Mac OS X Server ファイルサービスの管理

(1)

Mac OS X Server

ファイルサービスの管理バージョン10.4以降用

(2)

K Apple Computer, Inc.

Mac OS X Serverソフトウェアの正規ライセンス製品の使用許諾を受けたお客様、またはかかるお客様の許諾を得た者は、本ソフトウェアの使用を学習する目的で本書を複製することができます。本書のいかなる部分も、本書のコピーの販売または有償のサポートサービスなどの商用目的で、複製または譲渡することは禁じられています。

本書には正確な情報を記載するように努めました。ただし、誤植や制作上の誤記がないことを保証するものではありません。

Apple 1 Infinite Loop

Cupertino CA 95014-2084 U.S.A.

www.apple.com

アップルコンピュータ株式会社

〒163-1480 東京都新宿区西新宿3丁目20番2号東京オペラシティタワー

www.apple.com/jp

Appleロゴは、米国その他の国で登録されたApple Computer, Inc.の商標です。キーボードから入力可能な Appleロゴについても、これをApple Computer, Inc.からの書面による許諾なしに商業的な目的で利用すると、

連邦および州の商標法および不正競争防止法違反となる場合があります。

Apple、Appleロゴ、AppleShare、AppleTalk、Mac、 Macintosh、QuickTime、Xgrid、およびXserveは、米国その他の国で登録されたApple Computer, Inc.^の商標です。Finderは、Apple Computer, Incの商標です。

Adobe、PostScriptは、アドビシステムズ社の商標です。

UNIXは、X/Open Company, Ltd.が独占的にライセンスしている米国その他の国における登録商標です。

本書に記載されているその他の会社名および製品名は、

それぞれの会社の商標です。他社製品に関する記載は、

情報の提供のみを目的としたものであり、保証または推奨するものではありません。Apple Computer, Inc.^は他社製品の性能または使用につきましては一切の責任を負いません。

J019-0161/03-24-2005

(3)

3

1

このガイドについて

Mac OS X Server が提供するファイルサービス管理の新機能について説明します。

Mac OS X Server バージョン 10.4 では、Macintosh、Windows、および Linux ワークグループのネイティブプロトコルを使用する、信頼性のある高性能なファイルサービスを提供します。このサーバは、事実上、多機種の混在する企業ネットワークを含むあらゆる環境にシームレスに適合するように設計されています。Mac OS X Serverバージョン10.4は、現在の機能を拡張すると共に追加機能を導入して異種ネットワークのサポートを向上させ、ユーザの生産性を最大限に高め、ファイルサービスをより安全で管理しやすいものにします。

バージョン 10.4 の新機能

• アクセス制御リスト（Access Control List、以後ACL）—ACLを使用することで、従来のPOSIX

（Portable Operating System Interface）ファイルアクセス権の制限に縛られることなく、ファイル、フォルダ、およびネットワークサービスにアクセス権をより柔軟に割り当てることができます。Mac OS X ServerのACLは、WindowsサーバのACLと互換性があります。

• NFSの再共有—「ワークグループマネージャ」で、AFPを利用してNFSボリュームを再共有できるようになりました。これにより、NFS にはないサービスの検出機能およびセキュリティ保護された認証機能が提供されます。

• 統合ロック—Mac OS X Serverでは、AFPおよびSMB/CIFSプロトコルのファイルロックが統合されています。この機能により、複数のプラットフォームで作業するユーザは、ファイルの破損を心配せずにファイルを同時に共有できます。

このガイドの構成

このガイドには、次の章があります：

• 第 1 章「ファイルサービスの概要」では、Mac OS X Serverのファイルサービスの概要、標準的なアクセス権とACL、および関連するセキュリティ上の問題について説明します。

• 第 2 章「共有ポイントを設定する」では、AFP（Apple Filing Protocol）、SMB（Server Message Block）/CFIS（Common Internet File System）、FTP（File Transfer Protocol）、および NFS

（Network File System）プロトコルを使用して特定のボリュームおよびディレクトリを共有する方法について説明します。また、標準およびACLアクセス権の設定方法についても説明します。

(10)

10 序章このガイドについて

• 第 3 章「AFPサービス」では、Mac OS X ServerでAFPサービスを設定および管理する方法について説明します。

• 第 4 章「NFSサービス」では、Mac OS X ServerでNFSサービスを設定および管理する方法について説明します。

• 第 5 章「FTPサービス」では、Mac OS X ServerでFTPサービスを設定および管理する方法について説明します。

• 第 6 章「問題を解決する」では、Mac OS X Serverでファイルサービスを操作する際に遭遇する一般的な問題の解決方法を示します。

•「用語集」では、このガイドで使用される用語について簡潔に説明します。

参考：アップルではソフトウェアの新しいバージョンやアップデートを頻繁にリリースするため、このガイドに示されている図は、画面の表示と異なる場合があります。

オンスクリーンヘルプを使用する

オンスクリーンヘルプを使用すると、サーバマニュアル一式に含まれるガイドに記載されている、手順やその他の役立つ情報を参照できます。

Mac OS X Serverが動作するコンピュータでは、「ワークグループマネージャ」または「サーバ管理」

を開くと、オンスクリーンヘルプを利用できます。「ヘルプ」メニューから、次のいずれかのオプションを選びます：

•「ワークグループマネージャヘルプ」または「サーバ管理ヘルプ」を選ぶと、アプリケーションに関する情報が表示されます。

•「Mac OS X Server ヘルプ」を選ぶと、サーバヘルプのメインページが表示されます。ここから、

サーバ情報を検索またはブラウズできます。

•「マニュアル」を選ぶと、www.apple.com/jp/server/documentationにアクセスして、サーバのマニュアルをダウンロードできます。

サーバまたは管理用コンピュータの「Finder」またはその他のアプリケーションからオンスクリーンヘルプを利用することもできます。（管理用コンピュータとは、サーバ管理ソフトウェアがインストールされているMac OS X コンピュータのことです。）「ヘルプ」メニューを使用して「ヘルプビューア」を開いてから、「ライブラリ」＞「Mac OS X Serverヘルプ」と選択します。

