Skip to main content

This is documentation for Caché & Ensemble. See the InterSystems IRIS version of this content.Opens in a new tab

For information on migrating to InterSystems IRISOpens in a new tab, see Why Migrate to InterSystems IRIS?

文字ベースのセキュリティ管理ルーチンの使用

Caché インストールの管理方法として優先的に推奨されるのは、管理ポータルです。このポータルによって、システム制御に使用する便利なブラウザ・ベースのインタフェースが提供されます。しかし、この方法ではシステムを管理できない状況に対応するために、Caché には、ターミナルで同じ機能の多くをまとめて提供する、いくつかの文字ベースのルーチンも用意されています。

この付録で説明するユーティリティは、以下のとおりです。

  • ^SECURITY — Caché セキュリティが適切に機能するために必須のデータの設定とメンテナンスを実行します。

  • ^EncryptionKey — 暗号化キー管理、データベース暗号化、およびデータ要素暗号化の処理をサポートします。

  • ^DATABASE — データベースの管理に使用されます。これにより、Caché セキュリティに関連する値を設定することもできます。

  • ^%AUDIT — ログにあるデータのレポート処理に加えて、監査ログのエントリとログ自体の操作を実行できます。

これらの各ルーチンについては、それぞれのセクションでその最上位レベルの機能と共に説明されています。ほとんどの場合、初期メニューを選択すると、ルーチンのタスク実行に必要な情報がすべて指定されるまで、必要な情報の入力が求められます。ターミナルからこれらのルーチンを使用するには、ユーザは %SYS ネームスペースにあることと、最低でも %Manager ロールを持つことが必要です。例えば、^SECURITY ルーチンは、次のコマンドで呼び出されます。

 DO ^SECURITY

ルーチンが実行されると、そのオプションのリストが表示されます。目的のオプションを選択するには、“Option?” プロンプトの後に対応する番号を入力します。

Caution:

最初の説明にあるように、Caché システムの管理方法として好ましいのは、管理ポータルです。このドキュメントに説明されているルーチンを使用する場合は、管理者に Caché の動作と、選択するオプションに適するパラメータ値についての十分な運用知識があることが前提となります。

プロンプトに関する一般的な注意事項

文字ベースの機能を使用したときのプロンプトの特性を以下に示します。

  • 各オプションには、数字の接頭語があります。その番号を入力することで、オプションを選択します。オプション番号の形式は、すべてのルーチンで使用されています。

  • すべてのオプション・リストに、メニューの現行レベルを終了して前のレベルに戻るための項目があります。または、“Option?” プロンプトに対して Enter キーを押して対応することもできます。この操作は [終了] オプションを選択したと同義に解釈されます。つまり、現行のセクションが終了され、1 つ “上位” レベルのオプションが表示されます。最上位レベルのオプションに対して Enter を押すと、^SECURITY ルーチンが終了します。

  • 情報の入力を求めるプロンプトの多くには既定値があり、それは Enter キーを押すことで選択できます。使用可能な既定値がある場合は、次に示すように、プロンプト・メッセージと “=>” 文字の間に表示されます。 

    Unsuccessful login attempts before locking user? 5 =>

    この例では、既定値は 5 で、これはユーザが何回ログインに失敗するとそのユーザ名がロックされるかを表しています。

  • 既定値が “Yes” または “No” のプロンプトでは、“yE” や “n” などの部分的に一致する応答も受け入れられます。この照合では、応答の大文字/小文字が無視されます。

  • 既存のユーザ、ロール、サービスなどの設定変更が目的のオプションでは、それらの項目の既存値が既定として表示されます。Enter キーを押すと、その値が保存され、次のプロンプトに進みます。

  • 一部のプロンプトでは、ユーザ名などの項目を照合するときに使用するパターンの入力が求められます。通常、既定のパターンは、すべての項目に一致する “*” です。このパターンでは、DOS における照合と同じように、アスタリスクが任意の文字シーケンスに一致します。パターンは、それぞれが固有のパターンとして解釈されるコンマ区切りのパターン・リストで構成される場合もあります。対象の項目がリスト内のいずれかのパターンに一致すると、その項目は選択されたものとして処理されます。

Caution:

同じルーチンの複数のインスタンスが、異なるシステム管理者 (あるいは同じ管理者) によって同時に実行されるのを防止する方法はありません。こうした状況になった場合は、影響を受けるデータの一貫性に考慮し、各インスタンスの動作を調整して競合を回避して、目的を達成するのは管理者の責任となります。

^SECURITY

このルーチンは、Caché セキュリティが適切に機能するのに必須のデータの設定とメンテナンスを実行します。初期メニューには次のものがあります。

  1. ユーザの設定

    ユーザとは、システムへのアクセスが許可されている実際の人々またはその他のエンティティです。このセクションでは、インスタンスのユーザの特性を定義します。

    Note:

    AccountNeverExpires および PasswordNeverExpires フィールドの導入により、Caché 2014.1 以降のバージョンのユーザ定義は、2013.1 およびそれ以前のバージョンのユーザ定義と互換性がありません。新しい定義を古いバージョンにインポートしようとすると、Caché はその定義をスキップします。

