Caché セキュリティの準備

Windows ドメイン・コントローラでの Windows Caché サーバのサービス・アカウントの作成

Caché を Windows ドメインにインストールする前に、Windows ドメイン管理者は、Windows ドメイン・コントローラを使用する Windows マシン上の各 Caché サーバ・インスタンスに対してサービス・アカウントを作成する必要があります。

Windows ドメイン・コントローラでの非 Windows Caché　サーバのサービス・アカウントの作成

Caché を Windows ドメインにインストールする前に、Windows ドメイン・コントローラを使用するためのサービス・アカウントを非 Windows マシン上の各 Caché サーバに対して作成する必要があります。そのマシン上に存在する Caché サーバ・インスタンスの数にかかわらず、マシンごとにサービス・アカウントを 1 つ作成してください。

通常、これらのアカウントには “cacheHOST” という名前を付けます。cache という文字列の後に、ホスト・コンピュータ名を大文字で指定してください。例えば、UNIXSRVR という非 Windows マシン上で Caché サーバを実行する場合、ドメイン・アカウント名は cacheUNIXSRVR となります。非 Windows プラットフォーム上の Caché サーバの場合、このアカウントが Kerberos サービス・プリンシパルにマップされます。

Windows ドメインで非 Windows Caché サーバを設定するには、Windows ドメインから keytab ファイルを取得する必要があります。keytab ファイルは、Caché サーバのサーバ名とそのキーが格納されているファイルです。

そのためには、Windows サービス・アカウント (この例では cacheUNIXSRVR) をCaché サーバ上のサービス・プリンシパルにマップし、ドメイン・コントローラで ktpass コマンドライン・ツールを使用して、アカウントからキーを取得します。これは、Windows サポート・ツールの 1 つとして Microsoft が提供しています。

このコマンドを実行すると、設定したアカウントが UNIX®/Linux マシン上のアカウントにマップされます。さらに、そのアカウントのキーも生成されます。このコマンドでは以下のパラメータを指定する必要があります。

キー・ファイルを生成した後、Caché サーバ上のファイルにそのキー・ファイルを移動します。キー・ファイルの特徴は次のセクションで説明されています。

KDC での非 Windows Caché　サーバのサービス・プリンシパルの作成

非 Windows 環境では、UNIX®/Linux または macOS の KDC を使用する UNIX®/Linux または macOS の各 Caché サーバにサービス・プリンシパルを作成する必要があります。サービス・プリンシパル名は、cache/<fully qualified hostname>@<kerberos realm> の形式で表されます。

Windows Kerberos クライアントの構成

Windows クライアントで Kerberos を使用している場合、ユーザに資格情報の入力を求めないよう、クライアントの構成が必要になることもあります。これは、資格情報を要求できないプログラムを使用している場合に必要となります。そうでないと、プログラムは接続不可能となります。

資格情報の入力を求めないように Windows を構成するには、以下の手順を実行します。

1. Windows クライアント・マシンで、レジストリ・エディタ regedit.exe を起動します。

2. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\Kerberos\Parameters キーに進みます。

3. このキーで、AllowTgtSessionKey の値を 1 に設定します。

Kerberos KDC 機能のテスト

非 Windows のサーバとクライアントのみで構成したシステムで Kerberos を使用する場合は、Windows のドメイン・コントローラを使用するより、UNIX®/Linux のネイティブな KDC を使用した方が簡単です。KDC のインストール方法と構成方法については、各ベンダのドキュメントを参照してください。通常、KDC のインストールと構成はシステム管理者が行います。

Kerberos をインストールするときは、以下の 2 つのソフトウェア・セットをインストールします。

• KDC。Kerberos サーバ・マシンにインストールします。

• クライアント・ソフトウェア。Kerberos クライアントをホストするすべてのマシンにインストールします。このソフトウェア・セットは、オペレーティング・システムによって大きく異なる場合があります。クライアント・ソフトウェアの種類とそのインストール方法については、オペレーティング・システム・ベンダのドキュメントを参照してください。

