ページの先頭行へ戻る
Systemwalker Centric Manager 使用手引書 セキュリティ編
FUJITSU Software
第3部 セキュリティを強化するためのSystemwalkerの設定 > 第8章 Systemwalkerコンソールの操作を制限する > 8.1 Systemwalkerコンソールのアクセス権の考え方
前次

8.1 Systemwalkerコンソールのアクセス権の考え方

Systemwalker Centric Managerは、セキュリティのため、画面のアクセス権やツリーへのアクセス権をユーザごとに定義することができます。ここでは、以下の構成でアクセス権の定義方法を説明します。

Systemwalkerコンソールのアクセス権

Systemwalker Centric Managerの各機能を利用するために必要な権限を、利用者ごとに設定することができます。Systemwalker Centric Managerは、ロールという単位で各機能の利用権限を定義しています。ロールとは、共通の役割(権限)を持つ利用者から構成されるグループのことです。Systemwalker Centric Managerをインストールすると、以下のロールが登録されます。

表8.1 機能の使用を許可するためにユーザを所属させるロール

ロール名

説明

使用機能

DmAdmin

監視機能の管理系ロール

Systemwalkerコンソール、
Systemwalker Webコンソールの監視機能
リモート操作(注2)

DmOperation

監視機能の操作系ロール

DmReference

監視機能の参照系ロール

OrmOperation
(注1)

返答機能の操作系ロール

返答操作のコマンド

SecurityAdmin

セキュリティ管理者

Systemwalkerコンソール、サーバアクセス制御、監査ログ分析を使用するには同時にDmReference、DmOperationまたはDmAdminロールに所属している必要があります。

SecurityAuditor

セキュリティ監査者

注1)
Solaris版、Linux版で登録されます。
注2)
「クライアント」以外のインストール種別でインストールした場合にロール設定が必要です。

管理者は、ユーザを上記のロールに適宜所属させてください。所属させるロールの種類により、ユーザが使用できる機能と利用権限が決まります。ロールと利用可能な機能の関係は、以下のとおりです。

“機能の使用を許可するためにユーザを所属させるロール”に記載したロールに所属していない一般のユーザは、Systemwalker Centric Managerの機能を使用できません。

Systemwalkerコンソールを起動するユーザおよびリモート操作エキスパート/リモート操作クライアントが動作するWindows端末にログオンするユーザを、“機能の使用を許可するためにユーザを所属させるロール”に記載したロールに所属させてください。ただし、ユーザアカウント制御(UAC)が無効になっている場合には、Administratorsグループに所属させることでも使用できます。

Systemwalkerコンソールを起動するユーザについては、“Systemwalker Centric Manager 使用手引書 監視機能編”の“Systemwalkerの利用者権限を定義する”を参照してください。

【UNIXの場合】

【Windows(R)の場合】

Administratorsグループに所属するユーザは、セキュリティ情報の設定(ロールへの所属、ツリーに対するアクセス権の設定)の実施にかかわらず、アクセス制御の対象外として常に更新権を持つユーザとして扱われます。

注意

運用管理クライアントからWindows Server 2008以降の運用管理サーバへ接続する場合の注意事項

OSのセキュリティポリシーで、「アカウントの空のパスワードの使用をコンソールログオンのみに制限する」を「有効」としていた場合、パスワードが空のアカウントは、Systemwalker Centric Managerのユーザ認証でエラーとなります。

Systemwalkerコンソールを起動するWindows端末にログオンする場合

Systemwalkerコンソールを起動するWindows端末のDmAdmin、DmOperation、DmReference、またはAdministratorsのどれかのグループに所属するローカルユーザでWindows端末にログオンする必要があります。

ただし、ユーザアカウント制御(UAC)が有効になっている場合には、DmAdmin、DmOperation、またはDmReferenceのどれかのグループに所属するローカルユーザでWindows端末にログオンする必要があります。

運用時には、DmReferenceグループに所属するローカルユーザでWindows端末にログオンすることを推奨します。

セキュリティを高めた監視を行う場合の設定

以下の運用を検討されている場合、セキュリティをより高めた監視を行うことを推奨します。

  1. 監視ツリーごとにオペレータを分けて監視を行う場合

  2. 同一の監視ツリーを複数のオペレータが監視するが、オペレータごとに作業、または監視対象が異なる場合

  3. オペレータごとに使用できるSystemwalkerコンソールのメニューを限定したい場合

  4. オペレータごとに監視するノードなどのオブジェクトを限定したい場合

セキュリティをより高めた監視を行うには、以下の設定を行ってください。

ユーザ権限の設定

管理者、オペレータ、および資源配付の管理者（資源配付のオペレータを含む）のユーザ名をそれぞれ決定してください。各ユーザの役割は、以下のとおりです。

管理者およびオペレータに対して、それぞれ以下の設定を行ってください。

メニュー抑止の設定

以下のメニューについて、上記「ユーザ権限の設定」の「オペレータ」が実行できないようにするため、DmAdminロールに所属するユーザのみが実行できるようコンソール操作制御機能で設定してください。定義方法は、“コンソール操作制御機能で認証する”を参照してください。

[オブジェクト]メニュー

[イベント]メニュー

[操作]メニュー

注）操作メニュー登録画面または、「mpaplreg(監視画面のメニュー項目登録コマンド)」から登録したメニューです。

上記のメニューは、表示している監視ツリーに含まれないオブジェクトについて参照/操作/更新が可能です。監視ツリーに含まれないオブジェクトを参照/操作/更新させない運用をするために、本設定を行う必要があります。

インベントリ情報を参照する機能を使用する場合

以下の画面および機能においてインベントリ情報を参照するには、コンソール操作制御機能が運用中でない場合に使用してください。

前次
Copyright 1995-2022 FUJITSU LIMITED