  2. ロールの設定

    Caché ユーザは、1 つまたは複数のロールが割り当てられることで、アクションを実行する権限が与えられます。このセクションでは、ロールの特性を定義します。

  3. サービスの設定

    サービスは、各種接続技術を使用して Caché に接続する機能を制御します。これらはインターシステムズによって事前定義されています。このオプションによって、サービスの使用法を制御するパラメータを設定します。

  4. リソースの設定

    リソースとは、データベースやアプリケーションなどの、使用が管理対象となる資産を意味します。リソースは 1 つのデータベースのように単一の場合もあれば、1 組みのアプリケーションのように複数 (通常は関連するもの) で構成される場合もあります。

  5. アプリケーションの設定

    アプリケーション定義は、実際のアプリケーション・コードに対するプロキシとして機能します。特定の定義に対する許可は、セキュリティ・システムによって、その定義に関連するアプリケーションに対して同じ許可を与えるものと解釈されます。

  6. 監査の設定

    監査とは、Caché でセキュリティ関連イベントのレコードを保持する方法です。このセクションでは、監査ログにその発生を記録するイベントを定義および管理します。

  7. ドメインの設定

    ドメインは、ユーザ・コミュニティの複数グループへの分割を可能にします。管理者は、このオプションによって、Caché セキュリティを設定し、複数のドメインからユーザを受け入れることができます。このオプションによって定義されたドメインは、有効なユーザを認識する目的で Caché システム内にのみ存在します。複数のドメインを定義する場合は、president@whitehouse.gov のように、ユーザ名にアクセス元となるドメインを含める必要があります。ドメインの識別情報を含めずにユーザ名を指定すると、システム・パラメータのセクションで設定された既定ドメインが使用されます (設定されている場合)。

  8. SSL 構成の設定

    SSL/TLS は、認証などの機能を提供します。このセクションは、インスタンスで Caché の SSL/TLS プロトコルのサポートを使用する場合の構成ツールを提供します。これには、ミラーリングで使用するための SSL/TLS 構成の作成および編集など、ミラーリングでの SSL/TLS の使用が含まれます。

  9. 携帯電話サービス・プロバイダの設定

    2 要素認証では、認証しているユーザは携帯電話で 1 回限りのセキュリティ・コードを受け取り、それをプロンプトで入力します。このセクションは、Caché インスタンスで使用されている携帯電話サービス・プロバイダを構成するツールを提供します。

  10. OpenAM ID サービスの設定

    OpenAM ID サービスを使用すると、Caché でシングルサイン・オン (SSO) がサポートされるようになります。この機能を使用すると、認証に成功しているユーザは再認証する必要がなくなります。このセクションでは、Caché インスタンスに対する OpenAM ID サービスの管理を扱います。

  11. 暗号化キーの設定

    Caché では、データベースまたはユーザ指定のデータ要素の暗号化にキーが使用されます。このセクションは、データベース暗号化キーとマネージド暗号化キーの両方を使用して作業するためのツールを提供します。

  12. システム・パラメータの設定

    システム・パラメータは、システム全体に適用されるセキュリティ関連の値の集合です。このセクションには、SQL 特権を初め、インスタンスのすべてのセキュリティ設定をエクスポートおよびインポートする機能が含まれています。

    Note:

    設定のインポートに関連した考慮事項

    • 複数のドメインで構成されたソース・インスタンスから複数のドメインを許可するよう構成されていないターゲット・インスタンスにセキュリティ設定をインポートする場合、ソース・インスタンスとターゲット・インスタンスで既定のドメインが異なると、インポートしたときにターゲットの既定のドメインが更新されません。この値は明示的に設定する必要があります。　 これを実行するには、[システムワイドセキュリティパラメータ] ページ (システム管理, セキュリティ, システム・セキュリティ, システムワイドセキュリティパラメータ) の [デフォルトセキュリティドメイン] ドロップダウンを使用します。

    • すべてのセキュリティ設定をインポートする場合、インポート/エクスポート・ファイルには Web アプリケーションの設定が含まれ、各 Web アプリケーションに Path 設定が含まれます。新しいドライブ、VM、またはハードウェアに設定をインポートするには、まず Web アプリケーションごとに Path 設定値が環境に対して正確であることを確認します。管理ポータルに関連付けられている Web アプリケーションの Path の値が適切でないと、管理ポータルに正しく表示されなくなります。

      インポート/エクスポート・ファイル (SecurityExport.xml) 内の各 Web アプリケーションの Path 設定を見つけるには、ApplicationsExport セクションを調べます。それぞれの Applications セクションで Name 設定の値によってアプリケーションを識別してから、必要に応じて Path の値を更新します。

  13. X509 ユーザの設定

    X.509 は、公開鍵インフラストラクチャ (PKI) が使用する証明書の標準です。Caché は PKI に X.509 証明書を使用し、X.509 証明書に関連付けられた各ユーザは X.509 ユーザと呼ばれます。このセクションでは、X.509 ユーザの作成、編集、削除などの操作のためのツールを紹介します。

