Caché インスタンスのセキュリティの強化

CSPSystem ユーザに %Service_CSP:Use 特権を付与

CSPSystem ユーザは、Caché インストール処理により作成されます。このユーザは、%Service_CSP サービスとのやり取りにおける CSP ゲートウェイを表します。サービスのアクセスは制限されるので、このユーザは、認証処理のために %Service_CSP:Use 特権を持つ必要があります。

%Service_CSP:Use 特権と CSPSystem ユーザを関連付けるには、以下の手順を実行します。

1. 管理ポータルのホーム・ページで、[ロール] ページ ([システム管理]→[セキュリティ]→[ロール]) に移動します。

2. [ロール] ページで、[新規ロール作成] をクリックします。[ロール編集] ページが表示されます。このページでは、[名前] フィールドが編集可能になっています。

3. %Service_CSP:Use 特権が含まれるように、ロールの名前を入力します (例 ： “GatewayRole”)。

4. [保存] をクリックします。これにより、Caché でロールが作成されました。

5. [ロール編集] ページの [一般] タブにある [特権] セクションで、[追加] をクリックします。このロールについて使用可能なリソースのリストが表示されます。

6. このリストで [%Service_CSP] をクリックし、次に [保存] をクリックします。新たに作成されたロールには、%Service_CSP:Use 特権が含まれるようになります。

7. [ロール編集] ページの [メンバ] タブを選択します。

8. このタブで、新しく作成したロールに CSPSystem ユーザを割り当てることができます。[使用可能] リストのユーザから [CSPSystem] をクリックし、右向き矢印をクリックして、[選択済み] に移動します。

9. [割り当てる] をクリックして、CSPSystem をロールに割り当てます。(つまり、CSPSystem はこのロールのメンバになります)。これは、CSPSystem が %Service_CSP:Use 特権を持っていることを意味します。

CSPSystem ユーザのパスワードを変更

最小セキュリティ・インストールでは、CSPSystem ユーザに対してパスワード “SYS” が与えられるので、このパスワードを攻撃者の知らないもの、または推測できないものに変更することが重要です。以下はその方法です。

1. 管理ポータルで、[ユーザ] ページ ([システム管理]→[セキュリティ] [ユーザ]) に移動します。

2. [ユーザ] ページの CSPSystem ユーザの行で、[CSP ゲートウェイユーザ] の名前をクリックします。[ユーザ編集] ページが表示されます。

3. [パスワード] フィールドに CSPSystem に対する新しいパスワードを入力します。他のユーザは誰もこのパスワードを覚える必要はないので、必要なだけ長く、複雑にすることができます。

4. [パスワード確認] フィールドに新しいパスワードを再度入力して確認し、[保存] をクリックします。ポータルからエラー・メッセージやダイアログが表示されない場合、パスワードの変更は正常に行われています。

必要に応じて、前の手順で認証のために作成されたロールに CSPSystem が割り当てられていることを確認することもできます。このためには、[ロール] タブをクリックします。[CSPSystem が割り当てられているロール] という名前の列を持つテーブルには、新しく作成したロールが表示されるはずです。

ユーザ名とパスワードを提供するために CSP ゲートウェイを構成

パスワード認証を要求するように %Service_CSP が構成されるため、CSP ゲートウェイはユーザ名とパスワードのペアを提供する必要があります。適切な特権レベルを持つユーザをセットアップすると、ゲートウェイが提供できるユーザ名とパスワードのペアが作成されます。次の手順では、Caché サーバから要求されたときに、このユーザ名とパスワードのペアを提供できるようにゲートウェイを構成します。以下はその方法です。

1. 管理ポータルで、[Caché Server Pages - ウェブゲートウェイ管理] ページ ([システム管理] > [構成] > [CSP ゲートウェイ管理])　に移動します。

2. [Caché Server Pages - ウェブゲートウェイ管理] ページで、左側のリストから [サーバ・アクセス] を選択します。[サーバ・アクセス] フレームが表示されます。

3. [サーバ・アクセス] フレームでは LOCAL サーバがハイライト表示されます。編集のために [実行] をクリックします。[サーバ・アクセス] パラメータや [エラー・ページ] パラメータの並んだページが表示されます。

