検索
サポートコンソール開発者トライアルの開始お問い合わせ

4.5. セキュリティー担当者モードの使用

download PDF
エンタープライズセキュリティークライアントは TPS サブシステムとともに、特別な セキュリティー担当者 モードをサポートします。このモードでは、セキュリティー担当者であるスーパーバイザーが可能になり、特定の組織内の通常ユーザーの登録に直面する機能も受けられます。
セキュリティー担当者モードでは、その他のユーザーのスマートカードをフェイスツーフェイスかつ非常に安全な操作で管理できるセキュリティー担当者の監査下で個人を登録できます。セキュリティー担当者モードは、追加のセキュリティー機能とともに、いくつかの通常のユーザー操作と重複します。
  • 組織内の個人を検索する機能。
  • 個人関する写真やその他の関連情報を表示するインターフェース。
  • 承認された個人の登録機能。
  • ユーザーのカードのフォーマットまたはリセット
  • セキュリティー担当者のカードのフォーマットまたはリセット
  • プライマリーカードを誤って配置したユーザーへの一時カードの登録。
  • カードでの TPS サーバー情報の保存この Phone Home 情報は、特定の TPS サーバーインストールに問い合わせるために、Enterprise Security Client によって使用されます。
セキュリティー担当者モードでの操作は、以下の 2 つのエリアに分けられます。
  • セキュリティー担当者の作成および管理。
  • セキュリティー担当者による通常ユーザーの管理。
セキュリティー担当者モードを有効にすると、Enterprise Security Client はサーバーによって提供される外部ユーザーインターフェースを使用します。このインターフェースは、Enterprise Security Client が通常使用するローカルの XUL コードの代わりにスマートカード操作を制御します。
外部インターフェースは、セキュリティー担当者モードが無効になるまで制御を維持します。

注記

SSL でセキュリティー担当者クライアントを実行すると、TPS が SSL で実行するように設定され、Enterprise Security Client を TPS の SSL エージェントポートに参照することことができるためおすすめです。

4.5.1. セキュリティー担当者モードの有効化

セキュリティー担当者モードが、TPS と Enterprise Security Client の esc-prefs.js ファイルの両方で設定される必要がある 2 つの領域があります。
TPS:
  1. セキュリティー担当者のユーザーエントリーを TUS オフィスグループのメンバーとして TPS データベースに追加します。このグループは、TPS LDAP データベースにデフォルトで作成され、すべてのセキュリティー担当者ユーザーエントリーの予想される場所です。

    注記

    Red Hat Directory Server コンソールを使用して、LDAP データベースでユーザーエントリーを追加およびコピーするほうが簡単です。Directory Server Console の使用は、section 3.1.2, Creating Directory Entries の 『Red Hat Directory Server Administrators Guide』 を参照してください。
    TPS には 2 つのサブツリーが関連付けられており、それぞれが別のデータベースと関連付けられています。(一般的に、両方のデータベースが同じサーバーに配置することはできますが、必須ではありません。)
    • 認証データベース 内の最初のサフィックスは外部ユーザー用です。TPS はユーザーの認証情報をディレクトリーに対してチェックし、スマートカードの登録を試行するユーザーを認証します。これには、dc=server,dc=example,dc=com のような識別名 (DN) があります。
    • その他のデータベースは、TPS エージェント、管理者、セキュリティー担当者など、内部 TPS インスタンスエントリーに使用されます。このサブツリーは、TPS の 内部データベース 内にあります。これにはトークンデータベースが含まれます。このサブツリーには、dc=server.example.com-pki-tps のような TPS サーバーに基づく DN があります。TUS Officer グループエントリーは dc=server.example.com-pki-tps 接尾辞の下にあります。
    LDAP ディレクトリーとサフィックスは、セキュリティー担当者の auth インスタンスの authId と baseDN パラメーターの TPS CS.cfg ファイルのトークンプロファイルで定義されます。以下に例を示します。 
    auth.instance.1.authId=ldap2
auth.instance.1.baseDN=dc=sec officers,dc=server.example.com-pki-tps
    セキュリティー担当者のエントリーは、TUS Officers グループエントリーの子エントリーである必要があります。これは、グループエントリーがメインエントリーで、ユーザーエントリーがディレクトリーツリーのすぐ下にあることを意味します。
    TUS Officers グループエントリーは、cn=TUS Officers,ou=Groups,dc=server.example.com-pki-tps です。
    たとえば、ldapmodify を使用してセキュリティー担当者エントリーを追加するには、以下を実行します。 
    /usr/lib/mozldap/ldapmodify -a -D "cn=Directory Manager" -w secret -p 389 -h server.example.com 

dn: uid=jsmith,cn=TUS Officers,ou=Groups,dc=server.example.com-pki-tps
objectclass: inetorgperson
objectclass: organizationalPerson
objectclass: person
objectclass: top
sn: smith
uid: jsmith
cn: John Smith
mail: jsmith@example.com
userPassword: secret
    Enter キーを 2 回押してエントリーを送信するか、Ctrl+D を使用します。
その後、Enterprise Security Client を設定します。
  1. まず、CA 証明書チェーンを信頼します。

