Compaq OpenVMS
システム管理者マニュアル

前へ 次へ 目次 索引

12.6 ACL (アクセス制御リスト) の作成

たいていの会話型ユーザ・アカウントの保護は，省略時の UIC に基づく保護で十分です。ただし，プロジェクト・アカウントのような場合には，ACL (アクセス制御リスト) を使って，さらに細かい保護が必要になることがあります。ACL に基づく保護機構は，複数のグループ，または複数のグループに属するメンバーが共通にアクセスするアカウントに対して，より洗練されたレベルの保護を提供します。

12.6.1 ACL エントリの種類

アクセス制御リストは，オブジェクトの属性を定義する， ACE (アクセス制御エントリ) と呼ばれるエントリのリストです。

次の ACE が使用可能です。

ACE 説明
識別 ACE ユーザの識別情報に基づいて，特定のユーザに許可するアクセスのタイプを制御する。各識別 ACE は，少なくとも 1 つのライト識別情報と，その情報を保持するユーザに許されるアクセス・タイプのリストから構成される。識別情報については， 第 12.6.2 項 を参照すること。

たとえば，次の ACE はユーザ "Jones" にオブジェクトに対する読み込み，書き込み，および実行のアクセス権を付与している。 

(IDENTIFIER=[ACCOUNTING,JONES],ACCESS=READ+WRITE+EXECUTE)
省略時の保護 ACE 特定のディレクトリとそのサブディレクトリ内に作成されたすべてのファイルに割り当てる保護コードを指定することができる。

たとえば次の ACE では，ディレクトリに新たに作成されたファイルに対し，システムと所有者カテゴリのユーザにはすべてのアクセス権，グループ・ユーザには読み込みおよび実行のアクセス権を付与し，ワールド・カテゴリのユーザにはアクセス権を付与しない。 

(DEFAULT_PROTECTION,S:RWED,O:RWED,G:RE,W:)
作成 ACE 作成 ACE を割り当てたディレクトリ内で作成されたファイルの ACL に新しい ACE を追加する。作成 ACE は，ファイルを作成するプロセスの利用者識別コード (UIC) が，作成されるファイルを所有しない場合に適用される。たとえば，ディレクトリが資源識別子によって所有されている場合には，この ACE が適用される。

次の例では，このディレクトリ内でファイルを作成したユーザに，そのファイルに対する読み込み，書き込み，実行，削除アクセス権を付与するよう指定している。 

(CREATOR,ACCESS=READ+WRITE+EXECUTE+DELETE)

作成 ACE が使用できるのは，ディレクトリ内のファイルのみ。

機密保護アラーム ACE オブジェクトが特定の方法でアクセスされたとき，オペレータのターミナルに機密保護アラーム・メッセージを送るよう指示することができる。

たとえば，次の ACE では，特定のファイルが正しく読み取られると，必ずアラーム・メッセージが出される。 

(ALARM=SECURITY,ACCESS=SUCCESS+READ)

機密保護アラーム ACE が働くためには，次のコマンドで有効にしておくことが必要。 

$ SET AUDIT/ALARM/ENABLE=(ACL)
機密保護監査 ACE オブジェクトが特定の方法でアクセスされたとき，システム・セキュリティ監査ログ・ファイルに機密保護アラーム・メッセージを送るアクセス基準を指定する。

たとえば，次の ACE では，特定のファイルが正しく読み取られると，必ずアラーム・メッセージが出される。 

(AUDIT=SECURITY,ACCESS=SUCCESS+READ)

メッセージが記録されるのは，DCL の SET AUDIT/AUDIT/ENABLE=ACL コマンドで，ACL 監査が有効になっている場合のみ。

サブシステム ACE サブシステム ACE が適用されるイメージを実行しているプロセスに新しい識別子を追加する。イメージに対して実行アクセス権を持つユーザは，データ・ファイルやプリンタなど保護されたサブシステム内のオブジェクトにアクセスできる。しかし，サブシステム・イメージが実行されていない場合は，アクセスできない。サブシステム ACE が使用できるのは，実行可能イメージのみ。

次の例では，特定のサブシステム・イメージを実行しているプロセスに，識別子 ACCOUNTING を追加している。この識別子によって，プロセスはサブシステムによって所有されるオブジェクトにアクセスできる。 

(SUBSYSTEM, IDENTIFIER=ACCOUNTING)

これらの ACE についての詳細は『Compaq OpenVMS システム管理ユーティリティ・リファレンス・マニュアル』を，また ACE の作成および適用方法についての詳細は『OpenVMS Guide to System Security』を参照してください。