4. このページには、[接続セキュリティ] セクションがあります。

5. [接続セキュリティ・レベル] ドロップダウンに [パスワード] が表示されていることを確認します。

6. [ユーザ名] フィールドに、「CSPSystem」と入力します。

7. [パスワード] および [パスワード (確認)] フィールドに、前のセクションで選択したパスワードを入力します。

8. ページの下部にある [設定を保存] をクリックします。

9. 管理ポータルに戻るには、左ペインにあるリスト下部の [管理ポータルに戻る] をクリックします。

パスワード認証を要求するように %Service_CSP を構成

ユーザ名とパスワードを提供するようにゲートウェイを構成し、CSPSystem ユーザに必要なレベルの特権を与えたら、次に、パスワードの認証を要求するように CSP を管理するサービス (%Service_CSP) を構成します。以下はその方法です。

1. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理]→[セキュリティ]→[サービス]) に移動します。

2. [サービス] ページで、[%Service_CSP] をクリックします。%Service_CSP の [サービス編集] ページが表示されます。

3. [サービス編集] ページの [許可された認証方法] で [認証なし] アクセスが無効化されていること、および [パスワード] アクセスが有効化されていること (別名 ： “Caché ログイン”) を確認します。[保存] をクリックします。

%Service_CSP:Use 特権のパブリック状態を削除

パスワード認証を要求する %Service_CSP と適切に承認されたユーザを使って認証を行うゲートウェイを使用して、次の手順では、%Service_CSP:Use がパブリックに使用できないようにします。以下はその方法です。

1. 管理ポータルのホーム・ページで、[リソース] ページ ([システム管理]→[セキュリティ]→[リソース]) に移動します。

2. [リソース] ページで、%Service_CSP に対応する行の [編集] をクリックします。%Service_CSP の [リソースの編集] ページが表示されます。

3. [パブリック許可] セクションで [使用] ボックスをオフにします。[保存] をクリックします。

パスワード認証のみを受け入れるように、管理ポータル・アプリケーションを構成

ゲートウェイと Caché サーバの間の接続に新しい認証メカニズムが使用されるようになったら、次に、これに見合ったメカニズムが使用されるように管理ポータル・アプリケーションを構成します。この例では Caché ログイン・メカニズムを使用します。ポータルの認証メカニズムを変更するための手順は以下のとおりです。

1. 管理ポータルのホーム・ページで、[ウェブ・アプリケーション] ページ ([システム管理]→[セキュリティ]→[アプリケーション]→[ウェブ・アプリケーション]) に移動します。

2. [ウェブ・アプリケーション] ページでは、/csp/sys アプリケーションは管理ポータルのホーム・ページを表します。このアプリケーションを編集するには、この行の名前 [/csp/sys] を選択します。/csp/sys アプリケーションの [ウェブ・アプリケーション編集] ページが表示されます。

3. [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

4. ポータルのその他のページと選択肢を構成するすべてのアプリケーションに対しても、[非認証] アクセスを無効にし、[パスワード] アクセスを有効にします。これらのアプリケーションには以下のものがあります。

   • /csp/sys/bi

   • /csp/sys/exp

   • /csp/sys/mgr

   • /csp/sys/op

   • /csp/sys/sec

これにより、ポータルの構成は、パスワード認証 (“Caché ログイン”) を要求し、非認証アクセスができないものになるので、各構成部分が整合性のある動作をします。次の手順では、関連するユーザがすべて、ポータルへの適切なアクセス権を持つことを確認します。

インスタンスのユーザに対して適切な権限レベルを指定

非認証アクセスを受け入れるようにポータルが構成されている場合、どのようなユーザでも UnknownUser として接続できます。最小セキュリティ・インストールでは UnknownUser は %All ロールのメンバになるので、ポータルからロックアウトされる心配はありません。ここで、ポータルによりパスワード認証が要求されるようになると、正当なユーザは %Operator ロール、%Manager ロール、または %All ロールのメンバとなる必要があります。

最小セキュリティ・インストールでは、SuperUser、Admin、_SYSTEM、および UnknownUser はすべて、このレベルの特権を持ちます。また、パスワードはすべて “SYS” です。

適切にユーザのセキュリティを確保する手順は以下のとおりです。

1. UnknownUser を無効化します。または、%All ロールから UnknownUser を削除します。

   • UnknownUser を無効化する手順は以下のとおりです。

     1. [ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) で、[名前] 列の下の [UnknownUser] をクリックします。UnknownUser に対応する [ユーザ編集] ページが表示されます。

     2. [ユーザ有効] フィールドをクリアし、[保存] をクリックします。

   • %All ロールから UnknownUser を削除するには、以下の手順を実行します。

     1. [ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) で、[名前] 列の下の [UnknownUser] をクリックします。UnknownUser に対応する [ユーザ編集] ページが表示されます。

     2. [ユーザ編集] ページの [ロール] タブに進みます。

     3. [UnknownUser が割り当てられているロール] テーブルの [%All] 行で、[削除] をクリックし、[保存] をクリックします。

   Important:

