'\" te
.\" Copyright (c) 2009, 2015, Oracle and/or its affiliates.All rights reserved.
.TH smf_security 5 "2015 年 9 月 24 日" "SunOS 5.11" "標準、環境、マクロ"
.SH 名前
smf_security \- サービス管理機能のセキュリティー動作
.SH 機能説明
.sp
.LP
サービス管理機能の構成サブシステム \fBsmf\fR(5) には、サービスの構成を変更するための特権が必要です。ユーザーに特権を付与するには、\fBuser_attr\fR(4) および \fBprof_attr\fR(4) を通して、次に説明する承認をユーザーに関連付けます。\fBrbac\fR(5) を参照してください。
.sp
.LP
サービスおよびサービスインスタンスの操作には次の承認が使用されます。
.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify\fR\fR
.ad
.RS 22n
.rt  
サービス、サービスインスタンス、またはそれらのプロパティーの追加、削除、変更、および保護されたプロパティー値の読み取りが承認されます。
.RE

.SS "プロパティーグループ承認"
.sp
.LP
\fBsmf\fR(5) 構成サブシステムは、各サービスおよびサービスインスタンスにプロパティーを関連付けます。関連するプロパティーはグループ化されています。グループは、実行メソッド、資格情報、アプリケーションデータ、リスタータの状態を表す場合があります。プロパティーグループを作成または変更する機能がある場合、オペレーティングシステム特権を必要とする可能性のあるアクションを \fBsmf\fR(5) コンポーネントで実行させることができます。それに従って、フレームワークでは、プロパティーグループを操作するための適切な承認が要求されます。
.sp
.LP
各プロパティーグループには、その目的に対応するタイプがあります。コアのプロパティーグループタイプは、\fBmethod\fR、\fBdependency\fR、\fBframework\fR、および \fBapplication\fR です (ここで、\fBapplication\fR は、アプリケーションデータを含むプロパティーグループに推奨されるタイプです)。ただし、次の基本承認は、コアとなるプロパティーグループタイプだけに適用されます。
.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify.method\fR\fR
.ad
.sp .6
.RS 4n
\fBmethod\fR タイプのプロパティーグループの値の変更または作成、削除、変更が承認されます。
.RE

.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify.dependency\fR\fR
.ad
.sp .6
.RS 4n
\fBdependency\fR タイプのプロパティーグループの値の変更または作成、削除、変更が承認されます。
.RE

.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify.application\fR\fR
.ad
.sp .6
.RS 4n
application タイプのプロパティーグループの値の変更、保護された値の読み取り、および作成、削除、変更が承認されます。
.RE

.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify.framework\fR\fR
.ad
.sp .6
.RS 4n
\fBframework\fR タイプのプロパティーグループの値の変更または作成、削除、変更が承認されます。
.RE

.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.modify\fR\fR
.ad
.sp .6
.RS 4n
サービス、サービスインスタンス、またはそれらのプロパティーの追加、削除、変更、および保護されたプロパティー値の読み取りが承認されます。
.RE

.sp
.LP
プロパティーグループ固有の承認は、そのプロパティーグループに含まれているプロパティーによって指定できます。
.sp
.ne 2
.mk
.na
\fB\fBmodify_authorization\fR\fR
.ad
.sp .6
.RS 4n
承認は、プロパティーグループ内のプロパティーの追加、削除、または変更を許可します。また、プロパティーグループが保護されている場合は、そのグループからプロパティー値を取得することも許可します。
.RE

.sp
.ne 2
.mk
.na
\fB\fBvalue_authorization\fR\fR
.ad
.sp .6
.RS 4n
承認は、\fBmodify_authorization\fR を除くプロパティーグループの任意のプロパティーに対する値の変更を許可します。また、プロパティーグループが保護されている場合は、そのグループから modify_authorization 以外の任意のプロパティー値を取得することも許可します。
.RE

.sp
.ne 2
.mk
.na
\fB\fBread_authorization\fR\fR
.ad
.sp .6
.RS 4n
承認は、プロパティーグループ内のプロパティー値の取得を許可します。プロパティーグループ内にこの名前の文字列値プロパティーが存在する場合、そのプロパティーグループは保護されています。このプロパティーは、application タイプ以外のプロパティーグループには影響しません。「\fB保護されたプロパティーグループ\fR」を参照してください。
.RE