    注記

    この手順は、証明書がまだ Enterprise Security Client データベースで信頼されていない場合にのみ必要になります。
    Enterprise Security Client を、必要な証明書が含まれるデータベースにポイントする場合は、その esc-prefs.js ファイルの esc.global.alt.nss.db で別のデータベースを指定します。
    1. CA のエンドエンティティーを開きます。 
      https://server.example.com:9444/ca/ee/ca/
    2. Retrieval タブをクリックして、CA 証明書チェーンをダウンロードします。
    3. Enterprise Security Client を開きます。 
      esc
    4. 証明書を表示 ボタンをクリックします。
    5. 認証 タブをクリックします。
    6. インポート ボタンをクリックして、CA 証明書チェーンをインポートします。
    7. CA 証明書チェーンの信頼設定を行います。
  2. 次に、セキュリティー担当者のトークンをフォーマットし、登録します。このトークンは、セキュリティー担当者のSmart Card Manager UI にアクセスするために使用されます。
    1. 空のトークンを挿入します。
    2. Phone Home 情報のプロンプトが開いたら、セキュリティー担当者の URL を入力します。 
      /var/lib/pki-tps/cgi-bin/so/index.cgi
    3. Format ボタンをクリックして、セキュリティー担当者のトークンをフォーマットします。
    4. インターフェースを閉じ、Enterprise Security Client を停止します。
    5. esc-prefs.js ファイルに 2 つのパラメーターを追加します。最初に、esc.disable.password.prompt で、セキュリティー担当者モードを設定します。2 つ目は esc.security.url は、セキュリティー担当者の登録ページを参照します。esc.security.url パラメーターが存在するだけで、次回の開いた時に、Enterprise Security Client がセキュリティー担当者モードで開くように指示します。 
      pref("esc.disable.password.prompt","no");
pref("esc.security.url","https://server.example.com:7888/cgi-bin/so/enroll.cgi");
    6. Enterprise Security Client を再び起動し、UI を開きます。 
      esc
    7. 新しいセキュリティー担当者のトークンを登録するために、Enterprise Security Client がセキュリティー担当者の登録フォームに接続するよう設定されます。「新しいセキュリティー担当者の登録」 の説明に従ってトークンを登録します。
    8. インターフェースを閉じ、Enterprise Security Client を停止します。
    9. esc-prefs.js ファイルを再度編集します。今回では、esc.security.url パラメーターを変更してセキュリティー担当者のワークステーションページを参照します。 
      pref("esc.security.url","https://server.example.com:7889/cgi-bin/sow/welcome.cgi");
    10. Enterprise Security Client を再起動します。UI はセキュリティー担当者ワークステーションを参照し、セキュリティー担当者が通常のユーザーにトークンを登録できるようになりました。
セキュリティー担当者モードを無効にするには、Smart Card Manager GUI を閉じ、escd プロセスを停止して、esc-prefs.js ファイル内の esc.disable.password.prompt と esc.security.url の行をコメントアウトします。esc プロセスが再起動すると、通常モードで開始します。

4.5.2. 新しいセキュリティー担当者の登録

セキュリティー担当者は、通常の登録の場合や、セキュリティー担当者が管理する登録に使用されるインターフェースではなく、個別の一意のインターフェースを使用して設定されます。
  1. esc プロセスが実行していることを確認します。 
    esc
    esc-pref.js ファイル (「セキュリティー担当者モードの有効化」) でセキュリティー担当者モードが有効になっていると、セキュリティー担当者の登録ページが開きます。
  2. セキュリティー担当者登録 ウィンドウで、新しいセキュリティー担当者の LDAP ユーザー名とパスワードと、セキュリティー担当者のスマートカードで使用するパスワードを入力します。

    注記

    SSHA ハッシュを使用してパスワードを保存する場合は、パスワードの感嘆符 (!) およびドル記号 ($) 文字が、Windows XP および Vista システムの Enterprise Security Client に正常にバインドされるようにエスケープする必要があります。
    • ドル記号 ($) 文字の場合、パスワードの作成時に ドル記号をエスケープします。 
      \$
      次に、Enterprise Security Client にログインするときにドル記号 ($) のみを入力します。
    • 感嘆符 (!) 記号では、パスワードの作成時 および パスワードの入力時に Enterprise Security Client にログを記録するために文字をエスケープします。 
      \!
  3. Enroll My Smartcard をクリックします。
これにより、通常のユーザーがシステム内で登録および管理できるように、セキュリティー担当者が Enterprise Security Client セキュリティー担当者にアクセスするために必要な証明書が含まれるスマートカードが作成されます。

