQDN ではない)

GSS-API

Generic Security Service Application Programming Interface の略。さまざまなモジュールセキュリティサービス (SEAM など) をサポートするネットワーク層。GSS-API は、セキュリティ認証、完全性、およびプライバシサービスを提供する。「認証」、「完全性」、「プライバシ」も参照

KDC

鍵配布センター (Key Distribution Center)。次の 3 つの Kerberos V5 要素で構成されるマシン

主体と鍵データベース
認証サービス
チケット認可サービス

レルムごとに、1 つのマスター KDC と、1 つ以上のスレーブ KDC を配置する必要がある

Kerberos

認証サービス、Kerberos サービスが使用するプロトコル、または Kerberos サービスの実装に使用されるコード

SEAM は、Kerberos V5 に準拠した認証の実装である。

技術的には異なるが、SEAM のマニュアルでは、SEAM と Kerberos は同じ意味で使用されることが多い。Kerberos と Kerberos V5 も同様である

Kerberos (または Cerberus) は、ギリシャ神話において、ハデスの門を警護する 3 つの頭を持つどう猛な番犬のこと

kvno

鍵バージョン番号。特定の鍵に対して、生成順に付けられたシーケンス番号。最も大きい kvno が、最新の鍵を示す

NTP

ネットワークタイムプロトコル (NTP)。デラウェア大学で開発されたソフトウェア。ネットワーク環境で、正確な時間またはネットワーククロックの同期化を管理する。NTP を使用して、Kerberos 環境のクロックスキューを管理できる。「クロックスキュー」も参照

PAM

プラグイン可能認証モジュール (Pluggable Authentication Module)。複数の認証メカニズムを使用できるフレームワーク。認証メカニズムを使用するサービスはコンパイルし直す必要がない。PAM は、ログイン時に SEAM セッションを初期化できる

QOP

保護の質 (Quality of Protection)。パラメータの 1 つ。完全性サービスまたはプライバシサービスで使用する暗号化アルゴリズムを選択するときに使用される

RBAC

役割によるアクセス制御。すべての機能を持つスーパーユーザーの代替アカウント。組織は、RBAC を使用してスーパーユーザーの機能を分割し、それらを役割と呼ばれる特別なユーザーアカウントに割り当てる。ジョブの要件に基づいて、特定のユーザーに役割を割り当てることができる

SEAM

Sun Enterprise Authentication Mechanism の略。ネットワークを通してユーザーを認証するシステムの 1 つ。マサチューセッツ工科大学 (MIT) で開発された Kerberos V5 技術に準拠する

SEAM と Kerberos は、SEAM のマニュアルでは同じ意味で使用されることが多い

Secure Shell

セキュリティ保護されていないネットワークを通して、セキュリティ保護されたリモートログインおよびその他のセキュリティ保護されたネットワークサービスを使用するための特別なプロトコル

stash ファイル

KDC のマスター鍵を暗号化したコピーが含まれる。このマスター鍵を使用して、サーバーをリブートすると、KDC が自動的に認証され、サーバーが kadmind および krb5kdc プロセスを起動する。stash ファイルにはマスター鍵が入っているため、stash ファイルやそのバックアップは安全な場所に保管する必要がある。暗号が破られると、この鍵を使用して KDC データベースのアクセスや変更が可能になる

TGS

チケット認可サービス (Ticket-Granting Service)。KDC の構成要素の 1 つ。チケットを発行する

TGT

チケット認可チケット (Ticket-Granting Ticket)。KDC によって発行されるチケット。クライアントは、このチケットを使用して、ほかのサービスのチケットを要求することができる

VPN

仮想プライベートネットワーク (Virtual Private Network)。暗号化とトンネルを使用して、セキュリティ保護された通信を提供するネットワーク。公開ネットワークを通してユーザーを接続する

アプリケーションサーバー

「ネットワークアプリケーションサーバー」を参照。

インスタンス

主体名の 2 番目の部分。インスタンスは、主体の主ノードを修飾する。サービス主体の場合、インスタンスは必ず指定する必要がある。 host/boston.eng.example.com のように、ホストの完全指定ドメイン名を指定する。ユーザー主体の場合、インスタンスは省略することができる。ただし、joe と joe/admin は、一意の主体である。「主ノード」、「主体名」、「サービス主体」、「ユーザー主体」も参照

