インスタンスのセキュリティの強化

CSPSystem ユーザに %Service_WebGateway:Use 特権を付与

CSPSystem ユーザは、InterSystems IRIS インストール・プロセスにより作成されます。このユーザは、%Service_WebGateway サービスとのやり取りにおける Web ゲートウェイを表します。サービスのアクセスは制限されるので、このユーザは、認証プロセスのために %Service_WebGateway:Use 特権を持つ必要があります。

%Service_WebGateway:Use 特権を CSPSystem ユーザに関連付けるには、以下の手順を実行します。

1. 管理ポータルのホーム・ページで、[ロール] ページ ([システム管理]→[セキュリティ]→[ロール]) に移動します。

2. [ロール] ページで、[新規ロール作成] をクリックします。[ロール編集] ページが表示されます。このページでは、[名前] フィールドが編集可能になっています。

3. %Service_WebGateway:Use 特権が含まれるように、ロールの名前を入力します (例 ： “GatewayRole”)。

4. [保存] をクリックします。これにより、InterSystems IRIS にロールが作成されました。

5. [ロール編集] ページの [一般] タブにある [特権] セクションで、[追加] をクリックします。このロールについて使用可能なリソースのリストが表示されます。

6. このリストで [%Service_WebGateway] をクリックし、次に [保存] をクリックします。新たに作成されたロールには、%Service_WebGateway:Use 特権が含まれるようになります。

7. [ロール編集] ページの [メンバ] タブを選択します。

8. このタブで、新しく作成したロールに CSPSystem ユーザを割り当てることができます。[使用可能] リストのユーザから [CSPSystem] をクリックし、右向き矢印をクリックして、[選択済み] に移動します。

9. [割り当てる] をクリックして、CSPSystem をロールに割り当てます。(つまり、CSPSystem はこのロールのメンバになります)。これは、CSPSystem が %Service_WebGateway:Use 特権を持っていることを意味します。

CSPSystem ユーザのパスワードを変更

最小セキュリティ・インストールでは、CSPSystem ユーザに対してパスワード “SYS” が与えられるので、このパスワードを攻撃者の知らないもの、または推測できないものに変更することが重要です。以下はその方法です。

1. 管理ポータルで、[ユーザ] ページ ([システム管理]→[セキュリティ] [ユーザ]) に移動します。

2. [ユーザ] ページで、[CSPSystem] をクリックします。[ユーザ編集] ページが表示されます。

3. [パスワード] フィールドに CSPSystem に対する新しいパスワードを入力します。他のユーザは誰もこのパスワードを覚える必要はないので、必要なだけ長く、複雑にすることができます。このパスワードは、次の操作 "ユーザ名とパスワードを提供するように Web ゲートウェイを構成" を完了するまでの間、覚えておく必要があります。

4. [パスワード (再入力)] フィールドに新しいパスワードを再度入力して、[保存] をクリックします。ポータルからエラー・メッセージやダイアログが表示されない場合、パスワードの変更は正常に行われています。

必要に応じて、前の手順で認証のために作成されたロールに CSPSystem が割り当てられていることを確認することもできます。このためには、[ロール] タブをクリックします。[CSPSystem が割り当てられているロール] という名前の列を持つテーブルには、新しく作成したロールが表示されるはずです。

ユーザ名とパスワードを提供するように Web ゲートウェイを構成

パスワード認証を要求するように %Service_WebGateway を構成するため、Web ゲートウェイはユーザ名とパスワードのペアを提供する必要があります。適切な特権レベルを持つユーザをセットアップすると、ゲートウェイが提供できるユーザ名とパスワードのペアが作成されます。次の手順では、InterSystems IRIS サーバから要求されたときに、このユーザ名とパスワードのペアを提供できるようにゲートウェイを構成します。以下はその方法です。

1. 管理ポータルで、[ウェブゲートウェイ管理] ページ ([システム管理]→[構成]→[ウェブゲートウェイ管理]) に移動します。

2. [ウェブゲートウェイ管理] ページで、左側のリストから [サーバ接続] を選択します。[サーバ・アクセス] フレームが表示されます。

3. [サーバ・アクセス] フレームでは LOCAL サーバがハイライト表示されます。編集のために [実行] をクリックします。[サーバ・アクセス] パラメータや [エラー・ページ] パラメータの並んだページが表示されます。

