Systemwalker Centric Manager ソリューションガイド セキュリティ編 - UNIX/Windows(R)共通 -

^[EE/GEE]
4.2.3 配付ポリシーを設計する【UNIX版】

サーバ操作制御機能の配付ポリシーを作成するためには、現在の運用を見直し、どのような作業目的で誰が具体的にどのコマンドを利用しているかを明らかにする必要があります。その上で、サーバ操作制御の配付ポリシーとして適用可能な形に整える作業が必要です。

以下に、現在の運用を分析し、配付ポリシーを作成するまでの作業を説明します。

■運用時に使用するコマンドを分析する

サーバごとに日々の運用で必要なコマンドを洗い出し、そのコマンドを誰が使用するかを明確にします。

一般的な方法としては、通常業務を行っているオペレータを業務の種類ごとに分類し、業務ごとに必要となる作業を明確にした後、作業を行うための具体的なコマンドを明確にします。また、コマンドによってはコマンドのオプションにより動作が異なる場合があるため、必要に応じてオプションも明らかにします。

以下に例を示します。

[使用コマンド分析シート]

ホスト名	コマンド実行契機	必要なコマンド	ユーザ名	ホスト上のアカウント名
host1	バックアップ時	/usr/sbin/ufsdump /usr/sbin/shutdown	川崎 太郎 横浜 次郎	kawasaki yokohama
	人事異動時	/usr/sbin/useradd /usr/sbin/usermod /usr/sbin/userdel	川崎 太郎 沼津 五郎	kawasaki numazu
host2	バックアップ時	/usr/sbin/ufsdump /usr/sbin/shutdown	川崎 太郎 名古屋 三郎	kawasaki nagoya
	月次メンテナンス	/usr/sbin/ufsdump /usr/sbin/shutdown /usr/sbin/share /usr/sbin/mount	川崎 太郎 神戸 四郎 石川 六郎	kawasaki kobe ishikawa

利用コマンドを分析する際、コマンドのオプションについても考慮し、コマンドを洗い出す必要があります。

 

■配付ポリシーを検討する

1. 実行を許可するコマンドを抽出するために“[使用コマンド分析シート]”で重複するコマンドをまとめます。

   必要なコマンド	ホスト名	ユーザ名	ホスト上のアカウント名
   /usr/sbin/ufsdump /usr/sbin/shutdown	host1	川崎 太郎 横浜 次郎	kawasaki yokohama
   	host2	川崎 太郎 名古屋 三郎 神戸 四郎 石川 六郎	kawasaki nagoya kobe ishikawa
   /usr/sbin/useradd /usr/sbin/usermod /usr/sbin/userdel	host1	川崎 太郎 沼津 五郎	kawasaki numazu
   /usr/sbin/share /usr/sbin/mount	host2	川崎 太郎 神戸 四郎 石川 六郎	kawasaki kobe ishikawa

2. まとめたコマンド群（監視コマンドグループ）に名前を付けます。

   [配付ポリシー設計コマンド群抽出シート]

   監視コマンドグループ名	必要なコマンド	ホスト名	ユーザ名	ホスト上のアカウント名
   BackupCommands	/usr/sbin/ufsdump /usr/sbin/shutdown	host1	川崎 太郎 横浜 次郎	kawasaki yokohama
   		host2	川崎 太郎 名古屋 三郎 神戸 四郎 石川 六郎	kawasaki nagoya kobe ishikawa
   UserManagementCommands	/usr/sbin/useradd /usr/sbin/usermod /usr/sbin/userdel	host1	川崎 太郎 沼津 五郎	kawasaki numazu
   FileSystemCommands	/usr/sbin/share /usr/sbin/mount	host2	川崎 太郎 神戸 四郎 石川 六郎	kawasaki kobe ishikawa

3. ユーザごとの役割を決めます。

   役割	ホスト名	ユーザ名	ホスト上のアカウント名
   バックアップオペレータ	host1	川崎 太郎 横浜 次郎	kawasaki yokohama
   	host2	川崎 太郎 名古屋 三郎 神戸 四郎 石川 六郎	kawasaki nagoya kobe ishikawa
   ユーザ管理者	host1	川崎 太郎 沼津 五郎	kawasaki numazu
   メンテナンスオペレータ	host2	川崎 太郎 神戸 四郎 石川 六郎	kawasaki kobe ishikawa

4. 共通する役割を抽出します。

   以下の例では、ユーザ“川崎太郎”は、サーバ管理者としていずれのコマンドも実行可能であるため、“サーバ管理者”という役割を抽出しています。

   役割	ホスト名	ユーザ名	ホスト上のアカウント名
   サーバ管理者	host1	川崎 太郎	kawasaki
   	host2	川崎 太郎	kawasaki
   バックアップオペレータ	host1	横浜 次郎	yokohama
   	host2	名古屋 三郎 神戸 四郎 石川 六郎	nagoya kobe ishikawa
   ユーザ管理者	host1	沼津 五郎	numazu
   メンテナンスオペレータ	host2	神戸 四郎 石川 六郎	kobe ishikawa

5. それぞれの役割にセキュリティロール名を付けます。

   [配付ポリシー設計セキュリティロールシート]

   セキュリティロール名	役割	ホスト名	ユーザ名	ホスト上のアカウント名
   ServerManager	サーバ管理者	host1	川崎 太郎	kawasaki
   		host2	川崎 太郎	kawasaki
   BackupOperator	バックアップオペレータ	host1	横浜 次郎	yokohama
   		host2	名古屋 三郎 神戸 四郎 石川 六郎	nagoya kobe ishikawa
   UserManager	ユーザ管理者	host1	沼津 五郎	numazu
   MaintenanceOperator	メンテナンスオペレータ	host2	神戸 四郎 石川 六郎	kobe ishikawa

6. [配付ポリシー設計コマンド群抽出シート]で抽出した監視コマンドグループに割り当てるセキュリティロールを記入します。

   [配付ポリシー設計監視コマンドグループ×セキュリティロール関係シート]

   ホスト名	監視コマンドグループ名	許可コマンド	セキュリティロール名
   host1	BackupCommands	/usr/sbin/ufsdump /usr/sbin/shutdown	BackupOperator ServerManager
   	UserManagementCommands	/usr/sbin/useradd /usr/sbin/usermod /usr/sbin/userdel	UserManagement ServerManager
   host2	BackupCommands	/usr/sbin/ufsdump /usr/sbin/shutdown	BackupOperator ServerManager
   	FileSystemCommands	/usr/sbin/share /usr/sbin/mount	MaintenanceOperator ServerManager

[配付ポリシー設計セキュリティロールシート]と[配付ポリシー設計監視コマンドグループ×セキュリティロール関係シート]に沿って、配付ポリシーを作成し、被監視サーバに配付・適用することで、各コマンドは、許可されたユーザでのみ実行可能となります。

swexecコマンドで実行を許可するコマンドの設定には注意が必要です。一般ユーザで実行するコマンドにswexecコマンドによる実行許可を与えると配付ポリシーで定義した実効ユーザで実行されます。このため、設定内容によっては、実効ユーザがrootなど一般ユーザよりも強力なユーザとなってしまうため細心の注意が必要です。特にvi、emacs、crontabなどのエディタまたはエディタを起動するコマンドは実行許可コマンドとして定義しないようにし、録画機能ですべての操作を記録してください。