必要な Kerberos ソフトウェアをインストールしたら、kadmin、kinit、および klist コマンドを使用した簡単なテストを実行できます。これらのコマンドは、ユーザのプリンシパルを Kerberos データベースに追加し、ユーザの TGT (Ticket-Granting Ticket) を取得した上で、その TGT を列記します。

テストが完了し、登録されたプリンシパルのチケットを Kerberos が提供できることを確認したら、Caché をインストールする準備は完了です。

初期のユーザ・セキュリティ設定

以下のテーブルは、事前定義されたユーザのユーザ・パスワード要件と設定を選択したセキュリティ・レベルごとに示しています。

パスワード・パターンと不活動上限値の両方とも、システム管理ポータルの システム, システム管理, システムセキュリティ設定, システムワイドセキュリティパラメータ ページから管理できます。詳細は、"Caché セキュリティ管理ガイド" の “システム管理およびセキュリティ” の章にある "システム規模のセキュリティ・パラメータ" のセクションを参照してください。

インストール後、ユーザ設定は、システム管理ポータルの システム, セキュリティ管理, ユーザ ページで表示および管理できます。

初期のサービス・プロパティ

サービスは、ユーザとコンピュータが Caché に接続するための主要な手段です。Caché サービスの詳細は、"Caché セキュリティ管理ガイド" の “サービス” の章を参照してください。

* Windows サーバのみで使用できるサービス

† 非 Windows サーバのみで使用できるサービス

インストール後、これらのサービスは、システム管理ポータルの システム, セキュリティ管理, サービス ページで表示および管理できます。

ユーザ・アカウントの構成

初期のセキュリティ設定として通常またはロック・ダウンを選択した場合は、インストール手順で追加の情報を指定する必要があります。

1. [資格情報] (Windows サーバ環境にインストールする場合のみ) — Caché サービスを実行する既存の Windows ユーザ・アカウントを選択します。既定のシステム・アカウント (Windows ローカル・システム・アカウントとして Caché を実行) を選択するか、または定義された Windows ユーザ・アカウントを入力できます。

   Important:

   Kerberos を使用する場合は、Caché サービスを実行するために設定した定義済みのアカウントを入力する必要があります。"Windows Caché サーバのサービス・プリンシパルの作成" のセクションで説明したように、この目的のために特別に設定したアカウントを使用することをお勧めします。

   定義済みのユーザ・アカウントを入力すると、インストールによって以下の事項が検証されます。

   • そのアカウントがドメインに存在するかどうか。

   • 入力したパスワードが正しいかどうか。

   • そのアカウントに、サーバ・マシンに対するローカル管理者特権が与えられているかどうか。

2. [Caché　ユーザ設定] (Windows 環境にインストールする場合) — Caché をインストールしているユーザ向けに、%All ロールを持つ Caché アカウントが作成され、Caché の管理に必要なサービスへのアクセス権がそのユーザに付与されます。

   [インスタンスの所有者] (非 Windows 環境にインストールする場合) — Caché を実行するユーザの名前を入力します。Caché は、そのユーザに対して、%All ロールを持つアカウントを作成します。

   そのアカウントのパスワードを入力し、確認のために同じパスワードを再度入力します。パスワードは、"初期のユーザ・セキュリティ設定" の一覧に示した条件を満たしている必要があります。

   Caché アカウントとして、指定したパスワードを使用して、_SYSTEM、Admin、SuperUser、CSPSystem、およびインスタンスの所有者 (Windows にインストールしたユーザまたはその他のプラットフォームの指定されたユーザ) が作成されます。

Caché のインストールについては、このドキュメントの該当するプラットフォームの章を参照してください。"Caché セキュリティ管理ガイド" の説明を参照し、このセクションの手順を実行した上で、インストール手順に必要なセキュリティ情報を指定してください。