4. このページには、[接続セキュリティ] セクションがあります。

5. [接続セキュリティ・レベル] ドロップダウンに [パスワード] が表示されていることを確認します。

6. [ユーザ名] フィールドに、「CSPSystem」と入力します。

7. [パスワード] および [パスワード (確認)] フィールドに、前のセクションで選択したパスワードを入力します。

8. ページの下部にある [設定を保存] をクリックします。

9. 管理ポータルに戻るには、左ペインにあるリスト下部の [管理ポータルに戻る] をクリックします。

パスワード認証を要求するように %Service_WebGateway を構成

ユーザ名とパスワードを提供するようにゲートウェイを構成し、CSPSystem ユーザに必要なレベルの特権を付与したら、次に、パスワード認証を要求するように、Web アプリケーションを管理するサービス (%Service_WebGateway) を構成します。以下はその方法です。

1. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理]→[セキュリティ]→[サービス]) に移動します。

2. [サービス] ページで、[%Service_WebGateway] をクリックします。%Service_WebGateway の [サービス編集] ページが表示されます。

3. [サービス編集] ページの [許可された認証方法] で [認証なし] アクセスが無効化されていること、および [パスワード] アクセスが有効化されていること (別名 ： “ログイン認証”) を確認します。[保存] をクリックします。

%Service_WebGateway:Use 特権のパブリック状態を削除

%Service_WebGateway がパスワード認証を要求し、適切な権限を持つユーザを使用してゲートウェイで認証を行うことができるようになったら、次に、%Service_WebGateway:Use をパブリック許可から除外します。以下はその方法です。

1. 管理ポータルのホーム・ページで、[リソース] ページ ([システム管理]→[セキュリティ]→[リソース]) に移動します。

2. [リソース] ページで、%Service_WebGateway に対応する行の [編集] をクリックします。%Service_WebGateway の [リソース編集] ページが表示されます。

3. [パブリック許可] セクションで [使用] ボックスをオフにします。[保存] をクリックします。

パスワード認証のみを受け入れるように管理ポータルを構成

ゲートウェイと InterSystems IRIS サーバの間の接続に新しい認証メカニズムが使用されるようになったら、次に、これに見合ったメカニズムが使用されるように管理ポータル・アプリケーションを構成します。この例ではインスタンス認証メカニズムを使用します。ポータルの認証メカニズムを変更するための手順は以下のとおりです。

1. 管理ポータルのホーム・ページで、[ウェブ・アプリケーション] ページ ([システム管理]→[セキュリティ]→[アプリケーション]→[ウェブ・アプリケーション]) に移動します。

2. [ウェブ・アプリケーション] ページでは、/csp/sys アプリケーションは管理ポータルのホーム・ページを表します。このアプリケーションを編集するには、この行の名前 [/csp/sys] をクリックします。/csp/sys アプリケーションの [ウェブ・アプリケーションの編集] ページが表示されます。

3. [セキュリティの設定] の [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

4. ポータルのその他のページと選択肢を構成するすべてのアプリケーションに対しても、[非認証] アクセスを無効にし、[パスワード] アクセスを有効にします。これらのアプリケーションには以下のものがあります。

   • /csp/sys/exp

   • /csp/sys/mgr

   • /csp/sys/op

   • /csp/sys/sec

   Note:

   アプリケーション /csp/sys/op を編集した後、さらなる変更を加えるためには認証が必要になります。

このように構成することで、ポータルを使用するにはパスワード認証 (別名は “インスタンス認証”) が必要になり、認証なしアクセスが許可されなくなるので、各構成部分が整合性のある動作をします。次の手順では、関連するユーザがすべて、ポータルへの適切なアクセス権を持つことを確認します。

インスタンスのユーザに対して適切な権限レベルを指定

認証なしアクセスを受け入れるようにポータルが構成されている場合、どのようなユーザでも UnknownUser として接続できます。最小セキュリティ・インストールでは UnknownUser は %All ロールのメンバになるので、ポータルからロックアウトされる心配はありません。ここで、ポータルによりパスワード認証が要求されるようになると、正当なユーザは %Operator ロール、%Manager ロール、または %All ロールのメンバとなる必要があります。

最小セキュリティ・インストールでは、SuperUser、Admin、_SYSTEM、および UnknownUser はすべて、このレベルの特権を持ちます。また、パスワードはすべて “SYS” です。

適切にユーザのセキュリティを確保する手順は以下のとおりです。

1. UnknownUser を無効化します。または、%All ロールから UnknownUser を削除します。

   • UnknownUser を無効化する手順は以下のとおりです。

     1. [ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) で、[名前] 列の下の [UnknownUser] をクリックします。UnknownUser に対応する [ユーザ編集] ページが表示されます。

