14.2. デフォルトグループ
ユーザーの権限は、ユーザーのグループ (ロール) メンバーシップにより決定されます。ユーザーを割り当てることのできる 3 つのグループ (ロール) があります。
- 管理者。このグループには、管理インターフェイスで利用可能なすべてのタスクへの完全なアクセスが付与されます。
- エージェント。このグループには、エージェントサービスインターフェイスで利用可能なすべてのタスクに完全アクセスできます。
- 監査者。このグループには、署名済み監査ログを表示するためのアクセスが付与されます。このグループには他の権限がありません。
サブシステム間の通信のみに限り作成される 4 つ目のロールがあります。管理者は、実際のユーザーをこのようなロールに割り当てることはできません。
- エンタープライズ管理者。各サブシステムインスタンスには、設定中にセキュリティードメインに参加していると、エンタープライズ管理者としてサブシステム固有のロールが自動的に割り当てられます。これらのロールはセキュリティードメインのサブシステム間で信頼できる関係を自動的に提供し、各サブシステムが他のサブシステムと効率的に対話できるようにします。
14.2.1. 管理者
管理者には、すべての管理タスクを実行できるパーミッションがあります。ユーザーは、グループの Administrators グループに追加され、管理者として特定されます。そのグループのすべてのメンバーは、CertificateCertificate Systemnbsp;System のそのインスタンスに対する管理者特権を持っています。
CertificateCertificate Systemnbsp;System インスタンスごとに少なくとも 1 人の管理者を定義する必要がありますが、インスタンスが持つことができる管理者の数に制限はありません。インスタンスの設定時に最初の管理者エントリーが作成されます。
管理者は、CertificateCertificate Systemnbsp;System ユーザー ID とパスワードを使用して単純なバインドで認証されます。
表14.1 セキュリティードメインのユーザーロール
| ロール | 説明 |
|---|---|
| セキュリティードメインの管理者 |
デフォルトでは、ドメインをホストする CA の CA 管理者はセキュリティードメイン管理者として割り当てられます。
|
| エンタープライズ CA 管理者 |
|
| エンタープライズ KRA 管理者 |
|
| エンタープライズ OCSP 管理者 |
|
| エンタープライズ TKS 管理者 |
|
| エンタープライズ TPS 管理者 |
|
必要に応じて、セキュリティードメイン管理者はセキュリティードメインおよび個別のサブシステムでアクセス制御を管理できます。たとえば、セキュリティードメイン管理者はアクセスを制限することで、KRA の管理者のみが 座有無部門の KRA を設定できるようにすることができます。
Enterprise サブシステムの管理者は、ドメインのサブシステムで操作を実行するのに十分な特権が付与されます。たとえば、エンタープライズ CA の管理者は、設定中にサブ CA 証明書を自動的に承認する特権があります。セキュリティードメイン管理者は、必要に応じてこの適切な制限を行うことができます。