   UnknownUser を通じたアクセスの制限は広い範囲に影響を及ぼします。これは、インスタンスのユーザが十分な特権を持っていない場合に特に顕著です。

2. 認証されていない可能性のあるその他のユーザが、%All、%Developer、%Manager、%Operator、%SQL、または特権を付与されたその他のユーザ定義ロールのメンバではないことを確認します。このためには、%All ロールから UnknownUser を削除するのと類似した処理を行います

   (特権を付与するユーザ定義ロールは、%Admin... リソースのいずれか、%Development、または %Service もしくは %System リソースのいずれかに Use 許可を持つか、または %DB_CACHELIB もしくは %DB_CACHESYS に Write 許可を持つ可能性があります)。

3. ポータルへのアクセス権を持っているはずのユーザがすべて、%All、%Developer、%Manager、%Operator、%SQL、またはポータルへのアクセスを付与する任意のユーザ定義ロールに割り当てられていることを確認します。これらのユーザそれぞれについて、以下の手順を実行します。

   1. [ユーザ] ページ ([システム管理] > [セキュリティ] > [ユーザ]) で、[名前] 列の下にあるユーザの名前をクリックします。そのユーザに対応する [ユーザ編集] ページが表示されます。

   2. [ユーザ編集] ページの [ロール] タブに進みます。

   3. 目的のロールを [使用可能] から [選択済み] リストに移動します。このためには、ロールを選択し、右矢印ボタンをクリックし、[割り当てる] をクリックして、ユーザをロールに割り当てます。

4. SuperUser および Admin ユーザのパスワードを既定値から変更します。以下はその方法です。

   1. [ユーザ] ページ ([システム管理] > [セキュリティ] > [ユーザ]) で、[名前] 列の下にあるユーザの名前をクリックします。そのユーザに対応する [ユーザ編集] ページが表示されます。

   2. [新規パスワード入力] を選択します。

   3. [パスワード] フィールドに新しいパスワードを入力します。

   4. [パスワード (確認)] フィールドでパスワードを確認し、[保存] をクリックします。

ドキュメントやサンプルを使用可能にする

サービス、CSP ゲートウェイ、およびポータル・アプリケーションの構成が完了したら、ドキュメントやサンプル・プログラムを使用できるようにしましょう。以下はその方法です。

1. 管理ポータルのホーム・ページで、[ウェブ・アプリケーション] ページ ([システム管理] > [セキュリティ] > [アプリケーション] > [ウェブ・アプリケーション]) に移動します。

2. サンプル・アプリケーションを使用できるようにするには、以下の操作を実行します。

   1. [ウェブ・アプリケーション] ページでは、/csp/samples アプリケーションが Caché サンプル・アプリケーションです。このアプリケーションを編集するには、この行の [/csp/samples] を選択します。/csp/samples アプリケーションの [ウェブ・アプリケーション編集] ページが表示されます。

   2. [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

3. ドキュメントを使用できるようにするには、以下の操作を実行します。

   1. [ウェブ・アプリケーション] ページでは、/csp/docbook アプリケーションが Caché DocBook ドキュメント・アプリケーションです。このアプリケーションを編集するには、名前の [/csp/docbook] を選択します。/csp/docbook アプリケーションの [ウェブ・アプリケーション編集] ページが表示されます。

   2. [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

   3. [ウェブ・アプリケーション] ページに戻ります。

   4. [ウェブ・アプリケーション] ページでは、/csp/documatic アプリケーションが Caché ドキュメントのクラスリファレンス・アプリケーションです。このアプリケーションを編集するには、この行の [/csp/documatic] を選択します。/csp/documatic アプリケーションの [ウェブ・アプリケーション編集] ページが表示されます。

   5. [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

   Note:

   ドキュメントは 2 つの異なるアプリケーション (/csp/docbook および /csp/documatic) から構成されているので、それぞれ別々のパスワード・プロンプトを持ちます。

この手順を実行していない場合、サービスはパスワード・プロンプトを要求しますが、アプリケーションは非認証アクセスを試行します。これにより、%All に割り当てられているユーザを含め、すべてのユーザがドキュメントやサンプルにアクセスできなくなります。

新しいポリシーの施行を開始

この時点で、Caché インスタンスの構成は完了し、適切な動作をするようになっています。ただし、既存のすべての接続で、引き続き非認証アクセスが使用されています。新しいポリシーの施行を開始するには、次のイベントが発生しなければなりません。