サーバの最新のヘルプトピックを参照するには、「ヘルプビューア」を使用している間、サーバまたは管理用コンピュータがインターネットに接続されていることを確認してください。「ヘルプビューア」は、サーバの最新のヘルプトピックをインターネットから自動的に取得してキャッシュします。

インターネットに接続されていないときは、「ヘルプビューア」は、キャッシュされているヘルプトピックを表示します。

(11)

序章このガイドについて 11

Mac OS X Server マニュアル

Mac OS X Serverのマニュアルには、各サービスについて解説し、それらのサービスの設定、管理、

および問題を解決する手順を説明しているガイドが含まれています。これらのガイドはすべて、次の場所からPDF形式で入手できます：

www.apple.com/jp/server/documentation/

ガイド名ガイドの内容：

Mac OS X Server お使いになる前にバージョン 10.4 以降用

Mac OS X Serverをインストールし、はじめて設定する方法について説明

します。

Mac OS X Server アップグレードおよび移行バージョン 10.4 以降用

古いバージョンのサーバで現在使用されているデータとサービス設定を使用する方法について説明します。

Mac OS X Server ユーザの管理バージョン 10.4 以降用

ユーザ、グループ、およびコンピュータのリストを作成および管理する方法について説明します。また、 Mac OS X クライアントの管理された環境設定を設定する方法について説明します。

Mac OS X Server ファイルサービスの管理バージョン 10.4 以降用

AFP、 NFS、 FTP、および SMB/CIFSプロトコルを使って、選択したサーバ

のボリュームまたはフォルダを複数のサーバクライアントの間で共有する方法について説明します。

Mac OS X Server プリントサービスの管理バージョン 10.4 以降用

共有プリンタを管理する方法と、共有プリンタに関連付けられたキューとプリントジョブを管理する方法について説明します。

Mac OS X Server システムイメージおよびソフトウェア・アップデートの管理バージョン 10.4 以降用

NetBootとネットワークインストールを使用して、Macintoshコンピュー

タがネットワーク経由で起動できるディスクイメージを作成する方法について説明します。また、クライアントコンピュータをネットワーク経由でアップデートするためのソフトウェア・アップデート・サーバを設定する方法について説明します。

Mac OS X Server メールサービスの管理バージョン 10.4 以降用

メールサービスをサーバ上で設定、構成、および管理する方法について説明します。

Mac OS X Server Web テクノロジーの管理バージョン 10.4 以降用

WebDAV、 WebMail、および Webモジュールを含めて、 Webサーバを設

定および管理する方法について説明します。

Mac OS X Server ネットワークサービスの管理バージョン 10.4 以降用

DHCP、 DNS、 VPN、 NTP、 IPファイアウォール、および NATの各サービスをサーバ上で設定、構成、および管理する方法について説明します。

Mac OS X Se rver オープンディレクトリの管理バージョン 10.4 以降用

ディレクトリサービスと認証サービスを管理する方法について説明します。

Mac OS X Server QuickTime Streaming Server の管理バージョン 10.4 以降用

QuickTimeストリーミングサービスを設定および管理する方法について説

明します。

Mac OS X Server Windows サービスの管理バージョン 10.4 以降用

PDC、BDC、ファイル、Windows コンピュータユーザ用のプリントなどのサービスを設定および管理する方法について説明します。

Mac OS X Server Windows NT からの移行バージョン 10.4 以降用

アカウント、共有フォルダ、およびサービスを Windows NTサーバから

Mac OS X Serverに移動する方法について説明します。

Mac OS X Server Java アプリケーションサーバの管理バージョン 10.4 以降用

Mac OS X Server上で JBossアプリケーションサーバを設定および管理す

る方法について説明します。

Mac OS X Server コマンドライン管理バージョン 10.4 以降用

コマンドと設定ファイルを使って、サーバ管理タスクを UNIXコマンドシェル内で実行する方法について説明します。

(12)

12 序章このガイドについて

マニュアルのアップデートを入手する

アップルでは必要に応じて、オンスクリーンヘルプの新しいトピック、改訂されたガイド、および追加されたソリューションに関する書類を公開しています。新しいヘルプトピックには、最新のガイドの改訂分が含まれます。

• オンスクリーンヘルプの新しいトピックを表示するときは、サーバまたは管理用コンピュータがインターネットに接続されていることを確認し、Mac OS X Server ヘルプのメインページにある

