管理者のアクセス権を制限する

組織内の各種管理者のさまざまなアクセスレベルを指定できます。たとえば、一部の人間にだけ「システム管理者」のアクセス権を与え、自チームの全管理者はデータベース管理者として指定する場合もあります。

このタスクについて

管理者のアクセス権は、階層的に付与されます。権限の階層は、次のようになります。

  • フルアクセスアドミニストレーター - リストされているすべてのアドミニストレーションアクセスレベルの権限が付与されます。
  • 管理者 - データベース管理者とフルコンソール管理者のすべての権限 (ただし、システム管理者の権限は除く) が付与されます。
  • フルコンソール管理者 - 参照限定コンソール管理者の権限 (ただし、システム管理者の権限は除く) が付与されます。
  • システム管理者 - 限定システム管理者の権限が付与されます。

各フィールドにユーザーを個別に指定する必要はありません。最上位レベルの管理者アクセス権にユーザーを追加すると、階層内で下位にリストされているすべての権限が自動的にそのユーザーに付与されます。

管理者のアクセス権を制限するには

手順

  1. Domino® Administrator で、[設定] タブをクリックしてサーバー文書を開きます。
  2. [セキュリティ] タブをクリックします。
  3. [管理者] セクションで、以下のフィールドに入力し、文書を保存します。それらのすべてのフィールドで、各階層名、グループ、ワイルドカード (*/Sales/Renovations など) を指定できます。複数のエントリを指定する場合は、それぞれのエントリをカンマで区切ります。
    注: [管理者] フィールド以外の全フィールドのデフォルト値は空白であり、そのようなアクセス権を誰も持っていないことを意味します。
    表 1. 管理者アクセスの説明

    フィールド

    アクション

    フルアクセスアドミニストレーター

    サーバーを管理するためのフルアクセス権を持つ管理者の名前を入力します。これは、最上位レベルの管理権限です。

    管理者

    サーバーを管理できる管理者の名前を入力します。このフィールドのデフォルト値は、該当サーバーを最初に設定した管理者の名前です。このフィールドにリストされる管理者には、次の権限があります。

    • Web サーバー管理データベース (WEBADMIN.NSF) への [管理者] のアクセス権。
    • フォルダとデータベースリンクの作成、更新、削除
    • ディレクトリリンク ACL の作成、更新、削除
    • データベースの圧縮と削除
    • 全文索引の作成、更新、削除
    • データベース、レプリカ、マスターテンプレートの作成
    • 特定のデータベースオプション (サービスの有効化や無効化、データベースの制限値など) の取得と設定
    • メッセージトラッキングや件名のトラッキングの使用
    • コンソールによる UNIX™ サーバーのリモート管理
    • リモートコンソールコマンドの発行
    注: (Java™) Server Controller を使用してこのフィールドにグループ名を入力する場合、そのグループは、管理者名が [管理者] フィールドに表示されるように [多目的] なグループタイプを持っている必要があります。
    注: Domino 6.0 以降では、サーバーへのアクセス制限に NOTES.INI 変数 Server_Restricted が使用されている場合、管理者は依然としてサーバー上のデータベースを開くことができます。

    データベース管理者

    サーバーでデータベースの管理を担当する管理者の名前を入力します。データベース管理者に、サーバー上のデータベースに対する [管理者] のアクセス権や Web サーバー管理データベースに対するアクセス権が自動的に付与されるわけではないことに注意してください。このフィールドにリストされるユーザーが持つ権限は、次の権限だけです。

    • フォルダとデータベースリンクの作成、更新、削除
    • ディレクトリリンク ACL の作成、更新、削除
    • データベースの圧縮と削除
    • 全文索引の作成、更新、削除
    • データベース、レプリカ、マスターテンプレートの作成
    • 特定のデータベースオプション (サービスの有効化や無効化、データベースの制限値など) の取得と設定

    フルリモートコンソール管理者

    このサーバーに対してリモートコンソールを使用してコマンドを発行できる管理者の名前を入力します。

    参照限定管理者

    リモートコンソールを使用して、SHOW TASKS や SHOW SERVER などのシステムのステータス情報を表示するコマンドだけを発行できる管理者の名前を入力します。