• CSP ゲートウェイは、認証接続を確立する必要があります。

• また、すべてのユーザも認証接続を確立する必要があります。

有効なサービス数の制限

有効なサービス数を制限するには、以下の手順を実行します。

1. Caché インスタンスで必要なサービスを判断します。通常、これらは以下のとおりです。

   • ユーザ・アクセスの各形式で必要とされるサービス

   • 自動アクセスで必要とされるサービス

   • ローカルなプログラマ・モード・アクセスのための %Service_Console (Windows の場合) または %Service_Terminal (UNIX または UNIX® の場合)

2. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理] > [セキュリティ] > [サービス]) に移動します。

3. [サービス] ページで、必要のないサービスそれぞれの名前をクリックして選択します。選択したサービスの [サービス編集] ページが表示されます。

4. [サービス編集] ページで、[サービス有効] フィールドをクリアし、[保存] をクリックします。これで、このサービスは無効化されました。

必要のないサービスをすべて無効化すると、Caché への経路はサービスに必要な経路のみになります。

パブリック・サービス数の制限

各サービスはリソースに対応します。ほとんどの場合、リソースとサービスは同じ名前 (例 ： %Service_CSP) を持ちます。ただし、%Service_Bindings サービスは例外で、リソース %Service_Object および %Service_SQL と関連付けられています。サービスは、それに関連付けられているリソースの設定のため、パブリックです。したがって、サービスを非パブリックにする手順は、その他のリソースを非パブリックにする手順と同じです。これについては、"パブリック・リソース数の制限" のセクションで説明しています。

IP アドレスまたはマシン名を基準にしたサービスへのアクセスの制限

一部のサービスでは、IP アドレスやマシン名に従って、サービスへのアクセスを制限することができます。これは、“許可された接続” を制限する機能と言われます。この機能をサポートしているサービスは以下のとおりです。

• %Service_Bindings

• %Service_CSP

• %Service_CacheDirect

• %Service_ECP

• %Service_Monitor

• %Service_Shadow

• %Service_Weblink

既定では、サービスはすべてのマシンからの接続を受け入れます。サービスにアドレスやマシン名が関連付けられていない場合、このサービスはすべてのマシンからの接続を受け入れます。サービスが接続を受け入れるアドレスやマシン名が 1 つ以上指定されている場合、サービスはこれらのマシンからの接続のみ受け入れます。

この機能は、%Service_CallIn、%Service_ComPort、%Service_Console、%Service_DataCheck、%Service_Login、%Service_MSMActivate、%Service_Mirror、%Service_Telnet、および %Service_Terminal では使用できません。

IP アドレスを基準にサービスへのアクセスを制限するには、以下の手順に従います。

1. サービスへの正当なアクセスを持つマシンの IP アドレスを判断します。

2. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理]→[セキュリティ]→[サービス]) に移動します。

3. [サービス] ページで、IP アドレスを基準にアクセスを制限するサービスの名前を個別にクリックして選択します。選択したサービスの [サービス編集] ページが表示されます。

4. [サービス編集] ページの [許可された接続] セクションで、[新規追加] をクリックします。

5. 表示されたダイアログに、接続を許可する IP アドレスを入力します。[OK] をクリックします。

6. [追加] をクリックし、必要なアドレスを入力します。

接続を許可する IP アドレスを制限するサービスそれぞれについて、この手順を実行します。

セキュリティを強化したときに、UnknownUser アカウントで発生する可能性のあるロックアウトの問題

あるインスタンスが最小セキュリティでインストールされている場合、UnknownUser のロールは %All になります。また、このインスタンスは、すべてのサービスおよびアプリケーションに対して、非認証アクセスを提供します。このアカウントのロールを単に %All から別のものに変更しても、非認証アクセスを引き続き許可している場合は、管理ポータル、ターミナルなどの基本機能へのアクセスが拒否される可能性があります。

これは、このような状況では、認証が行われないまま、Caché により、選択したツールへの接続が確立されるからです。認証が行われないと、システムにより、自動的にユーザ・アカウントが UnknownUser に設定されます。次に、ユーザ特権がチェックされます。UnknownUser が十分な特権を持っていない場合、ツールへのアクセスは制限されるか不可能になります。このような状況では、例えば、ターミナルには “アクセスが拒否されました” というメッセージが表示され、シャットダウンされます。ポータルではメイン・ページは表示されますが、オプションは一切選択できません。

この状態を正常に戻すには、以下の手順に従います。

1. Caché を緊急アクセス・モードで起動します。

2. UnknownUser アカウントに十分な特権を与えます。

UnknownUser を使用できないようにするには、管理ポータルに対する認証メカニズムをアップグレードする必要があります。