「最新情報」のリンクをクリックします。

• PDF形式の最新のガイドおよびソリューションに関する書類をダウンロードするときは、

Mac OS X ServerのマニュアルのWebページ（www.apple.com/jp/server/documentation）にアクセスしてください。

その他の情報

さらに詳しい情報が必要な場合は、次の資料を参照してください：

大切な情報—重要なアップデートや特別な情報を記載しています。この書類はサーバディスクにあります。

Mac OS X Server の Web サイト—製品およびテクノロジーに関するさまざまな情報を入手できます。

www.apple.com/jp/server/macosx/

AppleCare のサービス＆サポート—アップルのサポート部門から寄せられた数多くの記事を利用できます。

www.apple.com/jp/support/

アップルのカスタマートレーニング—サーバ管理のスキルアップのための、インストラクターの指導による、自分のペースに合わせて進められるコースです。

www.apple.com/jp/training/

アップルのディスカッショングループ—質問、知識、およびアドバイスをほかの管理者と共有できる場です。

discussions.info.apple.com/jp/

Mac OS X Server コラボレーションサービスの管理バージョン 10.4 以降用

ユーザ間で簡単に対話できるようにするウェブログ、チャット、およびその他のサービスを設定および管理する方法について説明します。

Mac OS X Server 高可用性の管理バージョン 10.4 以降用

Mac OS X Serverサービスの高い可用性を確保するように IPフェイルオー

バー、リンクアグリゲーション、負荷分散、その他のハードウェアおよびソフトウェア設定を管理する方法について説明します。

Mac OS X Server Xgrid の管理バージョン 10.4 以降用

Xgridアプリケーションを使用してXserveの計算クラスタを管理する方法

について説明します。

Mac OS X Server 用語集サーバおよび記憶装置製品で使用される用語の意味について説明します。

ガイド名ガイドの内容：

(13)

序章このガイドについて 13 アップルのメーリング・リスト・ディレクトリ—メーリングリストに登録して、メールを使ってほかの管理者と意見の交換ができます。

discussions.info.apple.com/jp

AFP（Apple Filing Protocol）の Web サイト—AFPに関するマニュアルを入手できます。

developer.apple.com/documentation/Networking/Conceptual/AFP/

Sambaの Webサイト—Mac OS X Serverが提供するWindowsサービスのベースになっているオープンソースのソフトウェアSambaの情報を入手できます。

www.samba.org/

CIFS（Common Internet File System）の Web サイト—CIFSの機能に関する詳しい情報を入手できます。

www.ubiqx.org/cifs/

FTP（File Transfer Protocol）の Web サイト—FTPに関するRFC（Request for Comments）の書類を参照できます。

www.faqs.org/rfcs/rfc959.html

TFTP（File Transfer Protocol）の Web サイト—TFTPに関するRFCの書類を参照できます。

asg.web.cmu.edu/rfc/rfc1350.html

参考：RFC の書類には、プロトコルやサービスの概要が記載されていて、サーバの管理を始めたばかりの方にとって参考になります。また、詳細な技術情報も記載されているので、経験豊富な管理者にとっても参考になります。RFCの書類は、www.faqs.org/rfcsで検索できます。

(14)

(15)

1

15

1

ファイルサービスの概要

この章では、 Mac OS X Server のファイルサービスの概要、標準的なアクセス権、アクセス制御リスト（ ACL ）、および関連するセキュリティ上の問題について説明します。

Mac OS X Serverのファイルサービスを設定することで、クライアントからネットワーク上の共有ファイル、アプリケーション、およびその他のリソースにアクセスできるようになります。

• AFPサービス。AFP（Apple Filing Protocol）を使って、Macintoshコンピュータを使用するクライアントとリソースを共有します。

• Windowsサービス。SMB/CIFS（Server Message Block/Common Internet File System）プロトコルを使って、WindowsまたはWindows互換のコンピュータを使用するクライアントに対し、

リソースの共有や名前解決を提供します。

• FTPサービス。FTP（File Transfer Protocol）を使用して、FTPクライアントソフトウェアを使用するすべてのユーザとファイルを共有します。

• NFSサービス。NFS（Network File System）を使用して、NFSクライアントソフトウェアを使用するユーザ（通常はUNIXユーザ）とファイルおよびフォルダを共有します。

参考：このガイドでは、AFP、FTP、およびNFSサービスの設定方法について説明します。Windows サービスの設定方法の詳細については、Windowsサービス管理ガイドを参照してください。

複数のネットワークインターフェイスのサポート

AFP、SMB/CIFS、FTP、およびNFSファイルサービスは、Mac OS X Serverのすべてのネットワークインターフェイスで利用できます。インターフェイスごとに、ファイルサービスを別々に設定することはできません。

ファイルサービスを設定する

次のアプリケーションを使用して、ファイルサービスを設定および管理します：

• サーバ管理：各プロトコルのファイルサービスを個別に設定する場合に使用します。

• ワークグループマネージャ：共有ポイントの作成およびアクセス権の設定に使用します。

大半の設定および管理操作は、「ターミナル」でも実行できます。詳しくは、コマンドライン管理ガイドのファイルサービスに関する章を参照してください。

(16)

16 第1章ファイルサービスの概要

Mac OS X 環境のアクセス権に関する背景情報

Mac OS Xを使用するのがはじめてで、UNIXにあまり詳しくない場合は、所有権やアクセス権の操作についてMac OS 9との違いを知ることは重要です。

安全性と信頼性を向上させるために、Mac OS Xでは、「/ライブラリ」などの多くのシステムフォルダはルートユーザ（「root」という名前のユーザ）が所有するように設定されます。ルートが所有するファイルおよびフォルダは、ルートとしてログインしない限り、変更または削除できません。ただし、ルートとしてログインした場合、実行可能な操作にほとんど制限がないこと、システムデータを変更することで問題が発生する可能性があることに、十分注意してください。ルートとしてログインする代わりに、sudoコマンドを使用しても、同等の操作を実行できます。