.sp
.LP
前述の承認プロパティーは、そのタイプが \fBastring\fR の場合だけ使用されます。インスタンスプロパティーグループにいずれかのプロパティーがない場合でも、そのプロパティーと同じ名前を持つプロパティーグループがインスタンスのサービスにあるときは、その値が使用されます。
.SS "保護されたプロパティーグループ"
.sp
.LP
通常、リポジトリ内のすべてのプロパティー値は、明示的な承認なしで任意のユーザーが読み取ることができます。framework タイプ以外のプロパティーグループは、値の保護を必要とするプロパティーを格納するために使用できます。適切な承認がない場合、これらは公開できません。プロパティーグループのステータスが保護されたステータスであることは、文字列値の \fBread_authorization\fR プロパティーの存在によって示されます。このプロパティーが存在する場合、そのプロパティーグループに含まれているプロパティーの値は、「プロパティーグループ承認」で説明されている方法によってのみ取得可能です。\fB\fR
.sp
.LP
機密性が高いとみなされるデータのバックアップをポリシーによって禁止している管理ドメインでは、SMF リポジトリデータベースをバックアップから除外するようにしてください。そのようなポリシーが存在しても、保護されていないプロパティー値は \fBsvccfg\fR(1M) アーカイブコマンドでバックアップできるため、保護されたプロパティー値を除いたリポジトリのアーカイブを作成できます。
.SS "サービスアクション承認"
.sp
.LP
サービスインスタンスに対する特定のアクションは、結果としてサービスを中断または非アクティブ化する場合があります。どのようなサービス拒否も意図的な管理操作であることを保証するために、これらのアクションには承認が必要です。このようなアクションには、refresh メソッドや restart メソッドを実行する要求、サービスインスタンスを保守に配置するなどの非稼働状態にする要求があります。次の承認は、このようなアクションの要求を許可します。
.sp
.ne 2
.mk
.na
\fB\fBsolaris.smf.manage\fR\fR
.ad
.RS 22n
.rt  
任意のサービスインスタンスの再起動、リフレッシュ、またはその他の状態変更を要求することが承認されます。
.RE

.sp
.LP
さらに、\fBgeneral/action_authorization\fR プロパティーで追加の承認を指定して、そのサービスインスタンスに対するサービスアクションの要求を許可できます。このプロパティーを変更するには、\fBsolaris.smf.manage\fR 承認が必要です。
.SS "定義済み権利プロファイル"
.sp
.LP
\fBsmf\fR(5) の一般的な処理を操作するための承認をグループ化した 2 つの権利プロファイルが用意されています。
.sp
.ne 2
.mk
.na
\fBサービス管理\fR
.ad
.sp .6
.RS 4n
サービスマネージャーはリポジトリ内のすべてのサービスを任意の方法で操作できます。これは、\fBsolaris.smf.manage\fR 承認と \fBsolaris.smf.modify\fR 承認に対応します。
.sp
\fBpkg\fR(1) コマンドを使用して、サービスマニフェスト内にサービスインベントリを含んでいるソフトウェアパッケージの追加や削除を行うには、少なくともサービス管理プロファイルが必要です。
.RE

.sp
.ne 2
.mk
.na
\fBサービスオペレータ\fR
.ad
.sp .6
.RS 4n
サービスオペレータは、システムの任意のサービスインスタンスを有効または無効にしたり、その restart メソッドや refresh メソッドの実行を要求したりできます。これは、\fBsolaris.smf.manage\fR 承認と \fBsolaris.smf.modify.framework\fR 承認に対応します。
.sp
サイトでは、必要に応じてカスタマイズした追加の権利プロファイルを定義することもできます。
.RE

.SS "リモートリポジトリの変更"
.sp
.LP
リモートリポジトリサーバーは、追加の特権確認の結果、変更要求を拒否することがあります。「注意事項」を参照してください。
.SH 使用例
.LP
\fB例 1 \fRユーザーが root にならなくても \fBsystem/cron\fR サービスを変更できるようにします。
.sp
.LP
次の行を \fB/etc/user_att\fRr に追加すると、ユーザー「johndoe」は root にならなくても \fBsystem/cron\fR サービスの再起動、有効化、無効化、またはその他の状態変更を行えるようになります。

.sp
.in +2
.nf
johndoe::::auths=solaris.smf.manage.cron
.fi
.in -2

.LP
\fB例 2 \fRユーザーが root にならなくてもいずれかのサービスのプロパティーを変更したり、\fBsystem/cron\fR サービスを変更したりできるようにします。
.sp
.LP
次の行を \fB/etc/user_attr\fR に追加すると、ユーザー「janedoe」は root にならなくてもいずれかのサービスのプロパティーを変更したり、\fBsystem/cron\fR サービスの再起動、有効化、無効化、またはその他の状態変更を行なったりできるようになります。

.sp
.in +2
.nf
janedoe::::auths=solaris.smf.modify,solaris.smf.manage.cron
.fi
.in -2

.SH 関連項目
.sp
.LP
\fBauths\fR(1), \fBprofiles\fR(1), \fBsvccfg\fR(1M), \fBprof_attr\fR(4), \fBuser_attr\fR(4), \fBrbac\fR(5), \fBsmf\fR(5), \fBpkg\fR(1)
.sp
.LP
\fI『Packaging and Delivering Software With the Image Packaging System in Oracle Solaris 11.3 』\fR
.SH 注意事項
.sp
.LP
\fBsmf\fR(5) の現在のバージョンでは、リモートリポジトリはサポートされていません。
.sp
.LP
サービスが \fBlimit_privileges\fR とは異なる特権で root ユーザーとして起動するように構成されている場合、結果として得られるプロセスは特権に対応したものになります。これは、\fBseteuid(<non-zero UID>)\fR によって特権が basic 以下に下がると考えている開発者には予期しないことです。