トラスティ権のサンプル
ツリーを作成すると、デフォルトの権利割り当によって、汎用アクセスとセキュリティがネットワークに提供されます。デフォルトの割り当てには、次のようなものがあります。
権利の割り当てには、トラスティとターゲットとなるオブジェクトが関係します。トラスティとは、認証されているユーザまたはユーザのグループを表します。ターゲットとは、ユーザが権利を持っているネットワークリソースです。
『ConsoleOneユーザガイド』の「管理の基本」を参照してください。
［Public］トラスティは、オブジェクトではありません。すべてのネットワークユーザに対して与えられる、権利割り当てに関連するトラスティです。
eDirectoryでの権利についてより良く理解していただくために、次に各権利についての概念を説明します。
トラスティ割り当てを作成するときには、オブジェクト権とプロパティ権を与えることができます。オブジェクト権はオブジェクト全体の操作に適用されますが、プロパティ権は一定のオブジェクトプロパティにのみ適用されます。オブジェクト権は、eDirectoryデータベース内でエントリが提供されるため、エントリ権と呼ばれます。
各権利について、次に説明します。
スーパバイザ: オブジェクトおよびそのオブジェクトのすべてのプロパティに対する、すべての権利が含まれます。
ブラウズ: ツリー内のオブジェクトを参照する権利です。オブジェクトのプロパティを参照する権利は含まれていません。
作成: ターゲットオブジェクトがコンテナの場合にのみ適用されます。作成権とは、トラスティがコンテナの下に新規オブジェクトを作成する権利のことです。作成権には、ブラウズ権も含まれます。
削除: ディレクトリからターゲットを削除する権利です。
リネーム: ターゲット名を変更する権利です。
トラスティ割り当てを作成するときには、オブジェクト権とプロパティ権を与えることができます。オブジェクト権はオブジェクト全体の操作に適用されますが、プロパティ権は一定のオブジェクトプロパティにのみ適用されます。
ConsoleOneでは、プロパティ権の管理用に次の2つのオプションが用意されています。
各プロパティ権について、次に説明します。
スーパバイザ: トラスティには、プロパティの完全な制御権が与えれられます。
比較: トラスティは、プロパティの値と任意の値を比較できます。この権利によって検索が可能になります。検索では、TRUEまたはFALSEの結果のみ返されます。トラスティは、プロパティの値を実際に参照することはできません。
読み込み: プロパティの値を参照する権利です。この権利には、比較権が含まれます。
書き込み: プロパティの値を作成、変更、および削除する権利です。
自己追加: トラスティ自身をプロパティの値として追加または削除する権利です。この権利は、メンバーシップリストまたはACL(アクセス制御リスト)などのような、値としてオブジェクト名を持つプロパティに適用されます。
ユーザは、明示的なトラスティ割り当て、継承、および同等セキュリティなどのさまざまな方法で権利を受け取ることができます。権利は、権利継承フィルタにより制限され、下のレベルのトラスティ割り当てによって変更、または取り消すこともできます。このような操作による最終的な結果、つまりユーザが実際に行使できる権利を、有効な権利といいます。
ユーザがいずれかの操作を実行しようとするたびに、該当のオブジェクトに対するそのユーザの有効な権利が計算されます。
ユーザがネットワークリソースにアクセスを試みるたびに、eDirectoryは次の手順でそのターゲットリソースに対するユーザの有効な権利を計算します。
eDirectoryはTreeオブジェクトのオブジェクトトラスティ(ACL)プロパティをチェックして、該当のトラスティが登録された項目があるかどうか調べます。該当のトラスティが登録された項目が見つかり、その権利が継承可能な場合、eDirectoryはそれらの項目に指定された権利を、該当のトラスティの有効な権利の初期セットとして使用します。
eDirectoryはこのレベルのACLをチェックし、該当のトラスティの有効な権利のタイプ(オブジェクト、すべてのプロパティ、または特定のプロパティ)と一致するIRF(権利継承フィルタ)がないか調べます。検出された場合は、eDirectoryは該当のトラスティの有効な権利から、これらのIRFによって継承を阻止されるすべての権利を削除します。
たとえば、上位のレベルで、トラスティの有効な権利にすべてのプロパティに対する書き込み権の割り当てが含まれていても、このレベルのIRFによってその継承を阻止された場合、すべてのプロパティに対する書き込み権はトラスティの有効な権利から削除されます。
eDirectoryはこのレベルのACLをチェックし、該当のトラスティが登録された項目があるかどうかチェックします。該当のトラスティが登録された項目が見つかり、その権利が継承可能な場合、eDirectoryはそれらの項目の権利をトラスティの有効な権利にコピーし、必要に応じて他の割り当てを無効化します。
たとえば、上位のレベルで、トラスティの有効な権利に作成および削除オブジェクト権が含まれ、プロパティ権についてはまったく含まれていないときに、このレベルのACLに、該当のトラスティに対する0オブジェクト権の割り当てとすべてのプロパティの書き込み権の割り当てが含まれている場合、トラスティの既存のオブジェクト権(作成および削除)は0権利と置き換えられ、新たにすべてのプロパティ権が追加されます。