参考：「Finder」では、ルートユーザは「システム」と呼ばれます。

デフォルトでは、ファイルとフォルダはその作成者であるユーザが所有します。作成後は、オーナーまたは管理者が明示的に権限（所有権とアクセス権）を変更しない限り、移動しても権限は維持されます。

そのため、新しく作成したファイルやフォルダは、その作成先のフォルダに対してアクセス権を持っていないクライアントユーザにはアクセスできません。共有ポイントを設定するときは、項目を共有するユーザがアクセスできるように、項目に適切なアクセス権が割り当てられていることを確認してください。

アクセス権の種類

Mac OS X Serverでは、次の2種類のファイルおよびフォルダアクセス権がサポートされます：

• ^標準POSIX（Portable Operating System Interface）アクセス権

• アクセス制御リスト（ACL）

標準POSIX（Portable Operating System Interface）アクセス権を使用すると、次の3つのユーザ分類に基づいてファイルおよびフォルダへのアクセスを制御できます：オーナー、グループ、全員。

これらのアクセス権を使ってファイルやフォルダにアクセス可能なユーザを制御できますが、多くの組織で必要とされる複雑なユーザ環境に対応する柔軟性や精度が不足しています。

そこで、ACLが役に立ちます。ACLにより、ファイルやフォルダの拡張されたアクセス権セットが提供されるため、複数のユーザおよびグループをオーナーに設定できます。また、ACLはWindows Server 2003およびWindows XPと互換性があるため、マルチプラットフォーム環境に柔軟性を加えることができます。

参考：このガイドでは、「権限」という語は、所有権とアクセス権の組み合わせを意味します。一方、

「アクセス権」という語は、各ユーザ分類に指定可能なアクセス権設定（「読み出し／書き込み」、「読み出し専用」、「書き込み専用」、および「不可」）のみを意味します。

(17)

第 1章ファイルサービスの概要 17

標準のアクセス権

共有ポイント、フォルダ、またはファイルに割り当てることのできる標準のPOSIXアクセス権には、

「読み出し／書き込み」、「読み出し専用」、「書き込み専用」、および「不可」の4種類があります。次の表に、各種の共有項目（ファイル、フォルダ、共有ポイント）に対するユーザアクセスが、これらのアクセス権によってどのように変化するかを示します。

参考：QuickTime Streaming ServerとWebDAVでは、別のアクセス権の設定が使用されます。QTSS について詳しくは、QTSSのオンラインヘルプおよびQuickTimeのWebサイト

（www.apple.com/jp/quicktime/products/qtss/）を参照してください。Webでのアクセス権について詳しくは、Webテクノロジー管理ガイドを参照してください。

アクセス権の維持

共有ポイントおよび共有ポイント内の共有項目（フォルダとファイルの両方を含みます）には、別のアクセス権が設定されます。項目を別のフォルダに移動した場合は、移動元での項目のアクセス権が維持されます。移動先のフォルダのアクセス権が自動的に適用されることはありません。次の図では、2番目のフォルダ（「デザイン」）と 3番目の共有フォルダ（「書類」）に、これらの上位層フォルダとは異なるアクセス権が割り当てられています：

ACL が有効でない場合は、新しいファイルおよびフォルダが上位層のフォルダの権限を継承するように、AFP または SMB 共有ポイントを設定できます。詳しくは、35 ページの「共有ポイントの Appleファイル設定を変更する」または36 ページの「共有ポイントのWindows（SMB/CIFS）の設定を変更する」を参照してください。

ユーザの操作

読み出し／

書き込み読み出し専用書き込み専用なし

共有ファイルを開くありあり不可不可

共有ファイルをコピーするありあり不可不可

共有フォルダまたは共有ポイントを開くありあり不可不可

共有フォルダまたは共有ポイントをコピーするありあり不可不可

共有ファイルを編集するあり不可不可不可

項目を共有フォルダまたは共有ポイント内に移動するあり不可あり不可項目を共有フォルダまたは共有ポイント外に移動するあり不可不可不可

エンジニアリング

読み出し／書き込み

デザイン

書類読み出し専用

読み出し／書き込み

(18)

ユーザの分類：オーナー、グループ、全員

ユーザを次の3つの分類に分けて、標準POSIXアクセス権を個別に割り当てることができます：

• オーナー—ファイルサーバに新しい項目（ファイルまたはフォルダ）を作成したユーザは、その項目のオーナーになります。オーナーには、そのフォルダの読み出し／書き込みアクセス権が自動的に割り当てられます。デフォルトでは、項目のオーナーおよびサーバ管理者だけが、その項目のアクセス権を変更して、グループやすべてのユーザに項目の使用を許可できます。また、管理者は、共有項目の所有権をほかのユーザに移行することもできます。

参考：Apple ファイルサーバ上のドロップボックスに項目をコピーしても、その項目の所有権は

変更されませんが、その内容にアクセスできるのは、ドロップボックスのオーナーまたはルートだけになります。

• グループ — 複数のユーザにファイルおよびフォルダに対して同じアクセス権を割り当てるときは、ユーザをグループアカウントにまとめることができます。1 つの共有項目に対するアクセス権は、1つのグループにのみ割り当てることができます。グループの作成について詳しくは、ユーザ管理ガイドを参照してください。

