ページの先頭行へ戻る
Systemwalker Centric Manager 使用手引書 セキュリティ編
第3部 セキュリティを強化するためのSystemwalkerの設定 > 第8章 [Systemwalkerコンソール]の操作を制限する > 8.1 [Systemwalkerコンソール]のアクセス権の考え方
前次

8.1 [Systemwalkerコンソール]のアクセス権の考え方

Systemwalker Centric Managerは、セキュリティのため、画面のアクセス権やツリーへのアクセス権をユーザごとに定義することができます。ここでは、以下の構成でアクセス権の定義方法を説明します。

[Systemwalkerコンソール]のアクセス権

Systemwalker Centric Managerの各機能を利用するために必要な権限を、利用者ごとに設定することができます。Systemwalker Centric Managerは、ロールという単位で各機能の利用権限を定義しています。ロールとは、共通の役割(権限)を持つ利用者から構成されるグループのことです。Systemwalker Centric Managerをインストールすると、以下のロールが登録されます。

表8.1 機能の使用を許可するためにユーザを所属させるロール

ロール名

説明

使用機能

DmAdmin

監視機能の管理系ロール

[Systemwalkerコンソール]

DmOperation

監視機能の操作系ロール

DmReference

監視機能の参照系ロール

OrmOperation(注)

返答機能の操作系ロール

返答操作のコマンド

SecurityAdmin

セキュリティ管理者

[Systemwalkerコンソール]、サーバアクセス制御、監査ログ分析を使用するには同時にDmReference、DmOperationまたはDmAdminロールに所属している必要があります。

SecurityAuditor

セキュリティ監査者

注)Solaris版、Linux版で登録されます。

管理者は、ユーザを上記のロールに適宜所属させてください。所属させるロールの種類により、ユーザが使用できる機能と利用権限が決まります。ロールと利用可能な機能の関係は、以下のとおりです。

“機能の使用を許可するためにユーザを所属させるロール”に記載したロールに所属していない一般のユーザは、Systemwalker Centric Managerの機能を使用できません。[Systemwalkerコンソール]を起動するユーザを、“機能の使用を許可するためにユーザを所属させるロール”に記載したロールに所属させるか、Administratorsグループに所属させてください。

[Systemwalkerコンソール]を起動するユーザについては、“Systemwalker Centric Manager 使用手引書 監視機能編”の“Systemwalkerの利用者権限を定義する”を参照してください。

【UNIXの場合】

スーパーユーザは、セキュリティ情報の設定(ロールへの所属、ツリーに対するアクセス権の設定)の実施にかかわらず、アクセス制御の対象外として常に更新権を持つユーザとして扱われます。

【Windows(R)の場合】

Administratorsグループに所属するユーザは、セキュリティ情報の設定(ロールへの所属、ツリーに対するアクセス権の設定)の実施にかかわらず、アクセス制御の対象外として常に更新権を持つユーザとして扱われます。

注意

運用管理クライアントから以下の運用管理サーバへ接続する場合の注意事項

  • Windows Server 2003 STD

  • Windows Server 2003 DTC

  • Windows Server 2003 EE

  • Windows Server 2008 STD

  • Windows Server 2008 DTC

  • Windows Server 2008 EE

  • Windows Server 2008 for Itanium-Based Systems

  • Windows Server 2008 Foundation

  • Windows Server 2008 R2

OSのセキュリティポリシーで、「アカウントの空のパスワードの使用をコンソールログオンのみに制限する」を「有効」としていた場合、パスワードが空のアカウントは、Systemwalker Centric Managerのユーザ認証でエラーとなります。

運用管理クライアントがインストールされたWindows端末にログオンする場合

運用管理クライアントがWindows(R) XP、Windows Vista、またはWindows 7の場合は、運用管理クライアントのDmAdmin、DmOperation、DmReference、またはAdministratorsのどれかのグループに所属するローカルユーザでWindows端末にログオンする必要があります。

ただし、Windows VistaまたはWindows 7で、ユーザアカウント制御(UAC)が有効になっている場合には、DmAdmin、DmOperation、またはDmReferenceのどれかのグループに所属するローカルユーザでWindows端末にログオンする必要があります。

運用時には、DmReferenceグループに所属するローカルユーザでWindows端末にログオンすることを推奨します。

セキュリティを高めた監視を行う場合の設定

以下の運用を検討されている場合、セキュリティをより高めた監視を行うことを推奨します。

  1. 監視ツリーごとにオペレータを分けて監視を行う場合

  2. 同一の監視ツリーを複数のオペレータが監視するが、オペレータごとに作業、または監視対象が異なる場合

  3. オペレータごとに使用できる[Systemwalkerコンソール]のメニューを限定したい場合

  4. オペレータごとに監視するノードなどのオブジェクトを限定したい場合

セキュリティをより高めた監視を行うには、以下の設定を行ってください。

ユーザ権限の設定

管理者、オペレータ、および資源配付の管理者（資源配付のオペレータを含む）のユーザ名をそれぞれ決定してください。各ユーザの役割は、以下のとおりです。

管理者およびオペレータに対して、それぞれ以下の設定を行ってください。

メニュー抑止の設定

以下のメニューについて、上記「ユーザ権限の設定」の「オペレータ」が実行できないようにするため、DmAdminロールに所属するユーザのみが実行できるようコンソール操作制御機能で設定してください。定義方法は、“コンソール操作制御機能で認証する”を参照してください。

[オブジェクト]メニュー

[イベント]メニュー

[操作]メニュー

注）操作メニュー登録画面または、「mpaplreg(監視画面のメニュー項目登録コマンド)」から登録したメニューです。

上記のメニューは、表示している監視ツリーに含まれないオブジェクトについて参照/操作/更新が可能です。監視ツリーに含まれないオブジェクトを参照/操作/更新させない運用をするために、本設定を行う必要があります。

インベントリ情報を参照する機能を使用する場合

以下の画面および機能においてインベントリ情報を参照するには、コンソール操作制御機能が運用中でない場合に使用してください。

前次
Copyright 1995-2010 FUJITSU LIMITED