     2. [ユーザ有効] フィールドをクリアし、[保存] をクリックします。

   • %All ロールから UnknownUser を削除するには、以下の手順を実行します。

     1. [ユーザ] ページ ([システム管理]→[セキュリティ]→[ユーザ]) で、[名前] 列の下の [UnknownUser] をクリックします。UnknownUser に対応する [ユーザ編集] ページが表示されます。

     2. [ユーザ編集] ページの [ロール] タブに進みます。

     3. [ユーザ UnknownUser には以下のロールが割り当てられています] テーブルの [%All] 行で、[削除] をクリックします。

   Important:

   UnknownUser を通じたアクセスの制限は広い範囲に影響を及ぼします。これは、インスタンスのユーザが十分な特権を持っていない場合に特に顕著です。

2. 認証されていない可能性のあるその他のユーザが、%All、%Developer、%Manager、%Operator、%SQL、または特権を付与されたその他のユーザ定義ロールのメンバではないことを確認します。このためには、%All ロールから UnknownUser を削除するのと類似した処理を行います

   (特権を付与するユーザ定義ロールは、%Admin... リソースのいずれか、%Development、または %Service もしくは %System リソースのいずれかに対する Use 許可を持つか、%DB_IRISLIB もしくは %DB_IRISSYS に対する Write 許可を持つ可能性があります)。

3. ポータルへのアクセス権を持っているはずのユーザがすべて、%All、%Developer、%Manager、%Operator、%SQL、またはポータルへのアクセスを付与する任意のユーザ定義ロールに割り当てられていることを確認します。これらのユーザそれぞれについて、以下の手順を実行します。

   1. [ユーザ] ページ ([システム管理] > [セキュリティ] > [ユーザ]) で、[名前] 列の下にあるユーザの名前をクリックします。そのユーザに対応する [ユーザ編集] ページが表示されます。

   2. [ユーザ編集] ページの [ロール] タブに進みます。

   3. 目的のロールを [使用可能] から [選択済み] リストに移動します。このためには、ロールを選択し、右矢印ボタンをクリックし、[割り当てる] をクリックして、ユーザをロールに割り当てます。

4. SuperUser および Admin ユーザのパスワードを既定値から変更します。以下はその方法です。

   1. [ユーザ] ページ ([システム管理] > [セキュリティ] > [ユーザ]) で、[名前] 列の下にあるユーザの名前をクリックします。そのユーザに対応する [ユーザ編集] ページが表示されます。

   2. [新規パスワード入力] をクリックします。

   3. [パスワード] フィールドに新しいパスワードを入力します。

   4. [パスワード (確認)] フィールドでパスワードを確認し、[保存] をクリックします。

クラス・ドキュメントを使用可能にする

サービス、Web ゲートウェイ、およびポータル・アプリケーションの構成が完了したら、クラス・ドキュメントを使用できるようにしましょう。以下はその方法です。

1. 管理ポータルのホーム・ページで、[ウェブ・アプリケーション] ページ ([システム管理] > [セキュリティ] > [アプリケーション] > [ウェブ・アプリケーション]) に移動します。

2. ドキュメントを使用できるようにするには、以下の操作を実行します。

   1. [ウェブ・アプリケーション] ページでは、/csp/documatic アプリケーションがクラスリファレンス・アプリケーションです。このアプリケーションを編集するには、この行の [/csp/documatic] をクリックします。/csp/documatic アプリケーションの [ウェブ・アプリケーションの編集] ページが表示されます。

   2. [セキュリティの設定] の [許可された認証方法] で、[認証なし] アクセスを無効化し、[パスワード] アクセスを有効化します。[保存] をクリックします。

      Note:

      通常のインストールの場合、パスワード・アクセスは既に有効になっています。

この手順を実行していない場合、サービスはパスワード・プロンプトを要求しますが、アプリケーションは認証なしアクセスを試行します。これにより、%All に割り当てられているユーザを含め、すべてのユーザがドキュメントにアクセスできなくなります。

新しいポリシーの施行を開始

この時点で、InterSystems IRIS インスタンスの構成は完了し、適切な動作をするようになっています。ただし、既存のすべての接続で、引き続き非認証アクセスが使用されています。新しいポリシーの施行を開始するには、次のイベントが発生しなければなりません。