  14. 終了

^EncryptionKey

^EncryptionKey ルーチンは、マネージド・キー暗号化で使用します。このルーチンでは、暗号化キー管理 (暗号化キーおよびキー・ファイルの作成と管理のテクノロジ)、データベース暗号化、およびデータ要素暗号化の処理がサポートされます。

  1. 暗号化キーおよびキー・ファイルの新規作成

    キー・ファイルに格納するデータベース暗号化キーを新規作成できます。

  2. 既存の暗号化キー・ファイルの管理

    キー・ファイルに関連付けられた管理者のリスト化、キー・ファイルへの管理者の追加、キー・ファイルからの管理者の削除、およびバージョン 1.0 キー・ファイルのバージョン 2.0 キー・ファイルへの変換を実行できます。

  3. データベースの暗号化

    データベース暗号化キーの有効化、現在有効になっているデータベース暗号化キーがある場合はその一意の識別子の表示、有効になっているデータベース暗号化キーの無効化、およびデータベース暗号化に関連する Caché 起動オプションの構成を行うことができます。

  4. アプリケーションのデータ要素暗号化

    データ要素暗号化キーの有効化、現在有効になっているデータ要素暗号化キーがある場合はそれらの一意の識別子の表示、および現在有効になっているデータ要素暗号化キーの無効化を行うことができます。

^DATABASE

^DATABASE ルーチンはデータベースの管理に使用します。また、Caché セキュリティに関連する値を設定できます。

  1. データベースの作成

    新しいデータベースを作成できます。

  2. データベースの編集

    ボリュームを追加するなどして、既存データベースの属性を変更できます。

  3. データベースの一覧表示

    1 つ以上のデータベースの属性を表示します。

  4. データベースの削除

    Caché データベースを削除できます。この操作は元に戻せません。

  5. データベースのマウント

    データベースを Caché で使用できる状態にします。データベースを使用可能にするには、Caché に対してデータベースをマウントする必要があります。データベースは、起動時に自動的にマウントされるように設定できます。

    Note:

    [データベースのマウント] オプションを使用して、インスタンスにアクセス可能な任意の CACHE.DAT ファイルをマウントできます。そのためには、このファイルを含むディレクトリを指定します。ただし、管理ポータルのデータベース構成から削除されたデータベースまたは一度もこのデータベース構成に追加されたことがないデータベースでこれを実行すると ("Caché システム管理ガイド" の “Caché の構成” の章にある "データベースの構成" を参照)、データベースは管理ポータルの構成に追加されず、したがってポータルのデータベースの操作および ^Integrity などの一部のルーチンで使用できません ("Caché データ整合性ガイド" の “データ整合性の概要” の章にある "^Integrity ユーティリティを使用したデータベース整合性のチェック" を参照)。

  6. データベースのディスマウント

    データベースを停止して、Caché での使用を解除できます。

  7. データベースのグローバルの圧縮

    CACHE.DAT 内のデータを再編成します。このオプションを使用しても、データベース・ファイルのサイズは縮小しません。データベースのサイズを縮小する方法は、オプション 13 を参照してください。

  8. データベースの空き容量の表示

    データベースの使用可能な空き容量を表示します。このオプションでは、データベースの現行のコンテンツと宣言サイズの差異が計算されます。

  9. データベースの詳細の表示

    場所、サイズ、ステータスなどの管理パラメータを含む、指定されたデータベースの詳細情報を表示します。

  10. データベースの再作成

    元になるデータベースのパラメータを使用して、新しい空のデータベースを作成します。新しいデータベースのサイズは、元のデータベースのサイズと同じです。

  11. データベース暗号化の管理

    データベースのプロパティを再利用に備えて保持しながら、すべての論理データをデータベースから削除します。

  12. データベースの未使用領域を返す

    データベースに関連付けられた使用可能な余分な領域から、指定された量またはそのすべての領域を解放し、現在のサイズから可能な限り小さいサイズに縮小します。

  13. データベースの空き容量の圧縮

    データベースのデータの末尾の後の空き容量 (使用しない容量) について、希望する量を指定します。この空き容量は、データベースの未使用領域を返すオプション (#12) を使用して、削除することもできます。

  14. データベースのグローバルのデフラグ

    データベースのデフラグにより、より効率的にデータを整理できます。デフラグを行うと、データベースに空き容量が残る場合があります (オプション #12 と #13 を参照)。

^%AUDIT

このルーチンでは、ログにあるデータのレポート処理に加えて、監査ログのエントリとログ自体の操作を実行できます。

  1. 監査レポート

    選択条件 (日付範囲、イベント、対象ユーザなど) を指定して、それらの特性を表示できます。また、監査ログからデータを抽出し、フォーマット処理して表示できます。

  2. 監査ログの管理

    他のネームスペースへのログ・エントリの抽出、監査ログ・データの外部ファイルに対するエクスポートとインポート、および監査ログ自体の保守作業を実行できます。

  3. 終了


Previous section公開鍵インフラストラクチャ (KPI) について
FeedbackOpens in a new tab