ホーム
保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
データベースのアクセス制御リスト
各データベースにはアクセス制御リスト (ACL) が 1 つずつあります。ACL は、ユーザーとサーバーがそのデータベースに実行できるアクセスのレベルを指定します。割り当てるアクセスレベルの名前は、サーバーの場合もユーザーの場合も同じです。ただし、ユーザーに割り当てたアクセスレベルからはユーザーがデータベース内で実行できるタスクが決まり、サーバーに割り当てたアクセスレベルからはサーバーがデータベースのどの情報を複製できるかが決まります。ACL の作成や更新を行うには、[管理者] 以上のアクセス権が必要です。
データベース ACL を管理する
Domino® 管理者は、次の方法を使用してデータベース ACL を管理できます。

保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
- Domino のセキュリティの概要
  組織のセキュリティを設定することは、非常に重要なタスクです。組織の IT リソースと資産を保護するためには、セキュリティのインフラストラクチャが重要な役割を果たします。システム管理者は、サーバーまたはユーザーの設定を実行する前に、組織のセキュリティ要件を慎重に考慮する必要があります。最新の情報を把握してプランニングを行うと、セキュリティ侵害のリスクを最小限に抑えることができます。
- Notes® ユーザー、インターネットユーザー、Domino® サーバーのサーバーへのアクセス
  Domino® では、ユーザーやサーバーから他のサーバーへのアクセスは、検証と認証のルールに加え、サーバー文書の [セキュリティ] タブで設定した内容に従って制御されます。Notes® ユーザー、インターネットユーザー、サーバーは、サーバーに検証および認証され、サーバー文書の設定内容でアクセスが許可されていれば、そのサーバーにアクセスできます。
- データベースのアクセス制御リスト
  各データベースにはアクセス制御リスト (ACL) が 1 つずつあります。ACL は、ユーザーとサーバーがそのデータベースに実行できるアクセスのレベルを指定します。割り当てるアクセスレベルの名前は、サーバーの場合もユーザーの場合も同じです。ただし、ユーザーに割り当てたアクセスレベルからはユーザーがデータベース内で実行できるタスクが決まり、サーバーに割り当てたアクセスレベルからはサーバーがデータベースのどの情報を複製できるかが決まります。ACL の作成や更新を行うには、[管理者] 以上のアクセス権が必要です。
  - ACL のデフォルトエントリ
    デフォルトのアクセス制御リストには、一連のデフォルトエントリが含まれます。
  - ACL に受け入れ可能なエントリ
    アクセス制御リスト (ACL) に作成する任意のエントリの詳細についてはこのトピックを参照してください。
  - データベース ACL を設定する
    データベース ACL にユーザー、グループ、サーバーを追加する前に、アプリケーションのデータベースアクセスについて計画を立ててください。ACL に名前を追加してから、その名前にアクセスレベルを割り当てます。ユーザーの種類の割り当ては必須ではありませんが、ユーザーの種類を使用するとセキュリティを強化できます。アプリケーションに必要な場合は、アクセスレベル権限とロールを追加します。
  - ACL のアクセスレベル
    データベース ACL でユーザーに割り当てたアクセスレベルによって、ユーザーがそのデータベースで実行できるタスクが決まります。アクセスレベル権限により、ACL で各ユーザーに割り当てたアクセスレベルの拡張や制限を行います。ACL にリストされているユーザー、グループ、サーバーそれぞれについて、基本のアクセスレベルとユーザーの種類を選択します。アクセス権を微調整するには、一連のアクセス権限を選択します。アプリケーションの設計者がロールを作成している場合は、該当するユーザー、グループ、サーバーにそれらのロールを割り当てます。
  - ACL のアクセスレベル権限
    ユーザー、グループ、サーバーにアクセスレベルを割り当てた後で、そのアクセスレベル内の権限を選択または選択解除できます。
  - ACL のユーザーの種類
    ユーザーの種類では、ACL 内の名前がユーザー、サーバー、グループのいずれであるかを識別します。ユーザーの種類を割り当てるときは、その名前でデータベースにアクセスするために必要な ID の種類を指定します。ユーザーの種類は、[ユーザー]、[サーバー]、[混在グループ]、[ユーザーグループ]、[サーバーグループ]、[指定なし] の 6 種類です。ACL の [-Default-] というグループのユーザーの種類は、必ず [指定なし] に設定されます。ACL に [Anonymous] を追加した場合、そのユーザーの種類は [指定なし] でなければなりません。
  - ACL のロール
    データベース設計者は、ロールを作成して、データベース設計要素とデータベース機能への特殊なアクセス権を割り当てることができます。ロールでは、一連のユーザーやサーバーを定義します。ロールで定義する一連のユーザーやサーバーは、Domino® ディレクトリで設定できるグループに似ています。ただし、グループとは異なり、ロールは作成元のデータベースに固有な存在です。
