21.2 セキュリティの計画

この節では、次のトピックについて説明します。追加の計画のトピックについては、「OESオンラインヘルプのセキュリティの節」を参照してください。

21.2.1 LinuxファイルおよびNCP (NetWare Core Protocol)ファイルのセキュリティモデルの比較

表 21-1」に示したように、NetWare (NSS/NCP™)およびLinux (POSIX)のセキュリティモデルは全く違います。

表 21-1 POSIXおよびNSS/NCPのファイルセキュリティモデル

機能

POSIX / Linux

OES 2 Linux上のNSS/NCP

管理原則

パーミッションは、各ファイルおよびサブディレクトリごとに、個別に制御および管理されます。

POSIXセキュリティモデルの特徴で、ユーザには通常、ほとんどのシステムに対する読み込み権限が付与されています。

ディレクトリおよびファイルを個人秘にするためには、パーミッションを削除する必要があります。

既存のディレクトリを個人秘にするための詳細については、「セクション 17.4.2, 個人秘作業ディレクトリの提供」を参照してください。

トラスティがディレクトリおよびファイルに割り当てられ、特別に再割り当てされない限り、その割り当てはディレクトリ配下のすべてに適用されます。

デフォルトのアクセス機能

ユーザには、ほとんどのファイルシステムの参照権限が付与されます。

/rootホームディレクトリのような一部のディレクトリの内容は、rootユーザのみが参照可能です。

一部のシステム設定ファイルはすべてのユーザが参照できますが、/etc/fstabのような最も重要なファイルは、rootのみが読み込みおよび変更できます。

ユーザは、ユーザ自身がトラスティ(またはトラスティであるグループのメンバ)であるディレクトリおよびファイルのみを参照できます。

ホームディレクトリ—デフォルトのアクセス機能の例

デフォルトでは、すべてのユーザはホームディレクトリのディレクトリおよびファイルの名前を参照できます。

LUMのインストールの際に、新しく作成されるホームディレクトリを個人秘に指定することができます。

既存のホームディレクトリを個人秘するための詳細については、「セクション 17.4.2, 個人秘作業ディレクトリの提供」を参照してください。

デフォルトでは、システム管理者およびホームディレクトリの所有者のみが、ホームディレクトリを参照できます。ディレクトリの中のファイルはセキュリティで保護されています。

ファイルを他人と共用する場合は、個々のファイルにトラスティ割り当てを付与できます。あるいは、共用サブディレクトリを作成して、それにトラスティを割り当てることもできます。

親からの継承

継承されるものはありません。

ディレクトリまたはファイルのパーミッションの付与は、そのディレクトリまたはファイルのみに影響します。

特別に再割り当てされない限り、権限はすべての子サブディレクトリおよびファイルに継承されます。

トラスティ割り当によって、1つのユーザに大量のサブディレクトリおよびファイルへの権限を与えることが可能な場合があります。

プライバシー

上述した理由により、ユーザはほとんどのファイルシステムを参照するパーミッションを持っているので、ディレクトリおよびファイルを個人秘にした場合にのみ、それらが個人秘となります。

ディレクトリとファイルはデフォルトで個人秘です。

サブディレクトリとファイルの可視性

ファイルまたはディレクトリに認可されたパーミッションは、そのファイルまたはディレクトリにのみ適用されます。ユーザは、rootに至るまでのパスにある親ディレクトリのパーミッションが付与(UID、GID、およびモードビットの設定)されない限り、その親ディレクトリを参照することはできません。

パーミッションが認可されると、パスにある各ディレクトリのすべての内容(サブディレクトリおよびファイル)を参照できます。

ファイルまたはディレクトリへのトラスティ割り当てがユーザに与えられると、ユーザは、rootまでのパスにある各親ディレクトリを自動的に参照できるようになります。しかし、ユーザはそれらのディレクトリの内容を参照することはできません。権限を持ったパスの参照のみです。

従来型LinuxまたはNSSボリュームにNCPボリュームが作成した場合は、上述した動作の一部は異なります。詳細については、『OES 2: NCP Server for Linux Administration Guide』の、特に、NCP on Linux Securityの節を参照してください。

21.2.2 ユーザ制限—OES 2 Linuxのいくつかの制限

Seasoned NetWare管理者がユーザに対して常習的に課すことのできるアクセス制限は、次のようにいくつかあります。

  • アカウントバランス制限

  • アドレス制限

  • 不正侵入者ロックアウト

  • ログイン制限

  • パスワード制限

  • 時間制限

ここに挙げた制約を課す管理インタフェース(たとえば、iManager)はその多くが、こうした制約を任意のプロトコルによってOES 2サーバにアクセスするユーザに適用されると考えて差し支えありません。

このことは概して事実ですが、重要な例外として次の2点が挙げられます。

  • ログイン制限時の同時接続の最大数

  • アドレス制限

ここで具体的に挙げた2つの制限が課されるのは、NCPを使用してサーバにアクセスするユーザのみです。同時接続やアドレスに関する制限は、他のアクセスプロトコル(たとえば、HTTPやCIFS)経由での接続に対してはいっさい課されません。

この理由から、Linux User Managementのセットアップ時には、LUMのSSHやFTPなどのサービスを無効にすることを検討することをお勧めします。SSHおよびLUMの詳細については、「セクション 11.4, OES 2 Linux上のSSHサービス」を参照してください。

Linux User Managementの詳細については、「LUM (Linux User Management): eDirectoryユーザのためのLinuxへのアクセス」を参照してください。PAM対応が可能なサービスの詳細については、表 15-1を参照してください。