Red Hat Training
A Red Hat training course is available for Red Hat Enterprise Linux
10.4. ロールベースのアクセス制御の定義
ロールベースのアクセス制御では、セルフサービスおよび委任アクセス制御の場合とは非常に異なる種類の権限をユーザーに付与します。ロールベースのアクセス制御は基本的に管理されており、エントリーを変更する機能を提供します。
ロールベースのアクセス制御には、パーミッション、特権、および ロール の 3 つの部分があります。権限は 1 つ以上のパーミッションで構成され、ロールは 1 つ以上の権限で構成されます。
- パーミッション は、(読み取り、書き込み、追加、または削除) 特定の操作と、これらの操作が適用される ldM LDAP ディレクトリー内のターゲットエントリーを定義します。パーミッションはビルディングブロックで、必要に応じて複数の特権に割り当てることができます。IdM 権限を使用すると、どのユーザーがどのオブジェクトにアクセスできるか、さらにはこれらのオブジェクトの属性にアクセスできるかどうかを制御できます。IdM を使用すると、個々の属性をホワイトリストまたはブラックリストに登録したり、特定の IdM 機能 (ユーザー、グループ、sudo など) の全体の可視性を、すべての匿名ユーザー、すべての認証済みユーザー、または特権ユーザーの特定のグループに変更したりできます。パーミッションに対するこの柔軟なアプローチは、管理者がアクセスが必要な特定のセクションにのみユーザーまたはグループのアクセスを制限し、他のセクションをこれらのユーザーまたはグループに対して完全に非表示にする場合に便利です。
- 特権 は、ロールに適用できるパーミッションのグループです。例えば、パーミッションは自動マウントの場所の追加、編集、削除を行うために作成できます。そして、そのパーミッションは FTP サーバーの管理に関連する別のパーミッションと組み合わせることができます。これらは、ファイルシステムの管理に関連する単一の特権を作成するために作成できます。注記Red Hat Identity Management のコンテキストでは、権限とは、パーミッションおよびそれに続いてロールが作成されるアクセス制御のAtomic単位の非常に特殊な意味を持ちます。通常のユーザーが一時的に追加の特権を取得するという概念としての特権昇格は、Red Hat Identity Managementには存在しません。ロールベースアクセス制御(RBAC)を使用して、権限がユーザーに割り当てられます。アクセス権を付与するロールを持つユーザーと、持たないユーザーがいます。ユーザーのほかに、権限はユーザーグループ、ホスト、ホストグループ、およびネットワークサービスにも割り当てられます。これにより、特定のネットワークサービスを使用するホストセットのユーザーセットによって、操作をきめ細かく制御できます。
- ロールは、ロールに指定したユーザーの権限の一覧です。重要ロールは、許可されたアクションを分類するために使用されます。ロールは、特権昇格されないようにしたり、特権の分離を実装するツールとしては使用しません。
完全に新しいパーミッションを作成したり、既存または新規のパーミッションをベースにして新たな権限を作成したりすることができます。Red Hat Identity Management は、以下の事前定義済みのロールを提供します。
表10.1 Red Hat Identity Management の定義済みロール
| ロール | 特権 | 説明 |
|---|---|---|
|
ヘルプデスク
| Modify Users、Reset passwords、Modify Group メンバーシップ | 簡単なユーザー管理タスクの実行 |
|
IT セキュリティースペシャリスト
| Netgroups 管理者、HBAC 管理者、Sudo 管理者 | ホストベースのアクセス制御、sudo ルールなどのセキュリティーポリシーの管理 |
|
IT スペシャリスト
| ホスト管理者、ホストグループ管理者、サービス管理者、自動マウント管理者 | ホストの管理を行います。 |
|
セキュリティーアーキテクト
| 委譲管理者、レプリケーション管理者、書き込み IPA 設定、パスワードポリシー管理者 | Identity Management 環境の管理、信頼の作成、レプリカ合意の作成 |
|
ユーザー管理者
| ユーザー管理者、グループ管理者、ステージユーザー管理者 | ユーザーおよびグループの作成を行います。 |
10.4.1. ロール
10.4.1.1. Web UI でのロールの作成
- トップメニューで IPA Server タブを開き、Role Based Access Control サブタブを選択します。
- ロールベースのアクセス制御手順のリストの上部にある Add リンクをクリックします。
図10.6 新規ロールの追加
- ロール名と説明を入力します。
図10.7 ロールを追加するためのフォーム
- ボタンをクリックして新規ロールを保存し、設定ページに移動します。
- Users タブの上部で、グループ追加の場合は Users Groups タブで、Add をクリックします。
図10.8 ユーザーの追加
- 左側のユーザーを選択し、 ボタンを使用して、Prospective 列に移動します。
図10.9 ユーザーの選択
- Privileges タブの上部にある をクリックします。
図10.10 権限の追加
- 左側の権限を選択し、 ボタンを使用してそれらを Prospective 列に移動します。
図10.11 権限の選択
- ボタンをクリックして保存します。
10.4.1.2. コマンドライン でのロールの作成
- 新規ロールを追加します。
[root@server ~]# kinit admin [root@server ~]# ipa role-add --desc="User Administrator" useradmin ------------------------ Added role "useradmin" ------------------------ Role name: useradmin Description: User Administrator
- 必要な権限をロールに追加します。
[root@server ~]# ipa role-add-privilege --privileges="User Administrators" useradmin Role name: useradmin Description: User Administrator Privileges: user administrators ---------------------------- Number of privileges added 1 ----------------------------
- 必要なグループをロールに追加します。この場合、すでに存在する 1 つのグループ
useradminのみを追加することになります。[root@server ~]# ipa role-add-member --groups=useradmins useradmin Role name: useradmin Description: User Administrator Member groups: useradmins Privileges: user administrators ------------------------- Number of members added 1 -------------------------