オーセンティケータ

オーセンティケータは、KDC がチケットを要求したときおよびサーバーがサービスを要求したときに、クライアントから渡される。オーセンティケータには、クライアントとサーバーだけが知っているセッション鍵を使用して生成された情報が含まれる。オーセンティケータは、最新の識別として検査され、そのトランザクションが安全であることを示す。これをチケットとともに使用すると、ユーザー主体を認証できる。オーセンティケータには、ユーザーの主体名、ユーザーのホストの IP アドレス、タイムスタンプが含まれる。チケットと異なり、オーセンティケータは一度しか使用できない。通常は、サービスへのアクセスが要求されたときに使用される。オーセンティケータは、クライアントとサーバーのセッション鍵を使用して暗号化される。

鍵

1. キータブファイルのエントリ (主体名)。「キータブファイル」も参照

2. 暗号化鍵。次の 3 つの種類がある

「非公開鍵」 - 主体と KDC によって共有される暗号化鍵。システムの外部に配布される。「非公開鍵」も参照
「サービス鍵」 - 非公開鍵と同じ機能を持つが、サーバーとサービスによって使用される。「サービス鍵」も参照
「セッション鍵」 - 一時的な暗号化鍵。2 つの主体の間で使用され、その有効期限は 1 つのログインセッションの期間に制限される。「セッション鍵」も参照

関係

kdc.conf または krb5.conf ファイルに定義される構成変数または関係の 1 つ

完全性

ユーザー認証に加えて、暗号チェックサムを使用して、転送されたデータの有効性を提供するセキュリティサービス。「認証」、「プライバシ」も参照

キータブファイル

1 つまたは複数の鍵 (主体) が含まれるキーテーブル。ホストまたはサービスとキータブファイルとの関係は、ユーザーとパスワードの関係と似ている

機密性

「プライバシ」を参照

クライアント

狭義では、rlogin を使用するアプリケーションなど、ユーザーの代わりにネットワークサービスを使用するプロセスを指す。サーバー自身が他のサーバーやサービスのクライアントになる場合もある

広義では、a) Kerberos 資格を受け取り、b) サーバーから提供されたサービスを利用するホストを指す

一般的には、サービスを使用する主体

クライアント主体

(RPCSEC_GSS API) RPCSEC_GSS で保護されたネットワークサービスを使用するクライアント (ユーザーまたはアプリケーション)。クライアント主体名は、rpc_gss_principal_t 構造体の形式で格納される

クロックスキュー

Kerberos 認証システムに参加しているすべてのホスト上の内部システムクロックに許容できる最大時間。参加しているホストの時間差がクロックスキューを超えている場合、要求は拒否される。クロックスキューは、 krb5.conf ファイルに指定できる

権利プロファイル

権利またはプロファイルとも呼ばれる。RBAC で使用される優先指定の集合。役割またはユーザーに割り当てることができる。権利プロファイルは、認証、UID または GID を指定したコマンド (セキュリティ属性とも呼ばれる)、およびその他の権利プロファイルで構成される

公開鍵の暗号化

暗号化方式の 1 つ。各ユーザーが 1 つの公開鍵と 1 つの非公開鍵を所有する。公開鍵の暗号化では、送信者は受信者の公開鍵を使用してメッセージを暗号化し、受信者は非公開鍵を使用してそれを復号化する。SEAM は非公開鍵システムである。「非公開鍵の暗号化」も参照

更新可能チケット

有効期限の長いチケットは、セキュリティを低下させることがあるため、「更新可能」チケットに指定することができる。更新可能チケットには 2 つの有効期限がある。1 つはチケットの現在のインスタンスの有効期限、もう 1 つは任意のチケットの最長有効期限。クライアントがチケットを継続して使用したい場合は、最初の有効期限が切れる前に、そのチケットを更新する。たとえば、すべてのチケットの最長有効期限が 10 時間のときに、あるチケットが 1 時間だけ有効だとする。そのチケットを持つクライアントがもう 1 時間チケットを持ちたい場合は、そのチケットを更新する必要がある。チケットが最長有効期限に達すると、チケットの有効期限は自動的に切れ、それ以上更新できない

サーバー

ネットワーククライアントにリソースを提供する主体。たとえば、boston.eng.acme.com というマシンに rlogin する場合、そのマシンが rlogin サービスを提供するサーバーとなる。「サービス主体」も参照

サーバー主体

(RPCSEC_GSS API) サービスを提供する主体。サーバー主体は、service@host という書式で ASCII 文字列として格納される。「クライアント主体」も参照

サービス

1. ネットワーククライアントに提供されるリソース。多くの場合、複数のサーバーから提供される。たとえば、boston.eng.acme.com というマシンに rlogin する場合、そのマシンが rlogin サービスを提供するサーバーになる