eDirectoryは手順2dと同じ処理を行います。その結果作成される権利セットが、該当のトラスティの有効な権利になります。
権利の設定により、ターゲットリソースに対するユーザの有効な権利が作られます。
ユーザ「DJones」が、ボリューム「Acctg_Vol」にアクセスしようとしています。「図 22」を参照してください。
図 22
トラスティ権のサンプル
次の手順は、eDirectoryがAcctg_Volに対するDJonesの有効な権利を計算する方法を示したものです。
ここでは、DJonesがどのグループまたは職種にも所属せず、どの同等セキュリティにも明示的に割り当てられていないと仮定しています。
Acctg_Volでのすべての0プロパティ権に対する割り当てによって、Accountingでのすべてのプロパティに対する書き込み権の割り当ては無効化されます。
ツリーの最上位にあるすべてのプロパティに対する書き込み権の割り当ては、AccountingでのIRFによって除外されます。
Treeには、関連するどのツリー分岐でも、権利はまったく割り当てられません。
これらの権利はルートで割り当てられ、関連するツリー分岐のどの位置でも、フィルタリングも無効化もされません。
DJones:オブジェクトのブラウズ権、すべてのプロパティの読み込み権
DJones:オブジェクトのブラウズ権、すべてのプロパティの読み込み、比較権
有効な権利の計算方法では、IRFに頼らずに特定の権利を特定のユーザに対してブロックする方法は、必ずしも明確ではありません(IRFはすべてのユーザの権利をブロックします)。
特定の権利をIRFに頼らずにユーザに対してブロックするには、次のような方法があります。
同等セキュリティとは、別のオブジェクトと同じ権利を持つことを意味します。あるオブジェクト(オブジェクトA)を別のオブジェクト(オブジェクトB)と同等セキュリティにすると、オブジェクトAの有効な権利の計算時には、オブジェクトBの権利がオブジェクトAに追加されます。
たとえば、ユーザオブジェクトJoeをAdminオブジェクトと同等セキュリティにするとします。同等セキュリティを割り当てた後は、Joeは、ツリーおよびファイルシステムに対して、Adminが持つ権利と同じ権利を持つことになります。
同等セキュリティには、次の3つのタイプがあります。
同等セキュリティは、1ステップにかぎり有効です。たとえば、さらに別のユーザを上の例のJoeと同等セキュリティにした場合、このユーザはJoeの権利は受け取りますが、Adminの権利は受け取りません。
同等セキュリティは、該当のユーザオブジェクトの同等セキュリティプロパティの値としてeDirectoryに記録されます。
ユーザオブジェクトを職種オブジェクトにその職種の担当者として追加すると、そのユーザは自動的にその職種オブジェクトと同等セキュリティになります。ユーザをグループオブジェクトに追加した場合も同様です。
ACL(アクセス制御リスト)は、オブジェクトトラスティプロパティとも呼ばれます。トラスティを割り当てると、そのトラスティは値としてターゲットのオブジェクトトラスティ(ACL)プロパティに追加されます。
このプロパティは、次の理由から、ネットワークのセキュリティ上、重大な影響をもたらします。
このため、コンテナオブジェクトのすべてのプロパティに対する自己追加権を与える場合は、慎重に行う必要があります。自己追加権を割り当てられたトラスティは、該当のコンテナ、その中のすべてのオブジェクト、およびその下のコンテナ内のすべてのオブジェクトに対してスーパバイザとなることができます。
権利継承フィルタにより、eDirectoryツリーの下位レベルへの権利の継承をブロックできます。このフィルタの設定方法の詳細については、『ConsoleOneユーザガイド』の「権利の管理」の「継承の阻止」を参照してください。
新規サーバオブジェクトをツリーにインストールすると、次のトラスティ割り当てが作成されます。
表 18. トラスティ割り当て
eDirectoryでは、自分が管理するツリーの分岐に対する管理権を無効にして、その分岐の管理を他の人物に委託できます。たとえば、特別なセキュリティ要件により、対象の分岐を完全に制御する管理者を個別に置かなければならないような場合には、管理権の委託というこの方法をとることが必要になります。
管理権を委託するには、次を実行します。
委託先のユーザに、該当のコンテナに対するスーパバイザオブジェクト権を与えます。
継承を阻止したいスーパバイザ権や他の権利をフィルタリングするためのIRFを、そのコンテナに対して作成します。
重要: ユーザオブジェクトに管理を委託した後に、そのオブジェクトが削除されると、その分岐を管理する権利を持つオブジェクトはなくなります。
個々のeDirectoryプロパティの管理(パスワード管理など)を委託する方法については、『ConsoleOneユーザガイド』の「同等セキュリティの付与」を参照してください。
ロールベースの管理アプリケーションにおける個別機能の使用を委託する方法については、『ConsoleOneユーザガイド』の「ロールベース管理の設定」を参照してください。