• 全員—全員とは、ファイルサーバにログインできるすべてのユーザを示します：登録済みユーザとゲストのことです。

アクセス権の階層

1 人のユーザが複数のユーザ分類に含まれ、各分類に異なるアクセス権が割り当てられている場合は、次の規則が適用されます：

• グループのアクセス権の方が全員のアクセス権よりも優先されます。

• オーナーのアクセス権の方がグループのアクセス権よりも優先されます。

たとえば、ユーザが共有項目のオーナーであると同時に、その共有項目に割り当てられたグループのメンバーである場合、そのユーザのアクセス権は、オーナーに割り当てられたアクセス権になります。

クライアントユーザとアクセス権

AppleShareクライアントソフトウェアのユーザは、所有するファイルおよびフォルダのアクセス権

を設定できます。Windowsファイル共有のユーザは、アクセス権限も設定できます。

標準アクセス権の伝達

「ワークグループマネージャ」内のコマンドを使って、伝達する標準アクセス権を指定できます。たとえば、このコマンドを使用すると、あるフォルダの子孫すべてに「全員」のアクセス権だけを伝達して、「オーナー」および「グループ」のアクセス権はそのままにできます。このコマンドの使用方法について詳しくは、46 ページの「アクセス権を伝達する」を参照してください。

(19)

ACL

標準POSIXアクセス権では十分ではない場合に、アクセス制御リスト（ACL）を使用できます。ACL はアクセス制御エントリー（Access Control Entry、以後ACE）のリストで、各項目には、グループまたはユーザに対して許可または拒否するアクセス権、およびこれらのアクセス権がフォルダ階層内でどのように伝達されるかが指定されます。

Mac OS X ServerのACL を使用すると、標準POSIXアクセス権に加えて、複数のユーザおよびグループに対するファイルおよびフォルダアクセス権を設定できます。これにより、セキュリティを犠牲にすることなく、スムーズなファイル共有および連続したワークフローを利用したコラボレーション環境を構築できます。

ACL により、ファイルやディレクトリに対して拡張されたアクセス権セットを指定できるため、標準のアクセス権を使用する場合よりもアクセス権を細かく割り当てることができます。たとえば、

ユーザに完全な書き込みアクセス権を割り当てるのではなく、ファイルの作成は許可せずに、フォルダの作成だけを許可することが可能になります。

アップルのACLモデルでは、13種類のアクセス権を使用してファイルおよびフォルダへのアクセスを制御できます：

• 管理

• アクセス権を変更する：ユーザは標準のアクセス権を変更できます

• 所有権を持つ：ユーザは、ファイルまたはフォルダの所有権を自分自身に変更できます

• ^読み出し

• 属性を読み出す：ユーザは、ファイルまたはフォルダの属性（名前、日付、サイズなど）を表示できます

• 拡張属性を読み出す：ユーザは、他社の開発者により追加されたファイルまたはフォルダの属性を表示できます

• フォルダの内容を一覧表示（データを読み込む）：ユーザは、フォルダの内容を一覧表示してファイルを読み込むことができます

• フォルダをスキャン（ファイルを実行）：ユーザは、サブフォルダを開いてプログラムを実行できます

• アクセス権を読み出す：ユーザは、「情報を見る」や「ターミナル」コマンドを使って、ファイルやフォルダの標準アクセス権を表示できます。

• 書き込み

• 属性を書き込む：ユーザは、ファイルやフォルダの標準属性を変更できます

• 拡張属性を書き込む：ユーザは、ファイルやフォルダのその他の属性を変更できます

• ファイルを作成（データを書き込む）：ユーザは、ファイルの作成および変更を実行できます

• フォルダを作成（データを追加）：ユーザは、サブフォルダを作成して、新規データをファイルに追加できます

• 削除：ユーザは、ファイルまたはフォルダを削除できます

• サブフォルダとファイルを削除：ユーザは、サブフォルダとファイルを削除できますアップルのACLモデルでは、これらのアクセス権に加え、アクセス権の伝達方法を指定する4種類の継承が定義されています：

• このフォルダに適用：アクセス権（管理、読み出し、書き込み）をこのフォルダに適用します

(20)

• 子フォルダに適用：アクセス権をサブフォルダに適用します

• 子ファイルに適用：アクセス権をこのフォルダ内のファイルに適用します

• すべての子孫に適用：アクセス権をすべての子孫に適用します（このオプションと前述の2つのオプションとの関連性については、21 ページの「継承を理解する」を参照してください）

ACL使用モデル

ACL使用モデルでは、主なアクセス制御はフォルダレベルで行われ、ACLは継承の結果としてファイルに適用されます。

フォルダレベルの制御では、フォルダの内容にアクセス可能なユーザが定義され、継承では、定義されたアクセス権とルールのセットをコンテナから内部のオブジェクトに渡す方法が定義されます。

このモデルを使用しない場合、アクセス制御の管理はすぐに悪夢のような作業になります。数千から数百万のファイルに対してACLを作成および管理しなければならなくなるためです。また、継承を介したファイルへのアクセス制御により、ファイルの保存時に、アプリケーションから拡張属性や明示的なACEを管理する必要がなくなります。これは、継承されたACEがシステムによりファイルに自動的に適用されるためです（明示的なACEの詳細は、21 ページの「明示的なACEと継承したACE」を参照してください）。