• Web ゲートウェイは、認証接続を確立する必要があります。

• また、すべてのユーザも認証接続を確立する必要があります。

有効なサービス数の制限

有効なサービス数を制限するには、以下の手順を実行します。

1. InterSystems IRIS インスタンスで必要なサービスを判断します。通常、これらは以下のとおりです。

   • ユーザ・アクセスの各形式で必要とされるサービス

   • 自動アクセスで必要とされるサービス

   • ローカルなプログラマ・モード・アクセスのための %Service_Console (Windows の場合) または %Service_Terminal (UNIX または UNIX® の場合)

2. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理] > [セキュリティ] > [サービス]) に移動します。

3. [サービス] ページで、必要のないサービスそれぞれの名前をクリックして選択します。選択したサービスの [サービス編集] ページが表示されます。

4. [サービス編集] ページで、[サービス有効] フィールドをクリアし、[保存] をクリックします。これで、このサービスは無効化されました。

必要のないサービスをすべて無効化すると、InterSystems IRIS への経路はサービスに必要な経路のみになります。

パブリック・サービス数の制限

各サービスはリソースに対応します。ほとんどの場合、リソースとサービスは同じ名前を持ちます (例 ： %Service_WebGateway)。ただし、%Service_Bindings サービスは例外で、%Service_Object リソースおよび %Service_SQL リソースと関連付けられています。サービスは、それに関連付けられているリソースの設定のため、パブリックです。したがって、サービスを非パブリックにする手順は、その他のリソースを非パブリックにする手順と同じです。これについては、"パブリック・リソース数の制限" で説明しています。

IP アドレスまたはマシン名を基準にしたサービスへのアクセスの制限

一部のサービスでは、IP アドレスやマシン名に従って、サービスへのアクセスを制限することができます。これは、“許可された接続” を制限する機能と言われます。この機能をサポートしているサービスは以下のとおりです。

• %Service_Bindings

• %Service_CacheDirect

• %Service_ECP

• %Service_Monitor

• %Service_Shadow

• %Service_WebGateway

既定では、サービスはすべてのマシンからの接続を受け入れます。サービスにアドレスやマシン名が関連付けられていない場合、このサービスはすべてのマシンからの接続を受け入れます。サービスが接続を受け入れるアドレスやマシン名が 1 つ以上指定されている場合、サービスはこれらのマシンからの接続のみ受け入れます。

この機能は、%Service_CallIn、%Service_ComPort、%Service_Console、%Service_DataCheck、%Service_Login、%Service_Mirror、%Service_Telnet、および %Service_Terminal では使用できません。

IP アドレスを基準にサービスへのアクセスを制限するには、以下の手順に従います。

1. サービスへの正当なアクセスを持つマシンの IP アドレスを判断します。

2. 管理ポータルのホーム・ページで、[サービス] ページ ([システム管理]→[セキュリティ]→[サービス]) に移動します。

3. [サービス] ページで、IP アドレスを基準にアクセスを制限するサービスの名前を個別にクリックして選択します。選択したサービスの [サービス編集] ページが表示されます。

4. [サービス編集] ページの [許可された接続] セクションで、[新規追加] をクリックします。

5. 表示されたダイアログに、接続を許可する IP アドレスを入力します。[OK] をクリックします。

6. [新しく追加] をクリックし、必要なアドレスを入力します。

接続を許可する IP アドレスを制限するサービスそれぞれについて、この手順を実行します。

UnknownUser アカウントで発生する可能性のあるロックアウトの問題

あるインスタンスが最小セキュリティでインストールされている場合、UnknownUser のロールは %All になります。また、このインスタンスは、すべてのサービスおよびアプリケーションに対して、認証なしアクセスを提供します。このユーザのロールを単に %All から別のものに変更しても、認証なしアクセスを引き続き許可している場合は、基本機能を使用できない可能性があります。

これは、このような状況では、認証が行われないまま、InterSystems IRIS により、選択したツールへの接続が確立されるからです。認証が行われないと、システムにより、自動的にユーザ・アカウントが UnknownUser に設定されます。次に、ユーザ特権がチェックされます。UnknownUser が十分な特権を持っていない場合、ツールへのアクセスは制限されるか不可能になります。このような状況では、例えば、ターミナルには “アクセスが拒否されました” というメッセージが表示され、シャットダウンされます。ポータルではメイン・ページは表示されますが、オプションは一切選択できません。

この状態を正常に戻すには、以下の手順に従います。

1. InterSystems IRIS を緊急アクセス・モードで起動します。

2. UnknownUser アカウントに十分な特権を与えます。

UnknownUser を使用できないようにするには、管理ポータルに対する認証メカニズムをアップグレードする必要があります。