9.2. セキュリティーニーズの分析
環境およびユーザーを分析し、セキュリティーニーズを特定します。3章ディレクトリースキーマの設計 のサイト調査は、ディレクトリーの個々のデータの読み書き権限を持つユーザーに関する基本的な決定を明確化しています。この情報は、セキュリティー設計の基盤となります。
セキュリティーの実装方法は、ディレクトリーサービスを使用してビジネスをサポートする方法にも左右されます。イントラネットを提供するディレクトリーは、インターネットに公開されているエクストラネットまたは e コマースアプリケーションをサポートするディレクトリーと同じセキュリティー対策を必要としません。
ディレクトリーがイントラネットのみを提供する場合は、情報に必要なアクセスレベルを検討してください。
- ユーザーおよびアプリケーションに、ジョブの実行に必要な情報へのアクセスを提供する方法。
- 社員またはビジネスに関する機密データを一般アクセスから保護する方法。
ディレクトリーがエクストラネットを提供するか、インターネットを介した e コマースアプリケーションをサポートする場合は、追加の考慮事項があります。
- 顧客にプライバシーの保証を提供する方法。
- 情報の整合性を保証する方法。
以下のセクションでは、セキュリティーニーズの分析について説明します。
9.2.1. アクセス権限の決定
データ分析により、ユーザー、グループ、パートナー、顧客、およびアプリケーションがディレクトリーサービスにアクセスするのに必要な情報が特定されます。
アクセス権は、以下の 2 つの方法のいずれかで付与できます。
- 機密データを保護しながら、すべてのカテゴリーのユーザーにできるだけ多くの権限を付与します。オープンな方法では、どのデータがビジネスにとって機密または重要であるかを正確に判断する必要があります。
- 各カテゴリーのユーザーに、業務の遂行に必要な最小限のアクセス権を付与します。制限的な方法では、組織の内部、場合によっては外部のユーザーの各カテゴリーの情報ニーズを詳細に理解する必要があります。
アクセス権を決定するために使用される方法に関係なく、組織内のユーザーのカテゴリーとそれぞれに付与されたアクセス権をリスト表示する簡単な表を作成します。ディレクトリーに保持される機密データと、データごとにそれを保護するために実行する手順が記載された表の作成を検討してください。
ユーザーの ID を確認する方法は、「適切な認証方法の選択」 を参照してください。ディレクトリー情報へのアクセスを制限する方法は、「アクセス制御の設計」 を参照してください。
9.2.2. データのプライバシーおよび整合性の確保
ディレクトリーを使用して、エクストラネットを介したビジネスパートナーとの交流をサポートしたり、インターネット上の顧客との e コマースアプリケーションをサポートしたりする場合は、交換されるデータのプライバシーと整合性を確保してください。
これにはいくつかの方法があります。
- データ転送を暗号化する。
- 証明書を使用してデータ転送に署名する。
Directory Server で提供される暗号化の方法の詳細は、「パスワードストレージスキーム」 を参照してください。
データの署名に関する詳細は、「サーバー接続の保護」 を参照してください。
Directory Server データベースに格納される機密情報の暗号化については、「データベースの暗号化」 を参照してください。
9.2.3. 定期的な監査の実施
追加のセキュリティー対策として、定期的な監査を実施して、SNMP エージェントによって記録されたログファイルと情報を調べ、セキュリティーポリシー全体の効率性を検証します。
SNMP の詳細は、『Red Hat Directory Server Administration Guide』を参照してください。ログファイルおよび SNMP の詳細は、『Red Hat Directory Server Administration Guide』を参照してください。
9.2.4. セキュリティーニーズ分析の例
このセクションで使用する例は、架空の ISP 企業 example.com がセキュリティーニーズを分析する方法を示しています。
example.com のビジネスは、Web ホスティングとインターネットアクセスを提供することです。example.com は活動の一部として取引先企業のディレクトリーをホストしています。また、多くの個人加入者へのインターネットアクセスも提供します。
そのため、example.com ディレクトリーには、3 つの主要な情報カテゴリーがあります。
- example.com の内部情報
- 法人のお客様の情報
- 個人加入者に関する情報
example.com には、以下のアクセス制御が必要です。
- ホストしている会社 (example_a および example_b) のディレクトリー管理者に独自のディレクトリー情報へのアクセスを提供します。
- ホストしている会社のディレクトリー情報にアクセス制御ポリシーを実装します。
- 自宅からのインターネットアクセスに example.com を使用するすべての個人顧客に標準のアクセス制御ポリシーを実装します。
- example.com の企業ディレクトリーへのアクセスをすべての部外者に拒否します。
- example.com の加入者名簿への読み取りアクセスを全員に付与します。