4.5.3. セキュリティー担当者を使用したユーザーの管理

セキュリティー担当者の Station ページでは、新規または一時カードの登録、カードのフォーマット、Phone Home URL の設定などの操作で通常のユーザーを管理します。

4.5.3.1. 新規ユーザーの登録

セキュリティー担当者モードでユーザーのスマートカードを登録するのと、「スマートカードの自動登録」 と 「スマートカードの登録」 でプロセスを登録することには、大きな違いが 1 つあります。すべてのプロセスではユーザーのアイデンティティーを確認するために LDAP データベースにログインが必要です。しかし、セキュリティー担当者モードには、ユーザーが提示する認証情報をデータベース内の一部の情報と比較するための追加のステップがあります (写真など)。
  1. esc プロセスが実行していることを確認します。必要に応じてプロセスを開始します。 
    esc
    また、「セキュリティー担当者モードの有効化」 の説明に従って、セキュリティー担当者モードが有効になっていることを確認します。
  2. スマートカードマネージャー UI を開きます。

    注記

    コンピューターに接続したセキュリティー担当者カードが有効で登録されていることを確認します。以下のページにアクセスするには、セキュリティー担当者の認証情報が必要です。
  3. Continue をクリックすると、セキュリティー担当者の Station ページが表示されます。クライアントはセキュリティー担当者のカード用のパスワード (SSL クライアント認証で必要) を要求します。または、ドロップダウンメニューからセキュリティー担当者の署名証明書を選択するよう要求します。
  4. 新規カードの登録 リンクをクリックして、セキュリティーオフィスの選択ページを表示します。
  5. 新しいスマートカードを受信するユーザーの LDAP 名を入力します。
  6. Continue をクリックします。そのユーザーが存在する場合は、Security Officer Confirm User ページが開きます。
  7. Smart Card Manager UI で返される情報と、存在するユーザーまたは認証情報を比較します。
  8. すべての詳細が正しい場合は Continue をクリックし、Security Officer Enroll User ページを表示します。このページでは、担当者に対し、新しいスマートカードをコンピューターに挿入するように促します。
  9. スマートカードが適切に認識されると、このカードの新しいパスワードを入力し、Start Enrollment をクリックします。
登録に成功すると、スマートカードが作成されたセキュアなネットワークおよびサービスにアクセスするためにユーザーが使用できるスマートカードが生成されます。

4.5.3.2. その他のセキュリティー担当者タスクの実行

セキュリティー担当者が通常ユーザーに対して実行できるその他の操作 (一時トークンの発行、トークンの再登録、または Phone Home URL の設定) は、セキュリティー担当者 UI を開いた後に 4章Enterprise security Client の設定 で説明されているとおりに行われます。
  1. esc プロセスが実行していることを確認します。必要に応じてプロセスを開始します。 
    esc
    また、「セキュリティー担当者モードの有効化」 の説明に従って、セキュリティー担当者モードが有効になっていることを確認します。
  2. スマートカードマネージャー UI を開きます。

    注記

    コンピューターに接続したセキュリティー担当者カードが有効で登録されていることを確認します。以下のページにアクセスするには、セキュリティー担当者の認証情報が必要です。
  3. Continue をクリックすると、セキュリティー担当者の Station ページが表示されます。要求されたら、セキュリティー担当者のカードのパスワードを入力します。これは、SSL クライアント認証に必要です。
  4. メニューから操作を選択します (一時トークンの登録、カードのフォーマット、または Phone Home URL の設定)。
  5. 4章Enterprise security Client の設定 の説明に従って、操作を継続します。

4.5.3.3. 既存のセキュリティー担当者のスマートカードのフォーマット

重要

トークンの再フォーマットは、セキュリティー担当者のトークンへの破壊的な操作であり、絶対に必要な場合のみ実行する必要があります。
  1. 「セキュリティー担当者モードの有効化」 の説明に従って、セキュリティー担当者モードが有効になっていることを確認します。
  2. Smart Card Manager UI を開きます。

    注記

    コンピューターに接続したセキュリティー担当者カードが有効で登録されていることを確認します。以下のページにアクセスするには、セキュリティー担当者の認証情報が必要です。
  3. Continue をクリックすると、セキュリティー担当者の Station ページが表示されます。要求されたら、セキュリティー担当者のカードのパスワードを入力します。これは、SSL クライアント認証に必要です。
  4. メニューから操作を選択します (一時トークンの登録、カードのフォーマット、または Phone Home URL の設定)。
  5. Format SO Card をクリックします。セキュリティー担当者のカードが既に挿入されているため、以下の画面が表示されます。
  6. Format をクリックして操作を開始します。
カードが正常にフォーマットされると、セキュリティー担当者のカードの値がリセットされます。セキュリティー担当者のカードは、セキュリティー担当者モードに切り替え、さらなる操作を行うために使用する必要があります。
Red Hat logoGithubRedditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

© 2024 Red Hat, Inc.