test

Solaris のシステム管理 (セキュリティサービス)

RBAC 要素: 参照情報

この節では、役割によるアクセス制御 (RBAC) の要素について詳細に説明します。

推奨される役割の構成

Solaris 9 には、事前定義済みの役割は組み込まれていません。顧客サイトの管理者は、設定する役割の種類を決定する必要があります。ただし、適切な事前定義済みの権利プロファイルを対応する役割に割り当てると、次の 3 つの推奨される役割を簡単に構成できます。

これらの権利プロファイルを利用すると、システム管理者は権利プロファイルを組み合わせたり調整したりしなくても、1 つの権利プロファイルを使って推奨される役割を構成することができます。

役割をカスタマイズするときは、役割に割り当てられた権利プロファイルの順序を詳細に確認する必要があります。同一のコマンドを複数回入力しても、エラーにはなりません。権利プロファイルでは、最初に発生したコマンドに割り当てられる属性が優先され、後続の同一コマンドはすべて無視されます。

注 –

root は、役割として設定することもできます。root を役割に設定すると、ユーザーは root として直接ログインできなくなり、通常のユーザーとしてログインする必要があります。root を役割にするを参照してください。

権利プロファイルの内容

この節では、いくつかの標準的な権利プロファイルについて説明します。

次の節の表では、コマンド、承認、補助権限、権利プロファイル、関連するヘルプファイルなど、これらの権利プロファイルの目的と内容を示します。

ヘルプファイルは HTML 形式なので、必要に応じて簡単にカスタマイズできます。ヘルプファイルは、/usr/lib/help/auths/locale/C ディレクトリにあります。

Solaris 管理コンソールの権利ツールを使用して、権利プロファイルの内容を検査することもできます。

All 権利プロファイル

All 権利プロファイルは、セキュリティ属性のないコマンドを除いたすべてのコマンドを使用できるようにワイルドカードを使用したプロファイルです。この権利プロファイルは、ほかの権利プロファイルに明示的に割り当てられていないすべてのコマンドにアクセスできる役割です。All 権利プロファイルまたはワイルドカードを使用するその他の権利プロファイルを使用しないと、役割は明示的に割り当てられているコマンド以外にはアクセスできません。これは、あまり実用的ではありません。

権利プロファイルのコマンドは、発生順に解釈されます。このため、ワイルドカードを使用する場合は、最後に指定します。明示的に割り当てた属性が、誤って優先指定されないようにするためです。All 権利プロファイルを使用する場合は、最後に割り当ててください。

表 20–1 All 権利プロファイルの内容

目的 

内容 

ユーザーまたは役割として任意のコマンドを実行する 

コマンド: *

ヘルプファイル: RtAll.html

Primary Administrator 権利プロファイル

Primary Administrator 権利プロファイルには、システム上で最も強力な役割が割り当てられます。実質的に、スーパーユーザーの機能を持つ役割が提供されます。

ヘルプファイル RtPriAdmin.html はサイト内では同一であるため、必要に応じて変更できます。ヘルプファイルは、 /usr/lib/help/auths/locale/C ディレクトリに格納されています。

Primary Administrator 権利プロファイルがサイトのセキュリティポリシーと矛盾する場合は、 このプロファイルを変更したり、割り当てないようにしたりすることもできます。ただし、Primary Administrator 権利プロファイルのセキュリティ機能は、ほかの権利プロファイル処理するのに必要となります。

表 20–2 Primary Administrator 権利プロファイルの内容

目的 

内容 

すべての管理タスクを実行する 

コマンド:*

承認: solaris.*、solaris.grant

ヘルプファイル: RtPriAdmin.html

System Administrator 権利プロファイル

System Administrator 権利プロファイルは、System Administrator 役割用に設計されています。System Administrator では、Primary Administrator の強力な権限を持たないため、ワイルドカードは使用できません。代わりに、セキュリティに関係しない個別の管理権利プロファイルが割り当てられます。次の表では、補助権利プロファイルに割り当てられているコマンドは説明していません。

All 権利プロファイルは、補助権利プロファイルのリストの最後にあります。

表 20–3 System Administrator 権利プロファイルの内容

目的 

内容 

セキュリティに関係しない管理タスクを実行する 

補助権利プロファイル: Audit Review、Printer Management、Cron Management、Device Management、File System Management、Mail Management、Maintenance and Repair、Media Backup、Media Restore、Name Service Management、Network Management、Object Access Management、Process Management、Software Installation、User Management、All

ヘルプファイル: RtSysAdmin.html

Operator 権利プロファイル

Operator 権利プロファイルは、権限の弱い管理権利プロファイルで、バックアップとプリンタ管理を行います。ファイルの復元は、セキュリティに影響するため、デフォルトではこの権利プロファイルに割り当てられていません。