ACLと標準アクセス権

ファイルおよびフォルダに対し、標準アクセス権に加えてACLアクセス権を設定できます。Mac OS X

Serverで、ACLと標準アクセス権を使用してユーザがファイルやフォルダに実行可能および実行不

可能な操作を決定する方法については、24 ページの「優先順位のルール」を参照してください。

ACLの管理

Mac OS X Serverでは、「ワークグループマネージャ」の「共有」パネル内の「アクセス」パネルで、

ACLを作成および管理できます。「Finder」の「情報を見る」ウインドウでは ACLの作成および管理は行えません。ただし、「情報を見る」ウインドウには、ログインしたユーザの有効なアクセス権が表示されます。ACLを設定および管理する方法については、34 ページの「ACLアクセス権を設定する」および43 ページの「共有ポイントのアクセス権を管理する」を参照してください。

「ワークグループマネージャ」に加え、コマンドラインツールlsとchmodを使用して、Mac OS X とMac OS X Server の両方でACL アクセス権を設定および表示できます。詳しくは、対応するマニュアルページ（「man」で表示）およびコマンドライン管理ガイドを参照してください。

「ワークグループマネージャ」を使用すると、共有ポイントおよびフォルダに対してACLを定義できます。ファイルに関しては、すでに説明したように、継承を介してACLを取得できます。

サポートされるボリュームフォーマットとプロトコル

ACL用のローカルファイルシステムをサポートするのは、HFS+だけです。また、ACL用のネットワークファイルシステムをサポートするのは、WindowsネットワークではSMB、AppleネットワークではAFPだけです。

(21)

アクセス制御エントリー

アクセス制御エントリー（ACE）は、指定されたファイルやフォルダに対してグループまたはユーザが保持するアクセス権、および継承のルールが指定されたACL内のエントリーです。

ACE に格納される情報

ACEには、次のフィールドが含まれます：

• ユーザ／グループ

• ^{アクセス権のタイプ}

• アクセス権

• ^継承

ユーザ／グループ

ACEには、グループやユーザの普遍的に一意なIDが格納されるため、これを使用して明確なID解決が可能になります。

アクセス権のタイプ

ACEは、次の2種類のアクセス権をサポートします：

• ^許可—「許可」を選択した場合、「ワークグループマネージャ」でアクセス権を選択して、アクセス権を許可できます。

• ^拒否—「拒否」を選択した場合、「ワークグループマネージャ」でアクセス権を選択して、アクセス権を拒否できます。

アクセス権

このフィールドには、Apple ACLモデルでサポートされる13のアクセス権の設定が格納されます。

継承

このフィールドでは、ACEを親フォルダから継承するかどうかを指定します。

明示的な ACE と継承した ACE

「ワークグループマネージャ」では、次の2種類のACEがサポートされます：明示的なACEと継承したACE。明示的なACEは、ACLで作成したACEです（44 ページの「ACEをACLに追加する」を参照してください）。一方、継承したACEは、親フォルダに作成したACEで、子孫のファイルやフォルダにより継承されます。

明示的なACEと継承したACEを区別しやすいように、「ワークグループマネージャ」には、継承したACEは淡色で表示されます。

参考：明示的なACEに変更しない限り、継承したACEを編集することはできません。「ワークグループマネージャ」を使用すると、継承したACEを明示的なACEに変換できます。詳しくは、46 ページの「フォルダの継承したACEエントリーを有効にする」を参照してください。

継承を理解する

ACL継承を使用して、アクセス権をフォルダからその子孫すべてに渡す方法を決定できます。

(22)

22 第1章ファイルサービスの概要アップルのACL継承モデル

アップルのACL継承モデルで定義された4つのオプションを「ワークグループマネージャ」で選択または選択解除して、ACE の適用（アクセス権をディレクトリ階層内で伝達する方法）を制御できます：

Mac OS X Serverでは、次に示す2つの明確な時点でACLアクセス権の伝達が行われます：

• ファイルまたはフォルダの作成時にカーネルにより—ファイルまたはフォルダの作成時に、カーネルはファイルまたはフォルダが親フォルダから継承するアクセス権を決定します。

• 明示的なACEの作成後に管理ツールにより—フォルダのACLアクセス権を設定した後などに、

「ワークグループマネージャ」は新規アクセス権を適用可能な子孫に伝達します。

下の図は、ACE の作成後に、「ワークグループマネージャ」により 2 つのACE（managers と design_team）が伝達される方法を示します。ボールドのテキストは明示的なACEを、通常のテキストは継承したACEをぞれぞれ表します。

継承オプション説明

このフォルダに適用アクセス権（管理、読み出し、書き込み）をこのフォルダに適用します子フォルダに適用アクセス権をサブフォルダに適用します

子ファイルに適用アクセス権をこのフォルダ内のファイルに適用しますすべての子孫に適用アクセス権をすべての子孫に適用します¹

1ACEを例外なくすべての子孫に適用する場合は、このオプションに加えて、「子フォルダに適用」および「子ファイルに適用」オプションを選択する必要があります。詳しくは、 23 ページの「 ACL継承の組み合わせ」を参照してください。

managers

managers Jupiter ƒ

書類デザインメモ

プロジェクト

Lander

モデル

仕様

managers design_team

managers

managers lander_team

managers lander_team

managers design_team

(23)

