3. 構築
3.4. セキュリティポリシーのファイル構成
3.4.3. RBAC 定義
Ⅰ‑52 Copyright © 2003 IPA, All Rights Reserved.
Ⅰ‑53 Copyright © 2003 IPA, All Rights Reserved.
Note:
RBAC の定義ファイルは、従来の passwd ファイルや shadow ファイルを補足するものである。
user̲attr に定義されるユーザや役割のエントリは、passwd ファイルや shadow ファイルにも 存在し、通常のシステムと同様にホームディエクトリ、ログインシェル、パスワードが定義 される。
3.4.3.1. ユーザと役割
ユーザと役割は、通常のシステムのユーザと同様、passwd21ファイルと shadow22ファイル に登録されている必要がある。役割のセッションが開始されるときには、passwd ファイル の各フィールドはそのまま利用され、shadow ファイルの暗号化されたパスワードによりロ グイン認証が行われる。つまり、役割も通常のユーザと同様のホームディレクトリやログ インシェルまたパスワードの管理がされる。そしてユーザと役割は拡張ユーザ属性データ ベース（user̲attr）により区別がされる。
ログインの認証の機構は、拡張ユーザ属性データベース（user̲attr）を参照し、役割で あれば直接ログインを許可しない。また、役割のログインシェルは標準でプロファイルシェ ルと呼ばれるものとなっている。
プロファイルシェル（pfsh、pfcsh、pfksh）は、通常のシェル（sh、csh、ksh）と互換 のシェルであるが、コマンドやアクションを実行する際に prof̲attr および exec̲attr を 参照し、実行の許可や実行時のセキュリティ属性を判断する機構が付加されている。また、
役割に対しては、TP 属性を確認し、TP 属性がない場合には、コマンド実行が制限される。
表 3‑14 に標準的なインストールにおいて作成される役割を示す。
表 3‑14 役割
# 役割 主な役割 種別
1 secadmin セキュリティ管理者タスク。セキュリティポリシーの定義など。 S8+
2 admin システム管理者タスク。システム設定やインストレーション。 S8+
3 oper オペレータータスク。プリンタ管理やメディアへのバックアップ。 S8+
4 primaryadmin （システム開発用または緊急用。すべての特権が許可される。） TS
5 root （初期インストールに必要な特権が許可される。） S8+
21 /etc/passwd
22 /etc/shadow
Ⅰ‑54 Copyright © 2003 IPA, All Rights Reserved.
Note:
primaryadmin 役割は、システム開発または緊急用に用意されている役割であり、すべての特 権をもつシェル環境を実行することができる。この役割は運用時には利用できないようにし ておくこと推奨する。
root 役割は、初期インストールにおいて必要な権限が許可されており、システムの再起動、
ファイルシステムのマウント、役割を作成し適切なプロファイルを設定することなどができ る。この初期の権限はインストール後に他の役割に委譲すべきで、運用時にはできる限り最 小の権限のみとすることを推奨する。または、この役割は運用時にはユーザアカウントに割 り与えないことを推奨する。（root 役割はシステムで利用されるため削除することはできな い。）
(1) 拡張ユーザ属性データベース（user̲attr）の構成
user̲attr ファイルは passwd ファイルと shadow ファイルを補足するものである。
設定ツールにより設定を行う場合、これらのすべてのファイルが関連して設定が行 われる。
リスト 3‑23 に user̲attr ファイルのフィールド定義、および Solaris 8 と Trusted Solaris 8 における例を示す。表 3‑15 に各フィールドの値と意味を示す。
リスト 3‑23 user̲attr ファイルのフィールド
（フィールド）
user:qualifier:res1:res2:attr
（例 ‐ Solaris 8）
root::::
type=normal;
auths=solaris.*,solaris.grant;
profiles=All
（例 ‐ Trusted Solaris 8）
root::::
lock̲after̲retries=no;
profiles=Custom Root Role,cron,All;
labelview=internal,hidesl;
min̲label=0x00000000000000000000000000000000000000000000000000000000000000000000;
clearance=0x7fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff;
type=role
Ⅰ‑55 Copyright © 2003 IPA, All Rights Reserved.