12.6.2 識別子の種類

識別 ACE に設定可能な識別子は，いくつかの種類に分類されます。識別子は 1 文字から 31 文字の長さの英数字文字列で構成し，少なくとも 1 字は英字にします。使用可能な文字は0 から 9 の数字と A から Z の英字，そしてドル記号 ($) とアンダスコア (_) です。識別子の種類を次の表に示します。

タイプ 説明 例
UIC 識別子 UIC (利用者識別コード) に基づく情報であり，システムのユーザを特定して，そのユーザが属するグループを定義する。 [GROUP1,JONES]
[JONES]
GROUP1
JONES
一般識別子 機密保護管理者が定義する情報。 SALES
RESERVE_DESK
環境識別子 ユーザが初めてシステムにログインしたときの情報に基づいてユーザを分類した情報であり，システムが自動的に作成する。 BATCH, NETWORK
INTERACTIVE
LOCAL, DIALUP
REMOTE
機能識別子 インストール中の機能で定義する。 RDB$ENTRY

SYS$SYSTEM の STARTUP.COM システム・スタートアップ・プロシージャは，環境識別子の他，SYS$NODE_ ノード名の形式でシステム・ノード識別子も作成します。

12.7 ACL の割り当て

ACL を作成可能なオブジェクトは次のとおりです。

権限
共通イベント・フラグ・クラスタ
装置
ファイル
グループ・グローバル・セクション
論理名テーブル
キュー
資源ドメイン
セキュリティ・クラス
システム・グローバル・セクション
ボリューム

一般的に ACL は，全員ではなく一部ユーザについてのみオブジェクトのアクセス権を付与したい場合，あるいは特定の特権を持たないユーザについてアクセス権を拒否したい場合に使用します。 ACL を持つオブジェクトに対するアクセス要求を受け取ったオペレーティング・システムは，ACL を検索し，最初に一致したアクセス制御リスト・エントリを見つけた時点で検索を止めます。つまり，他に一致するエントリが ACL にあったとしても意味はありません。そのため，特定のユーザについて，システム・オブジェクトへのアクセスの許可または不許可を設定する ACE は，ACL 内のより広い範囲のユーザを表す ACE より前に指定するようにしてください。

12.8 ACL エディタの使用法

アクセス制御リスト・エディタ (ACL エディタ) は，ACL の作成と編集に使用するスクリーン・エディタです。システム・オブジェクトに ACL を定義したり，既存の ACL を編集したりする場合に使用してください。

ACL エディタは，EDIT/ACL コマンドまたは SET SECURITY/EDIT コマンドで起動します。コマンド行には，作成または変更したい ACL のオブジェクト名を指定します。たとえば，INVENTORY.DAT というファイルの ACL を作成するときは，次のコマンドを使用します。 


$ EDIT/ACL INVENTORY.DAT

作成または変更する ACL の対象であるオブジェクトがファイルでない場合は， /CLASS 修飾子を使ってオブジェクトのタイプを指定する必要があります。たとえば，ディスク DOCD$: の ACL を作成する場合は，次のコマンドを使用します。 


$ EDIT/ACL/CLASS=DEVICE DOCD$

ACL エディタを起動して，既存の ACL を変更したり，オブジェクトに新しい ACL を作成することができます。オブジェクトに ACL がすでに作成されている場合は， ACL エディタを起動すると画面にその ACL が表示されます。

ACL エディタは，OpenVMS 共通言語で作成されたプログラムの内部から起動することもできます。ただし，そうしたプログラムは OpenVMS 呼び出し基準に基づいて呼び出しを行う必要があります。 ACL エディタの呼び出しインタフェースの使用法については，『OpenVMS Utility Routines Manual』を参照してください。

12.8.1 識別 ACE の登録

識別 ACE は，特定のユーザまたはグループに許可するアクセス・タイプを制御します。形式は次のとおりです。 


(IDENTIFIER= 識別子 [, オプション ][, アクセス ])

たとえば次の ACE は，UIC 識別子 [SALES,PAT] で表されるユーザ Pat にファイルに対する読み込み，書き込み，および実行のアクセス権のみ付与しています。削除または制御のアクセス権が指定されていないため，Pat がそれらのアクセス権を持つことはありません。 


(IDENTIFIER=[SALES,PAT],ACCESS=READ+WRITE+EXECUTE)

識別 ACE の省略時の属性を使って，特定のディレクトリに新たに作成されるファイルの ACL に取り込む省略時の ACE を定義することができます。たとえば，PERSONNEL という識別子を持つユーザに読み込みおよび書き込みのアクセス権を許可する ACE が， [MALCOLM] というディレクトリのすべてのファイルに設定されるようにしたい場合は， MALCOLM.DIR ファイルの ACL に次の ACE を記入しておきます。 


(IDENTIFIER=PERSONNEL,OPTIONS=DEFAULT,ACCESS=READ+WRITE)