第 1章ファイルサービスの概要 23 ACL継承の組み合わせ

「ワークグループマネージャ」でACEの継承オプションを設定する場合、次に示す12通りの継承の組み合わせの中からACLアクセス権の伝達方法を選択できます。

継承

このフォルダに適用子フォルダに適用子ファイルに適用すべての子孫に適用

継承

このフォルダに適用子フォルダに適用子ファイルに適用すべての子孫に適用継承

継承

(24)

ACLアクセス権の伝達

「ワークグループマネージャ」内のコマンドを使って、ACL の伝達を指定できます。これは、「ワークグループマネージャ」により自動的に実行されますが、次の場合にこのコマンドが役立ちます：

• このコマンドを使って、例外を処理できます。たとえば、使用するフォルダ階層のサブツリーを除くすべての子孫にACLを適用したい場合があります。この場合には、ルートフォルダにACEを定義して、ACEがすべての子孫に伝達されるように設定します。次に、サブツリーのルートフォルダを選択し、コマンドを使ってそのサブツリーのすべての子孫からACLを取り除きます。次の例では、伝達コマンドによりACLを取り除かれた項目が白色で示されています。

• ^{フォルダの}ACL^{を取り除いた後で}ACLを再度適用することにした場合は、このコマンドを使用して継承を再適用できます。

• ^{各フォルダ階層で}ACEを手動で取り除く代わりに、このコマンドを使用してすべてのACL^を一度に消去できます。

このコマンドの使用方法について詳しくは、46 ページの「アクセス権を伝達する」を参照してください。

優先順位のルール

ACEをACLに追加する場合、順序は重要です。Mac OS X Serverでは、ファイルやフォルダへのアクセス制御に次のルールが使用されます：

• ファイルまたはフォルダに定義済みのACEが存在しない場合、Mac OS X Serverは標準POSIXアクセス権を適用します。

• ファイルまたはフォルダに1つ以上のACEが定義されている場合、Mac OS X Serverは、ACL内の最初のACEから始めて、要求されたアクセス権が満たされるか拒否されるまでリスト順にアクセス権を適用していきます。Mac OS X Serverは、ACEを評価した後で、ファイルまたはフォルダに定義された標準POSIXアクセス権を評価します。次に、ACL^{および標準}POSIX^{アクセス権の} 評価に基づいて、ユーザが共有ファイルまたはフォルダに保持するアクセスのタイプが決定されます。

「拒否」アクセス権はほかのアクセス権より優先される

ACEを追加する際、「ワークグループマネージャ」は「拒否」アクセス権を「許可」アクセス権よりも優先します。これは、拒否アクセス権には許可アクセス権よりも高い優先順位があるためです。アクセス権を評価する際、Mac OS X Serverは「拒否」アクセス権を検出すると、ユーザがそのACL 内に持つその他のアクセス権をすべて無視して、「拒否」アクセス権を適用します。

(25)

第 1章ファイルサービスの概要 25 たとえば、ユーザMai に対してACE を追加して読み出しアクセス権を許可してから、Maiがメンバーになっているグループ用に別のACEを追加してグループの読み出しアクセス権を拒否する場合、

「ワークグループマネージャ」はアクセス権の再順序付けを行い、「拒否」アクセス権が許可アクセス権よりも高い優先順位になるようにします。結果として、Mac OS X ServerはMaiに「拒否」アクセス権を適用し、Maiのグループに対する「許可」アクセス権を無視します。

「許可」アクセス権は累積的である

ユーザの「許可」アクセス権をACL内で評価する際、Mac OS X Serverは、標準POSIXアクセス権を含む、そのユーザに割り当てられたすべてのアクセス権の結合としてユーザのアクセス権を定義します。

ヒントとアドバイス

Mac OS X Serverは、従来のPOSIXアクセス権とACLを組み合わせて使用します。この組み合わせにより、ファイルおよびフォルダへのアクセスを、高い柔軟性と精度で制御することが可能になります。一方で、これらの利点には副作用もあります。権限を注意深く割り当てないと、アクセス権は非常に込み入った、手の付けられない状態になります。アクセス権がどのように割り当てられているかを把握するのは、非常に難しくなります。

参考：17のアクセス権を使用すると、選択可能な組み合わせは98,304通りという膨大な数になります。こうした複雑なフォルダ階層に加え、多数のユーザとグループおよび多数の例外など、最悪の事態とはいかないまでも混乱を誘うさまざまな要因が存在します。

このセクションでは、Mac OS X Server でアクセス制御を最大限に活用し、落とし穴を避けるのに役立つ有用なヒントやアドバイスを提供します。

グループレベルでアクセス権を管理する

アクセス権をグループに割り当て、個別のユーザにアクセス権を割り当てるのは例外が存在する場合だけにします。たとえば、学区内のすべての教師に、特定の共有ポイントへの「読み出し」および「書き込み」アクセス権を割り当て、一方で、臨時教師のMiss Buxtonには、共有ポイントのフォルダ階層内の特定のフォルダに対する読み出しアクセス権を拒否することができます。

グループの使用は、アクセス権を割り当てる最も効率的な方法です。グループを作成してアクセス権を割り当てた後で、アクセス権の再割り当てを行うことなく、ユーザをグループに追加したりグループから削除したりできます。

アクセス権を徐々に追加する

必要なアクセス権だけを割り当て、必要に応じてアクセス権を徐々に追加できます。「許可」アクセス権を使用している限り、Mac OS X Server はアクセス権を結合します。たとえば、Students グループに、共有ポイント全体に対する部分的な読み出しアクセス権を割り当てることができます。その後、フォルダ階層内の適切な場所で、グループに追加の読み出しおよび書き込みアクセス権を指定できます。