表 20–4 Operator 権利プロファイルの内容

目的 

内容 

単純な管理タスクを実行する 

補助権利プロファイル: Printer Management、Media Backup、All

ヘルプファイル: RtOperator.html

ユーザー用の Basic Solaris User 権利プロファイル

デフォルトでは、Basic Solaris User 権利プロファイルは、policy.conf ファイルによってすべてのユーザーに自動的に割り当てられます。この権利プロファイルでは、通常の操作に使用する基本的な承認を与えます。Basic Solaris User 権利プロファイルを使用するときは、サイトのセキュリティ要件を考慮する必要があります。高いセキュリティを必要とするサイトでは、この権利プロファイルを policy.conf ファイルから削除することをお勧めします。

表 20–5 Basic Solaris User 権利プロファイルの内容

目的 

内容 

すべてのユーザーに自動的に権限を割り当てる 

承認: solaris.profmgr.read、 solaris.admin.usermgr.read、solaris.admin.logsvc.read、 solaris.admin.fsmgr.read、solaris.admin.serialmgr.read 、solaris.admin.diskmgr.read、solaris.admin.procmgr.user 、solaris.compsys.read、solaris.admin.printer.read 、solaris.admin.prodreg.read、solaris.admin.dcmgr.read

補助権利プロファイル: All

ヘルプファイル: RtDefault.html

Printer Management 権利プロファイル

Printer Management は、特定のタスクを実行する標準権限ファイルです。Printer Management 権利プロファイルには、承認とコマンドが割り当てられます。次の表では、使用できるコマンドの一部を示します。

表 20–6 Printer Management 権利プロファイルの内容

目的 

内容 

プリンタ、デーモン、スプール処理を管理する 

承認: solaris.admin.printer.delete、solaris.admin.printer.modify、solaris.admin.printer.read

コマンド: /usr/sbin/accept:euid=lp、/usr/ucb/lpq:euid=0、/etc/init.d/lp:euid=0、/usr/bin/lpstat:euid=0、/usr/lib/lp/lpsched:uid=0、/usr/sbin/lpfilter:euid=lp

ヘルプファイル: RtPrntMngmnt.html

承認

「承認」とは、役割またはユーザーに許可できる個別の権限のことです。RBAC に準拠したアプリケーションによって承認が確認されてから、ユーザーはアプリケーションまたはアプリケーションの特定の操作へのアクセス権を取得します。従来の UNIX アプリケーションでは、UID=0 で承認が確認されていました。

承認の命名規則

承認名には、RBAC の内部およびファイル内で使用される名前 (solaris.admin.usermgr.pswd など) と、グラフィカルユーザーインタフェースに表示される短い名前 (Change Passwords など) があります。

承認名の書式は、インターネット名と逆の順序になり、サプライヤ、被認証者領域、任意の下位領域、および承認の機能で構成されます。各要素の区切り文字はドット (.) です。たとえば、com.xyzcorp.device.access のように指定します。ただし、Sun から許可される承認では、インターネット名の代わりに接頭辞 solaris が使用されます。システム管理者は、ドットの右側に任意の文字列を表すワイルドカード (*) を使用して、承認を階層方式で適用することができます。

承認レベルの違いの例

ここでは、承認の使用方法の例を示します。Operator 役割のユーザーは、多くの場合、solaris.admin.usermgr.read 承認に制限されます。この承認では、ユーザーの構成ファイルに対する読み取り権は許可されますが、書き込み権は許可されません。System Administrator 役割では、solaris.admin.usermgr.read 承認だけでなく、ユーザーのファイルを変更できる solaris.admin.usermgr.write 承認も許可されます。ただし、System Administrator には、solaris.admin.usermgr.pswd 承認が許可されないため、パスワードは変更できません。Primary Administrator では、これらの 3 つの承認がすべて許可されます。

Solaris 管理コンソールのユーザーツールのパスワードを変更するには、solaris.admin.usermgr.pswd 承認が必要です。この承認は、smuser、smmultiuser、および smrole コマンドのパスワード変更オプションを使用するときにも必要になります。

承認の委託

接尾辞が grant の承認が許可されたユーザーまたは役割は、割り当てられている承認のうち同じ接頭辞を持つ任意の承認を、ほかのユーザーに委託することができます。

たとえば、solaris.admin.usermgr.grant 承認と solaris.admin.usermgr.read 承認を持つ役割は、solaris.admin.usermgr.read 承認をほかのユーザーに委託できます。solaris.admin.usermgr.grant と solaris.admin.usermgr.* を持つ役割は、solaris.admin.usermgr 接頭辞を持つ任意の承認をほかのユーザーに委託できます。