2. 認証以外の保護レベルを提供するセキュリティサービス (完全性またはプライバシ)。「完全性」と「プライバシ」も参照

サービス鍵

サービス主体と KDC によって共有される暗号化鍵。システムの外部に配布される。「鍵」も参照

サービス主体

1 つまたは複数のサービスに Kerberos 認証を提供する主体。サービス主体では、一次名はサービス名 (ftp など) で、インスタンスはサービスを提供するシステムの完全指定ホスト名になる。「ホスト主体」と「ユーザー主体」も参照

資格

チケットと照合セッション鍵を含む情報パッケージ。主体の識別情報を認証するときに使用する。「チケット」と「セッション鍵」も参照

資格キャッシュ

KDC から受信した資格を含む記憶領域。通常はファイル

主体

1. ネットワーク通信に参加する、一意の名前を持つ「クライアントまたはユーザー」あるいは「サーバーまたはサービス」のインスタンス。Kerberos トランザクションでは、主体 (サービス主体とユーザー主体) 間、または主体と KDC の間で対話が行われる。つまり、主体とは、Kerberos がチケットを割り当てることができる一意のエンティティのことである。「主体名」、「サービス主体」、「ユーザー主体」も参照

2. (RPCSEC_GSS API) 「クライアント主体」と「サーバー主体」を参照

主体名

1. 主体の名前。書式は、primary/instance@REALM 。「インスタンス」、「主ノード」、「レルム」も参照

2. (RPCSEC_GSS API) 「クライアント主体」と「サーバー主体」を参照

主ノード

主体名の最初の部分。「インスタンス」、「主体名」、「レルム」も参照

承認

1. 主体がサービスを使用できるかどうか、主体がアクセスできるオブジェクト、各オブジェクトに許可するアクセスの種類を決定するプロセス

2. 役割によるアクセス制御 (RBAC) で、役割またはユーザーに割り当てることができるアクセス権。権利プロファイルに埋め込まれていることもある。承認が与えられていない動作クラスは、セキュリティポリシーによって拒否される

初期チケット

直接発行されるチケット (既存のチケット認可チケットは使用されない)。一部のサービス (パスワードを変更するアプリケーションなど) は、initial と指定されたチケットを要求して、クライアントが非公開鍵を知っていることを検査する。初期チケットを使用した検査は、クライアントが最近認証されたことを証明するときに重要になる。チケット認可チケットの場合は、取得してから時間が経過していることがある

スレーブ KDC

マスター KDC のコピー。マスター KDC のほとんどの機能を実行できる。各レルムには通常、いくつかのスレーブ KDC (と 1 つのマスター KDC) を配置する。「KDC」と「マスター KDC」も参照

セキュリティサービス

「サービス」を参照

セキュリティフレーバ

「フレーバ」を参照

セキュリティメカニズム

「メカニズム」を参照

セッション鍵

認証サービスまたはチケット認可サービスによって生成される鍵。セッション鍵は、クライアントとサービス間のトランザクションのセキュリティを保護するために生成される。セッション鍵の有効期限は、単一のログインセッションに制限される。「鍵」も参照

遅延チケット

遅延チケットは、作成されても指定された時期まで有効にならない。遅延チケットは、夜遅く実行されるバッチジョブなどに使用する。チケットが盗まれても、バッチジョブが実行されるまで使用できないためである。遅延チケットは、無効チケットとして発行され、a) 開始時刻を過ぎて、b) クライアントが KDC による検査を要求したときに有効になる。遅延チケットは通常、チケット認可チケットの有効期限まで有効である。ただし、チケットが「更新可能」な場合、チケットの有効期限は通常、チケット認可チケットの全有効期限と同じに設定される。「無効チケット」と「更新可能チケット」も参照

チケット

ユーザーの識別情報をサーバーまたはサービスに安全に渡すために使用される情報パケット。チケットは、単一のクライアントと特定のサーバー上の特定のサービスだけに有効である。チケットには、サービスの主体名、ユーザーの主体名、ユーザーのホストの IP アドレス、タイムスタンプ、チケットの有効期限を定義する値が含まれる。チケットは、クライアントとサービスによって使用されるランダムセッション鍵を使用して作成される。チケットは、作成されてから有効期限まで再使用できる。チケットは、最新のオーセンティケータとともに提示されなければ、クライアントの認証に使用することができない。「オーセンティケータ」、「資格」、「サービス」、「セッション鍵」も参照

チケットファイル

「資格キャッシュ」を参照

転送可能チケット

チケットの 1 つ。クライアントがリモートホスト上のチケットを要求するときに使用できる。このチケットを使用すれば、リモートホスト上で完全な認証プロセスを実行する必要がない。たとえば、ユーザー david が jennifer のマシンで転送可能チケットを取得した場合、david は自分のマシンにログインするときに新しいチケットを取得する必要がない (再び認証を受ける必要もない)。「プロキシ可能チケット」も参照