(26)

拒否ルールを必要な場合にだけ使用する

Mac OS X Serverが「拒否」アクセス権に遭遇すると、ユーザがファイルやフォルダに保持するその他のアクセス権の評価を停止して、「拒否」アクセス権を適用します。このため、「拒否」アクセス権は、絶対的に必要な場合にだけ使用するようにしてください。また、必要なくなった場合に削除できるように、これらの「拒否」アクセス権の記録を保持しておくこともできます。

アクセス権を常に伝達する

継承は強力な機能であるため、この機能を活用してください。アクセス権をフォルダ階層内に伝達することにより、アクセス権を手動で子孫に割り当てる時間と労力を節約できます。

有効なアクセス権インスペクタを使用する

有効なアクセス権インスペクタを頻繁に使用して、ユーザが重要なリソースへの適切なアクセス権を持っていることを確認します。ACL の変更後には、これは特に重要です。時には、必要なものより多いまたは少ないアクセス権を意図せずに付与してしまうことがあります。インスペクタを使用すると、こうした状況を検出しやすくなります。インスペクタについて詳しくは、47 ページの「ファイルやフォルダに対するユーザまたはグループのアクセス権を決定する」を参照してください。

アプリケーションが変更されないようにする

アプリケーションを共有している場合、信頼された数人のユーザ以外はアプリケーションを変更できないように、これらのアプリケーションのアクセス権を設定する必要があります。攻撃者は、この脆弱性を利用して、ウイルスやトロイの木馬がユーザの環境に取り込まれるようにします。

単純な状態を保つ

注意していないと、ファイルアクセスの管理を不必要に複雑にしてしまう場合があります。このため、常に単純な状態を維持するようにしてください。標準POSIXアクセス権で実行可能な処理については、それを使用します。ただし、ACL を使用する必要がある場合は、それが必要になるまでアクセス権をカスタマイズしないようにします。

また、可能な限り単純なフォルダ階層を使用します。戦略的な計画をいくらか立てることで、効果的で管理しやすい共有階層を作成できます。

ファイルサービスのアクセス制御

Mac OS X Serverの「サーバ管理」でサービスアクセス制御リスト（SACL）を使用して、AFP、FTP、

およびWindowsファイルサービスにアクセス可能なユーザおよびグループを指定できます。

SACLを使用して、アクセス制御の別のレイヤーを標準およびACLアクセス権の一番上に追加できます。SACLに記載されたユーザおよびグループだけが、対応するサービスにアクセスできます。たとえば、ホームディレクトリを含むサーバのAFP共有ポイントにユーザがアクセスできないようにする場合は、そのユーザをAFPサービスのSACLから単に削除します。SACLを使用してファイルサービスへのアクセスを制限する方法については、51 ページの「SACL アクセス権を設定する」を参照してください。

(27)

Mac OS X のネットワークアイコンをカスタマイズする

Mac OS XのFinderウインドウの最上位レベルにあるネットワークアイコンには、共有ネットワークリソースが含まれます。共有ポイントの自動マウントを設定することにより、クライアントに合わせてネットワークアイコンの内容をカスタマイズできます。特定のディレクトリに共有ポイントを自動マウントすることによって、フォントや環境設定などのシステムリソースへの自動アクセスを提供できます。

ネットワークアイコン内の共有ポイント

Mac OS Xクライアントのネットワークアイコンは、「/ネットワーク」ディレクトリに相当します。

デフォルトでは、ネットワークアイコンには少なくとも以下のフォルダが含まれます：

• Applications

• Library

• Servers

これらのフォルダには、共有ポイントをマウントできます。詳しくは、40 ページの「クライアントの共有ポイントを自動的にマウントする」を参照してください。

追加のサーバおよび共有項目がネットワーク上で検出されると、それらが追加されます。

システムリソースをネットワークのライブラリフォルダに追加する

ネットワークアイコン内の「Library」フォルダは、システム検索パスに含まれています。そのため、

このフォルダを使用すると、通常ローカルの「ライブラリ」フォルダに置かれるすべてのタイプのシステムリソースをネットワーク経由で利用できるようになります。システムリソースには、フォント、アプリケーション環境設定、ColorSync プロファイル、デスクトップピクチャなどがあります。この機能を使用すれば、管理されたクライアント環境をカスタマイズすることができます。

たとえば、あるオープンディレクトリドメイン内の各ユーザに、特定のフォントセットを利用できるようにするとします。この場合は、必要なフォントが含まれる共有ポイントを作成し、その共有ポイントを、クライアントコンピュータの「/ネットワーク/Library/Fonts」に共有ライブラリとして自動マウントするように設定します。詳しくは、40 ページの「クライアントの共有ポイントを自動的にマウントする」を参照してください。

セキュリティの検討

データおよびネットワークのセキュリティを維持することは重要です。ネットワークを保護する最も効果的な方法は、ファイル、フォルダ、および共有ポイントの作成時に適切なアクセス権を割り当てることです。

ファイルサービスへのアクセスを制限する

26 ページの「ファイルサービスのアクセス制御」で説明したように、サービスアクセス制御リスト

（SACL）を使用して、AFP、FTP、およびWindowsサービスへのアクセスを制限できます。