    この管理者は、サーバーの動作に影響を与えるコマンドを発行することはできません。

    システム管理者

    サーバーに対してオペレーティングシステムのあらゆるコマンドを発行できる管理者の名前を入力します。

    コマンドの種類と範囲は、サーバーのオペレーティングシステムにより異なります。たとえば、Linux™ サーバーの管理者は Linux コマンドのみを発行できます。

    注: この機能では、Domino サーバーコントローラをサーバーマシンで実行する必要があります。

    限定システム管理者

    [制限されたシステムコマンド] フィールドにリストされているオペレーティングシステムコマンドだけを発行できる管理者の名前を入力します。

    注: この機能では、Domino サーバーコントローラをサーバーマシンで実行する必要があります。

    制限されたシステムコマンド

    [限定システム管理者] が発行できるオペレーティングシステムコマンドのサブセットを入力します。コマンドの種類と範囲は、サーバーのオペレーティングシステムと限定システム管理者のタスクにより異なります。

    たとえば、限定システム管理者に UNIX の印刷キューを管理させる場合もあります。その場合は、印刷キュー管理用の UNIX コマンドをこのフィールドに入力します。[限定システム管理者] フィールドに入力した名前のユーザーがアクセスできるのは、このフィールドにリストされるコマンドだけです。

    ブラウザ管理者 (Domino 6 より前のバージョン)

    このフィールドの設定は、下位互換性を保つ目的で IBM Domino 6 より前のサーバーにだけ適用されます。Domino Web サーバー管理クライアントは、Domino 6 以降のサーバーでのみ動作します。既存のドメインの Domino ディレクトリを Domino 5 からそれ以降のリリースにアップグレードした場合、アップグレードされていないサーバーでは、サーバー文書内でこの設定を指定し、以前のバージョンの Web サーバー管理クライアントを使用できるようにする必要があります。

タスクの結果

注意: サーバー文書の [セキュリティ] タブの [フルアクセスアドミニストレーター]、[管理者]、[データベース管理者] フィールドにリストされた管理者は、データベース ACL 内で管理者としてリストされていなくても、該当サーバー上の任意のデータベースを削除できます。

フルアクセスアドミニストレーター

このタスクについて

フルアクセスアドミニストレーターは、サーバーに対して最上位レベルの管理アクセス権を持ちます。フルアクセスアドミニストレーターの場合は、Notes® クライアントをサーバー上でローカルに実行する必要がありません。フルアクセスアドミニストレーターを設定すると、データベース ACL の管理者だけが組織を離れた場合に発生する可能性のある、アクセス制御に関する問題点を解決できます。

フルアクセスアドミニストレーターには、次の権限があります。

  • すべてのアクセスレベルの管理者に付与されるすべての権限 (表 1 を参照)。
  • サーバー上の全データベースに対する [管理者] のアクセス権 (データベースの ACL の設定とは関係なく、すべてのアクセス権が有効)
    注: フルアクセスアドミニストレーターの ACL のロールは、手動で有効にする必要があります。
  • Web サーバー管理データベース (WEBADMIN.NSF) に対する [管理者] のアクセス権 (すべてのロールとアクセス権が有効)
  • すべてのデータベース内のすべての文書に対するアクセス権 (読者名フィールドの設定には関係ありません)
  • フルアドミニストレーション権限を持つ制限なしモードで実行されるエージェントを作成できる権限
  • サーバー上の暗号化されていないすべてのデータに対するアクセス権
    注: フルアクセスアドミニストレーターは、暗号化されているデータへのアクセスを許可しません。パブリックキーを使用して暗号化されている文書の暗号化解除には、指定のユーザーのプライベートキーが必要です。同様に、シークレットキーを使用して暗号化されている文書の暗号化解除には、シークレットキーが必要です。