この ACE 指定があると，[MALCOLM] ディレクトリに作成されるすべてのファイルが次の ACE を持ちます。 


(IDENTIFIER=PERSONNEL,ACCESS=READ+WRITE)

識別 ACE の省略時の属性と ACL 処理時の省略時属性の働きについては，『OpenVMS Guide to System Security』にさらに詳しい説明があります。

12.8.2 省略時の保護コードの設定

省略時の保護 ACE は，ディレクトリとそのサブディレクトリに新たに作成されるすべてのファイルに対する保護コードを設定するエントリです。ファイルの以前のバージョンが存在する場合，この ACE は適用されず，以前のファイルの保護が使用されます。この ACE の形式は次のとおりです。 


(DEFAULT_PROTECTION[, オプション ], 保護コード)

たとえば次の ACE は，システムと所有者カテゴリのユーザには，ディレクトリに新たに作成されるファイルに対する読み込み，書き込み，実行，削除のアクセス権を付与し，グループとワールド・ユーザにはアクセス権を付与しないよう指示しています。 


(DEFAULT_PROTECTION,S:RWED,O:RWED,G,W)

注意
省略時の保護 ACE はサブディレクトリには適用されません。 ACE が親ディレクトリに適用された後で作成されたサブディレクトリには適用されます。

12.8.3 機密保護アラームおよび監査の生成

機密保護 ACE を使用して，保護されているオブジェクトに対して，特定のタイプのアクセスが行われたとき，イベント・メッセージを送るよう指示することができます。機密保護アラーム ACE は，イベント・メッセージをセキュリティ・オペレータのターミナルに送信し，機密保護監査 ACE はそのイベント・メッセージをシステム・セキュリティ監査ログ・ファイルに送信します。

この ACE の使用方法についての詳細は，『OpenVMS Guide to System Security』を参照してください。

12.9 機密保護関連イベントの記録

システム管理者は，機密保護関連イベント・メッセージの通知先を選択することができます。アラーム・メッセージはオペレータのターミナルに，監査メッセージはシステム・セキュリティ監査ログ・ファイルにそれぞれ送信されます。また，アラーム，監査，およびその両方として報告されるイベントを選択することができます。

12.9.1 機密保護アラーム対象とするイベント・クラスの指定

OpenVMS オペレーティング・システムは， 表 20-7 にあるようなイベントを自動的に監視します。

また，DCL の SET AUDIT コマンドの /ENABLE 修飾子で 表 12-1 に示すようなキーワードを指定すると，他のクラスのイベントを監視することができます。

表 12-1 OpenVMS が報告するイベント・クラス
イベント・クラス 説明
Access あるクラスのすべてのオブジェクトに対するアクセス・イベント。特定のクラスのすべての保護オブジェクトに対するアクセスを，特権の有無にかかわらず選択して監視することができる。
ACL オブジェクトのアクセス制御リスト (ACL) の機密保護監査 ACE または機密保護アラーム ACE によって要求されるイベント。
Authorization SYSUAF.DAT，NETPROXY.DAT，NET$PROXY.DAT または RIGHTSLIST.DAT の変更。
Breakin ブレークイン。
Connection SYSMAN，DECnet for OpenVMS Phase IV，DECwindows 製品，またはプロセス間通信 (IPC) 呼び出しによる論理リンクの接続または切断。
Create 保護オブジェクトの作成。
Deaccess 保護オブジェクトへのアクセス解除。
Delete 保護オブジェクトの削除。
Identifier 特権としての識別子の使用。
Install INSTALL ユーティリティによる既知のファイル・リストの変更。
Logfailure ログインの失敗。
Login 正常なログイン。
Logout ログアウト。
Mount ボリュームのマウントおよびディスマウント。
NCP ネットワーク制御プログラム (NCP) によるネットワーク環境設定データベースの変更。
Privilege 正常または異常な特権の使用。
Process プロセス制御システム・サービスの使用。
SYSGEN SYSGEN または AUTOGEN ユーティリティによるシステム・パラメータの変更。
Time システム時間の変更。

SET AUDIT コマンドについての詳細は，『Compaq OpenVMS DCL ディクショナリ』を参照してください。

12.10 監査ログファイルの解析

システム管理者およびサイトの機密保護管理者は， ANALYZE/AUDIT ユーティリティを使用して，機密保護監査ログ・ファイルに含まれる情報を選択的に抽出および表示することができます。このユーティリティには，各種監査レポート形式や，レポートに出力するイベントの基準を選択するための修飾子が用意されています。 ANALYZE/AUDIT の使用法については，『OpenVMS Guide to System Security』を参照してください。

前へ 次へ 目次 索引