表 3‑15 user̲attr ファイルのフィールドの意味
# フィールド 説明 種別
1 user passwd および shadow ファイルに登録されているユーザ名 S8
2 qualifier 将来使用 S8
3 res1 将来使用 S8
4 res2 将来使用 S8
5 attr ユーザおよび役割のセキュリティ属性
有効キー 値と説明 種別
type normal￨role:
一般アカウント/役割アカウント S8
auths 割り当てられた承認 S8
profiles 割り当てられたプロファイル S8
roles 割り当てられたロール S8
lock̲after̲retries yes￨no
ログイン失敗後ロック有効/無効 TS gen automatic￨manual
パスワード自動入力/手動入力 TS
idletime ウインドウのアイドル時間 TS idlecmd lock￨logout
アイドル時間経過後の挙動
TS labelview internal￨external
管理用ラベルの表示/非表示 showsl￨highdsl
ラベル表示/非表示
TS
labeltrans プロセスのラベルの 16 進数表示 TS
min̲label 最下位機密ラベル TS
clearance 許可上限 TS
S8+
(2) 拡張ユーザ属性データベース（user̲attr）の設定方法
拡張ユーザ属性データベースの設定は、admin 役割または secadmin 役割により行う。
(A) SMC により役割を追加する手順
secadmin 役割にて役割の登録を行う例を示す。admin 役割では新規に役割を追加 することはできない。
最 初 に 、 Navigation か ら [Trusted Solaris Configuration] ‑ [Users] – [Administrative Roles]とツリーをクリックして行くと、図 3‑9 のようなイメージ が表示される。
Ⅰ‑56 Copyright © 2003 IPA, All Rights Reserved.
図 3‑9 役割編集初期画面
役割を新たに追加する場合は、[Action]をクリックしメニューから[Add Roles]
を選択する。その後次のステップに従い設定を行う、なお、各ステップでは、[Next]
をクリックする度に次のステップに進む、逆に[Back]をクリックする度に前のス テップに戻る。
ステップ 1:一般情報
入力・選択項目 入力値
Role Name 新規 role（役割）名を入力する Full Name 役割の正式名称
Description 役割の説明 Role ID Number 役割 ID
Role Shell Administrator’s Bourne￨Ksh￨Csh Create a role mailing
list
管理者のメーリングリストに追加する場合はチェックする
ステップ 2:パスワード
入力・選択項目 入力値
Set Password By Type In￨Choose From List
Password Type In を指定した場合パスワードを入力 Confirm Password Type In を指定した場合確認パスワードを入力
Ⅰ‑57 Copyright © 2003 IPA, All Rights Reserved.
ステップ 2 において、[Choose From List]を選択した場合はパスワードのリスト が表示されるのでそこから選択し[Type password to confirm]に確認パスワードを 入力する。
ステップ 3:プロファイルの選択
入力・選択項目 入力値
Available Rights 利用可能であるが割り当てられていない Rights（プロファイル）
を指定
Granted Rights 割り当てる Rights（プロファイル）を指定
ステップ 3 において、[Available Rights]からプロファイルを選択し[Add]をク リックすると[Granted Rights]に追加される。逆に[Granted Rights] からプロファ イルを選択し[Remove]をクリックすると[Granted Rights]から削除される。
Note:
プロファイルには優先順位がある。同じアクションやコマンドが違うプロファイルで登録さ れている場合は、Granted Rights に登録されているプロファイルの上位から優先される。
ステップ 4:ホームディレクトリ
入力・選択項目 入力値
Path ホームディレクトリを指定
ステップ 5：ユーザの割当て
入力・選択項目 入力値
割り当てられるユーザを指定
ステップ 5 において、ユーザ名をテキストボックスに入力して[Add]ボタンを押 すとリストに追加される。なお、ユーザの登録において逆に役割に割り当てること も可能である。
ステップ 6:確認
ステップ 6 において、最後に設定内容の確認が表示される。間違いがなければ [Finish]をクリックする。
変更等があれば[Back]をクリックしてステップを戻って行うことが可能である。
Ⅰ‑58 Copyright © 2003 IPA, All Rights Reserved.