フルアクセスアドミニストレーターモードを有効にする

このタスクについて

管理者は、フルアクセスアドミニストレーターモードで作業するには、次の条件を満たす必要があります。

  • IBM Domino Administrator クライアントを使用している。
  • サーバー文書の [セキュリティ] タブにある [管理者] セクションの [フルアクセスアドミニストレーター] フィールドにリストされている。デフォルトでは、このフィールドは空白です。
  • Administrator クライアントで [アドミニストレーション] > [フルアクセスアドミニストレーション] を選択して [フルアクセスアドミニストレーター] モードを有効にする。このモードが有効になっていない場合、サーバー文書にフルアクセスアドミニストレーターとしてリストされても、サーバーに対してフル管理者アクセス権を持ちません。その場合は、代わりに [管理者] のアクセス権が付与されます。

フルアクセスアドミニストレーターモードが有効になっている場合は、クライアントのウィンドウタイトル、タブタイトル、ステータスバーを見るとそれが分かります。そのため、ユーザーは、自分が最上位レベルの権限でサーバーにアクセスしていることが分かり、注意して処理を実行する必要があることを認識できます。

管理者が Administrator クライアントでフルアドミニストレーションモードを有効にすると、そのモードは Domino Designer と Notes クライアントでも有効になります。フル管理者アクセスが有効である場合、ウィンドウのタイトル、タブのタイトル、ステータスバーにもそれが反映されます。

ユーザーがフルアクセスアドミニストレーターモードに切り替えても、サーバー文書内にリストされていなければ、フルアクセス権を持つことを拒否されます。その場合は、ステータスバーとサーバーコンソールにメッセージが出力されます。クライアントはフルアクセスモードになりますが、ユーザーは該当するサーバーに対してフル管理者アクセス権を持ちません。ユーザーがサーバーを切り換えようとすると、新しいサーバーのサーバー文書に照らしてそのユーザーのアクセス権がチェックされます。

フルアクセスアドミニストレーター機能を無効にする

NOTES.INI ファイル内で SECURE_DISABLE_FULLADMIN = 1 と設定すると、[フルアクセスアドミニストレーター] フィールドを無効にすることができます。この設定により、フルアクセスアドミニストレーター権限が無効になり、サーバー文書内の該当フィールドにリストされているすべての名前が無効になります。サーバーに物理的にアクセスしてそのサーバーの NOTES.INI ファイルを編集できるユーザーのみが、NOTES.INI ファイル内のこのパラメータを設定することができます。このパラメータは、サーバーコンソールやリモートコンソールを使用して設定したり、サーバー文書内で設定することはできません。

フルアクセスアドミニストレーター機能を管理するためのオプション

このタスクについて

フルアクセスアドミニストレーター権限は、次のようないくつかの方法で付与することができます。

  • 特殊なフルアドミニストレーター ID ファイル (例: Full Admin/Sales/Renovations) を作成し、[フルアドミニストレーター] フィールドにこの名前を入力するだけです。そして、このユーザー ID を使用してログインするか、このユーザー ID に切り換えると、このレベルのアクセス権が得られます。この ID ファイルは、複数のパスワードを必要とするように設定することもできます。
  • フル管理者アクセス権を付与するために OU レベルの認証者を作成し、信頼できる管理者に別の ID (Jane Admin/Full Admin/Acme など) を発行します。
  • [フルアクセスアドミニストレーター] フィールドは、空白のままにしておきます。緊急事態が発生した場合は、信頼できるユーザーの名前を追加します。事態が解決したら、そのユーザー名を削除します。
  • [フルアクセスアドミニストレーター] フィールドに、信頼できる一部の管理者だけを指定します。

この機能がどのように使用されているのかを、次のようにしてトラッキングすることもできます。

  • イベントハンドラを設定し、フルアクセスアドミニストレーション権限が起動されると、EVENTS4.NSF を使用して通知を送信するようにします。
  • [データベースのプロパティ] インフォボックスを使用して、フルアクセスアドミニストレーター権限を使用して実行されたすべてのデータベースアクティビティをデータベースの使用状況に記録します。
  • この機能の使用をサーバーで記録します。