Jump to content 日本-日本語
日本HPホーム 製品 & サービス サポート & ドライバー ソリューション ご購入方法
お問い合わせ

製品とサービス  >  ソフトウェアとOS  >  HP-UX   >  Knowledge-on-Demand  >  知っておくべきセキュリティ対策

知っておくべきセキュリティ対策
-HP-UXのセキュリティを極める-

第6回 RBACによる権限分掌

HP-UX/Integrityサーバー お問い合せ
コンテンツに進む
第6回 RBACによる権限分掌
知っておくべきセキュリティ対策 -HP-UXのセキュリティを極める- 第6回
IT統制の敵は「rootの使い回し」
RBAC管理の実際
ページ:  戻る   |   1   2

RBAC管理の実際

以下の図は、RBACで用いる管理コマンドの位置づけを示したものだ。
RBACの管理コマンド
図1:RBACの管理コマンド

ここで示す3つのコマンドは、それぞれ以下の役割を担う。
  • roleadm――ロールの追加・削除、ユーザとロールの関連付け、解除
  • authadm――認可権限の追加・削除、ロールと認可権限の関連付け、解除
  • cmdprivadm――認可権限とコマンドの関連付け、解除
一方、これらのコマンドと同様のRBAC管理作業は、HP-UXに備わる管理ツール「System Management Homepage(SMH)」でも実施できる。※SMHからの管理やprivshを使用するにはAccessControlが必要です。

ここでは例として、先月紹介した「audsys」コマンドの利用権限を持つ「Auditor(監査管理者)」ロールを定義する例を紹介しよう。まずはSMHの「Tools」ページにある「Role Based Access Control」という項目にて「Configure Roles」を選択する。

SMHによるRBAC設定
図2:SMHによるRBAC設定

ここで表示される「RBAC Configuration」画面の「Roles」タブにて、「Add New Role」を選択し、「Role Name」として追加するロールの名称「Auditor」を入力したのちに「Add」ボタンをクリックする。こうして追加したAuditorロールを選択し、「Assign Authorizations」をクリックして認可権限を割り当てる。ここでは、「audit」というキーワードで認可権限を検索し、audsysの一連のコマンドを利用するために必要な3種類の認可権限をAuditorロールに割り当てる。
ロールに対する権限の設定
図3:ロールに対する権限の設定

一方、こうして設定したAuditorロールを個々のユーザに割り当てるには、「Assign Users」をクリックし、対象となるユーザ・アカウントを選択する。
ユーザに対するロールの設定
図4:ユーザに対するロールの設定

こうして一般ユーザに対してaudsys管理のための認可権限を与えることで、root以外のアカウントでもaudsysの各種コマンドを実行可能となる。ただし、すぐにaudsysコマンドを直接利用できるわけではない。実際の例を見てみよう。

$ id
uid=110(suzuki) gid=20(users)
$ audsys
you do not have access to the auditing system

このアカウントsuzukiにはaudsys実行の認可権限が与えられているが、上記例のようにそのままでは直接起動できない。「privrun」コマンドをラッパーとして利用してaudsysを起動する必要がある。

$ privrun audsys
warning: /etc/audit/audnames does not exist
auditing system is currently off
current trail: ** unknown **
next    trail: ** unknown **
statistics-     afs Kb  used Kb  avail %    fs Kb  used Kb  avail %
current trail:        ** no data available **
next    trail:        ** no data available **

auditing system, when enabled, will write to 1 file(s)

また、アカウントのログインシェルを「privsh」に変更することで、privrunコマンドなしでも直接対象の管理コマンドを起動できるようになる。

$ chsh suzuki /usr/bin/privsh

このprivshを使えば、rootアカウントと同じように各種の管理コマンドを直接起動できるため、これまでrootアカウントを使っていた場合と変わらない使い勝手を実現できる。
またRBACでは、管理者が一時的に離席した場合に他人がシェルを不正利用することを防ぐために、「再認証機能」を備えている。これは、認可権限を持つコマンドであっても、実行時に逐一パスワードを要求する仕組みだ。
再認証設定
図5:再認証設定

上図のように、SMH上で再認証設定を実施しておけば、例えばsuzukiアカウントにてaudsysコマンドを実行する場合にも毎回パスワード入力が必要となる。

$ audsys
Password: ←パスワードを要求
auditing system is currently on
current trail: /tmp/audout
next    trail: none
statistics-     afs Kb  used Kb  avail %    fs Kb  used Kb  avail %
current trail:     2048      692       66 19251200  8563472       56
next    trail: none

auditing system is actively writing to 1 file(s)

以上、今回はRBACによる権限分掌の実際を紹介した。ここで見たとおり、RBACはSMHのGUIを通じて簡単に設定できるうえ、privshを使えば従来どおりの使い勝手を再現できる。こうした簡単な設定作業だけで、冒頭で述べたようなセキュリティ・リスクを低減できることがおわかりいただけたはずだ。

関連資料

 
HP-UXにおける役割ベースのアクセス制御 (PDF 1.21MB)
 

連載記事一覧 戻る ページ:  戻る   |   1   2

連載 「知っておくべきセキュリティ対策 -HP-UXのセキュリティを極める-」記事一覧

第1回 セキュリティの『多層防御』とHP-UX
第2回 EVFSとTCSによるデータ暗号化
第3回 PS-WSでつくるセキュアなWebサーバー
第4回 Bastilleによるシステムアセスメント
第5回 audsysとHIDSによる監査と侵入検知
第6回 RBACによる権限分掌
第7回 LDAPによるアカウント統合化

 その他の連載記事


本ページの内容は執筆時の情報に基づいており、異なる場合があります。

お問い合わせ

ご購入前のお問い合わせ


ご購入後のお問い合わせ

オンラインサポート
製品の標準保証でご利用いただける無償のサービスです。

ショールーム

ショールーム 導入をご検討のお客様へ
業務アプリケーションの継続・標準化・開発性とシステム担当者様、システム開発者様が抱える悩み・疑問に対する解決策実体験して頂けます。
印刷用画面へ
プライバシー ご利用条件・免責事項 ウェブマスターに連絡