(B) SMC によりユーザを追加する手順
secadmin 役割または admin 役割にてユーザの登録を行う例を示す。ユーザの追加は secadmin 役割 admin 役割共に共通して行うことが可能である。
最初に、Navigation から[Trusted Solaris Configuration] ‑ [Users] ‑ [User Accounts]とツリーをクリックして行くと、図 3‑10 のようなイメージが表示される。
図 3‑10 ユーザ編集初期画面
ユーザを新たに追加する場合は、[Action]をクリックしメニューから[Add User]
– [With Wizard]を選択する。その後次のステップに従い設定を行う、なお、各ステッ プでは、[Next]をクリックする度に次のステップに進む、逆に[Back]をクリックす る度に前のステップに戻る。
Note:
この作業はユーザに関する基本情報を設定するものであり、passwd ファイルおよび shadow ファイルのみ更新される。(C)の作業により拡張属性の変更を行った際に user̲attr ファイル が更新される。
ステップ 1:ユーザ情報
Ⅰ‑59 Copyright © 2003 IPA, All Rights Reserved.
入力・選択項目 入力値
User Name 新規ユーザ名（2〜32 文字の範囲内）
Full Name ユーザの名前
Description ユーザの説明
ステップ 2:ユーザ ID
入力・選択項目 入力値
User ID Number UserID（100〜2147483647 の範囲内）
ステップ 3:パスワード
入力・選択項目 入力値
User set passwrd at first login
ユーザの最初のログイン時にパスワードを設定する場合に指定 する
Set Password By Type In￨Choose From List
Password Type In を指定した場合パスワードを入力 Confirm Password Type In を指定した場合確認パスワードを入力
ステップ 3 において、ユーザの最初のログイン時にパスワードを設定する場合は [User set password at first login]を選択する。管理者が設定する場合は[set Pssword by]を選択し、コンボボックスから[Type in]もしくは[Choose From List]
を選択する。[Choose From List]を選択した場合はパスワードのリストが表示され るのでそこから選択し[Type password to confirm]に確認パスワードを入力する。
ステップ 4:グループ
入力・選択項目 入力値
Primary Group プライマリーグループを指定（コンボボックスから選択）
ステップ 5:ホームディレクトリ
入力・選択項目 入力値
Path ホームディレクトリを指定
ステップ 6:メールサーバー
ステップ 6 において、デフォルトの設定が表示される。ローカルホストがメール サーバーになる。また、/var/mail 以下のユーザ名のファイルがメールボックスに なる。
Ⅰ‑60 Copyright © 2003 IPA, All Rights Reserved.
ステップ 7:確認
ステップ 7 において、最後に設定内容の確認が表示される。間違いがなければ [Finish]をクリックする。
変更等があれば[Back]をクリックしてステップを戻って行うことが可能である。
(C) SMC によりユーザおよび役割の属性を編集する手順
ユーザまたは役割に設定可能な属性、また secadmin 役割または admin 役割によ り設定可能な属性、これらは類似するものであるが設定可能な項目が異なっている。
表 3‑16 はその関係を示している。設定可能な属性の欄において、”N/A”はユーザ または役割に設定できない項目を示している。また、”secadmin”はその項目につい て secadmin 役割のみが設定できることを表している、”admin/secadmin”はその項目 について admin 役割でも secadmin 役割でも設定できることを表している。
なお、#1〜#13 については、(A)または(B)において設定される項目である。
表 3‑16 ユーザと役割の属性
設定可能な属性
# 属性 カテゴリ
役割 ユーザ
1 User Information admin/secadmin admin/secadmin 2 Login/Role Shell admin/secadmin admin/secadmin 3
General
Account Availability N/A secadmin 4 Primary Group admin/secadmin admin/secadmin 5
Group
Additional Groups admin/secadmin admin/secadmin 6 Home Directory Information admin/secadmin admin/secadmin 7
Home
Directory Home Directory Sharing admin/secadmin admin/secadmin
8 User/Role Password secadmin secadmin 9 Type In Password secadmin secadmin
10
Password
Update Password By secadmin secadmin 11 Password
Option
Password Options in Days N/A secadmin 12 Mail
Information
Mail Information N/A admin/secadmin 13 Users Users Assigned To This Role secadmin N/A 14 Rights Granted Rights secadmin secadmin 15 Roles Assigned Roles N/A secadmin
16 Labels secadmin secadmin
17
Trusted Solaris Attributes
Account Usage secadmin secadmin 18 Audit User Audit Classes secadmin secadmin
ユ ー ザ の 属 性 を 編 集 す る 場 合 に は 、 Navigation か ら [Trusted Solaris Configuration] ‑ [Users] ‑ [User Accounts]とツリーをクリックして行くと、現