本番アプリケーションを実行するためのシステムとして、Enterprise Server が機密データにアクセスすることは避けられません。ただし、エンタープライズ サーバー リージョン で実行されている Enterprise Server コンポーネントおよびアプリケーションの機能を制限して、適切な操作に必要のないデータおよびシステム ファイルを読み書きし、不適切なプログラムの実行を防止する価値はあります。これは、ファイルシステムの権限を慎重に使用することで実現できます。
ファイルシステムは規模が大きく複雑であるため、セキュリティのためにファイルシステムの権限を包括的に構成することは困難です。また、Enterprise Server を実行しているオペレーティング システムでは、個々のファイルごと、または階層的 (あるいはその両方) にファイルシステムの権限が管理されるため、どの権限をどこに設定するかを判断し、設定の一貫性を確保するには、かなりの手間が必要になる場合があります。ファイルシステムの一部であっても、適切な権限を設定すれば、攻撃対象領域を縮小し、悪用の可能性を減少できます。
Micro Focus は、ファイルシステムの権限を強化するため、次の方法をお勧めします。
- Enterprise Server プログラムは、その実行のために特別に作成したユーザー アカウントで実行する。さまざまなコンポーネントに異なる権限を割り当てられるように、複数のユーザー アカウントがあると便利です。たとえば、Enterprise Server Common Web Administration (ESCWA) および MFDS コンポーネントには追加のアクセスが必要ですが、これは、エンタープライズ サーバー リージョン 下で実行されるプロセスには適切ではありません。そこで、Micro Focus は、ESCWA および MFDS 用にユーザー アカウントを 1 つ作成し、リージョン用にもう 1 つ作成することをお勧めします。
- Enterprise Server コンポーネントがどのプログラムおよびどのデータ ファイルへのアクセスが必要か、および必要なアクセスのレベルを決定します。たとえば、MFDS リポジトリ ファイルは、MFDS で書き込みできる必要がありますが、エンタープライズ サーバー リージョン では読み取り専用にできます。
- 可能であれば、リージョンで使用されるプログラム ファイルを 1 つのディレクトリ ツリーにグループ化し、リージョンで使用されるデータ ファイルを別のディレクトリ ツリーにグループ化して、権限の設定および確認を簡単にします。
- 前の手順で特定したファイルシステム オブジェクトへの適切なアクセスを、Enterprise Server が使用するために作成したユーザー アカウントに付与します。詳細については、下記のトピックを参照してください。
- 他のファイルシステム オブジェクトへのアクセスを、Enterprise Server ユーザーアカウントに付与しません。
注意が必要な特定の項目：
- MFDS リポジトリ エクスポート関数は、ユーザーが指定したパスを受け取ります。この機能の悪用を防ぐために、MFDS が限られた一連のディレクトリにのみ書き込みアクセスできるようにすることが重要です。
- リージョン プロセスには、機密性の高いシステム ファイルへの読み取りアクセスを許可しないでください。また、Enterprise Server 構成ファイルへの書き込みアクセス権限も持っていてはなりません。一般的にリージョン プロセスに必要なのは、リージョンの「システム ディレクトリ」 (ログ ファイルが存在する場所) への書き込みアクセス権限です。特定の機能については、他のファイルへの書き込みアクセス権限が必要になる場合があります。たとえば、CICS
Web インターフェイスのオプションの自動登録メカニズムでは、構成された証明書情報ディレクトリー内のファイルに書き込みできる必要があります。
- 場合によっては、セキュリティ上の主なタスクは、ファイルへの Enterprise Server のアクセスを制限することではなく、他のアカウントからファイルへのアクセスを制限することになります。たとえば、TLS で使用されるキー ファイルは、Enterprise Server および管理者のみが読み取り可能にすべきです。詳細については、「TLS の使用および強化」を参照してください。一般的に、Enterprise Server 以下で実行されるアプリケーションが使用するデータ ファイルは、他のユーザー アカウントが実行しているプログラムで読み取りまたは書き込み可能であってはなりません。