特権付きアプリケーション

システム制御を優先指定し、特定の UID、GID、または承認を確認するアプリケーション

認証

取り込まれた主体の ID を確認するプロセス

ネームサービススコープ

特定の役割が操作を許可されている適用範囲。つまり、特定のネームサービス (NIS、NIS+、LDAP など) を使用する個々のホストまたはすべてのホスト。スコープは、Solaris 管理コンソールツールボックスに適用される

ネットワークアプリケーションサーバー

ネットワークアプリケーションを提供するサーバー (ftp など)。レルムは、複数のネットワークアプリケーションサーバーで構成される

非公開鍵

各ユーザー主体に与えられ、主体のユーザーと KDC だけが知っている鍵。ユーザー主体の場合、鍵はユーザーのパスワードに基づいている。「鍵」も参照

非公開鍵の暗号化

非公開鍵の暗号化では、送信者と受信者は同じ暗号化鍵を使用する。「公開鍵の暗号化」も参照

秘密鍵

「非公開鍵」を参照

プライバシ

セキュリティサービスの 1 つ。送信データを送信前に暗号化する。プライバシには、データの完全性とユーザー認証も含まれる。「認証」、「完全性」、「サービス」も参照

フレーバ

従来は、「セキュリティフレーバ」と「認証フレーバ」は、認証のタイプ (AUTH_UNIX、AUTH_DES、AUTH_KERB) を指すフレーバとして、同じ意味を持っていた。RPCSEC_GSS もセキュリティフレーバだが、これは認証に加えて、整合性とプライバシのサービスも提供する

プロキシ可能チケット

サービスによって使用されるチケットの 1 つ。クライアントの代わりに、クライアントの操作を実行する。このことを、サービスがクライアントのプロキシとして動作するという。サービスは、チケットを使用して、クライアントの識別情報を所有できる。このサービスは、プロキシ可能チケットを使用して、ほかのサービスへのサービスチケットを取得できるが、チケット認可チケットは取得できない。転送可能チケットと異なり、プロキシ可能チケットは単一の操作に対してだけ有効である。「転送可能チケット」も参照

プロファイルシェル

RBAC で使用されるシェル。コマンド行から役割の権利プロファイルに割り当てた任意の特権付きアプリケーションを、役割 (またはユーザー) が実行できる。プロファイルシェルには、pfsh、 pfcsh、pfksh がある。これらはそれぞれ、Bourne シェル(sh)、C シェル(csh)、Korn シェル(ksh) に対応する

ホスト

ネットワークを通じてアクセス可能なマシン

ホスト主体

サービス主体のインスタンスの 1 つ (一次名は host)。さまざまなネットワークサービス (ftp、 rcp、rlogin など) を提供するために設定する。host/boston.eng.example.com@ENG.EXAMPLE.COM はホスト主体の例である。「サーバー主体」も参照

ポリシー

チケットの使用方法を管理する一連の規則。SEAM がインストールされるときまたは管理されるときに開始される。ポリシーは、主体のアクセスやチケットのパラメータ (有効期限など) を制限できる

マスター KDC

各レルムのメイン KDC。Kerberos 管理サーバー kadmind と、認証とチケット認可デーモン krb5kdc で構成される。レルムごとに、1 つ以上のマスター KDC を割り当てる必要がある。また、クライアントに認証サービスを提供する複製 (スレーブ) KDC を任意の数だけ割り当てることができる

無効チケット

まだ使用可能になっていない遅延チケット。無効チケットは、有効になるまでアプリケーションサーバーから拒否される。無効チケットを有効にするには、開始時期が過ぎたあと、TGS 要求で VALIDATE フラグを設定し、クライアントがこのチケットを KDC に提示する必要がある。「遅延チケット」も参照

メカニズム

データの認証や機密性を実現するための暗号化技術を指定するソフトウェアパッケージ。たとえば、Kerberos V5、Diffie-Hellman 公開鍵など

役割

特権付きアプリケーションを実行するための特別な ID。割り当てられたユーザーだけが実行できる

ユーザー主体

特定のユーザーに属する主体。ユーザー主体の一次名には、ユーザー名を指定する。オプションのインスタンスには、対応する資格の使用方法を説明する名前を指定する (joe、joe/admin など)。「ユーザーインスタンス」とも呼ばれる。「サービス主体」も参照

レルム

1. 1 つの SEAM データベースといくつかの鍵配布センター (KDC) を配置した論理ネットワーク

2. 主体名の 3 番目の部分。主体名 joe/admin@ENG.EXAMPLE.COM の場合、レルムは ENG.EXAMPLE.COM 。「主体名」も参照