  - データベース ACL を管理する
    Domino® 管理者は、次の方法を使用してデータベース ACL を管理できます。
  - システム管理プロセスを使用して ACL を更新する
    データベースで最大限のセキュリティを確保するには、ACL を最新状態に保つことが重要です。そのためには、サーバー管理プロセスを使用します。サーバープログラムであるシステム管理プロセスを使用すると、グループ、サーバー、ユーザー、個人ビュー、個人フォルダ、個人エージェントの名前の変更や削除を自動的に実行し、システム管理プロセスが実行されているサーバーをシステム管理サーバーとして指定した Domino® ディレクトリとデータベース ACL を更新できます。このプログラムにより、データベースの全文書の [読者] フィールドと [作成者] フィールドも更新されます。
  - データベース ACL のシステム管理プロセスを設定する
    システム管理プロセスを使用して、ACL と [読者] フィールドや [作成者] フィールドの名前の更新と管理を行うには、データベースにシステム管理サーバーを割り当ててください。次の方法を使用すると、複数のデータベースに 1 台のシステム管理サーバーを指定できます。
  - Web サーバー管理クライアントを使用してデータベース ACL を管理する
    Web サーバー管理クライアントは、Notes® データベース (WEBADMIN.NSF) として製品に入っているユーティリティアプリケーションです。Web サーバー管理クライアントを使用すると、データベース ACL のエントリの追加、削除、編集や、ロールの変更が行えます。また、サーバーにあるデータベースすべての ACL ログを表示することもできます。
  - 複数の ACL 内のエントリを編集する
    Domino® 管理者は、複数のデータベース ACL に存在しているエントリに対する変更を実行できます。データベース ACL のエントリを編集するには、そのデータベース ACL に対する [管理者] のアクセス権を持っていなければなりません。Web サーバー管理クライアントを使用して、データベース ACL を管理することもできます。
  - サーバー上のすべてのデータベース ACL を表示する
    サーバー上のすべてのデータベース ACL を、ユーザー名別、アクセスレベル別、データベース別に表示できます。
  - ACL ログを使用する
    データベースの ACL に加えられたすべての変更内容のログを表示できます。リストの各エントリに、いつ、誰が、何を変更したかが表示されます。ログとして保存されるのは 20 行だけで、完全な履歴ではありません。
  - 共通アクセス制御リストを使用する
    サーバー上にあるすべてのデータベースのレプリカ、およびクライアントやラップトップコンピュータで作成されるすべてのローカルレプリカに同じ ACL を適用できます。
  - [読者] フィールドと [作成者] フィールドを更新する
    システム管理プロセスは、デフォルトでデータベースの文書をすべて調べて、[読者] フィールドと [作成者] フィールドを検索、更新し、個人フォルダとビュー、個人エージェントを更新します。システム管理プロセスが「ユーザー名の変更」や「ユーザーの削除」要求を実行するとき、すべての [読者] フィールド、[作成者] フィールド、個人フォルダとビュー、個人エージェントの名前が変更、削除されます。特定文書でのみ [読者] フィールドと [作成者] フィールドを更新するには、データベースに特別のビューを作成して、そのビューを更新します。
  - インターネットユーザーのデータベースへのアクセス権を設定する
    データベースへのアクセス権を設定するときは、インターネットユーザーのための特別な規定を作成する必要があります。詳しくは、関連トピックを参照してください。
  - Web アプリケーションのフォームやビューへのアクセスを防止する
    ユーザーがブラウザを使用してアクセスするデータベースアプリケーションの設計では、ブラウザユーザーに対して、そのアプリケーションのフォームやビューを開くことができる URL コマンドの使用制限が必要になる場合があります。たとえば、URL コマンドを使用したときには、フォームやビューを使用するサーブレットがフォームとビューだけを使用するようにアプリケーションを設計できます。[URL 参照を許可しない] プロパティを設定しておくと、ブラウザユーザーは Domino® URL コマンドでこれらのアプリケーションを操作できません。
  - Web ユーザーによるアクセスの上限
    Notes® では、インターネットまたはイントラネットブラウザでデータベースにアクセスするユーザーを、Notes ユーザーと同じ方法で識別することはできません。ブラウザを使用するインターネットユーザーやイントラネットユーザーがデータベースに対して持つアクセス権に上限を設定するには、[Web ユーザーによるアクセスの上限] 設定を使用します。このリストには、Notes ユーザーの標準的なアクセスレベルが表示されます。
  - データベースに SSL 接続を要求する
    SSL (Secure Sockets Layer) は、TCP/IP プロトコル経由で実行する Domino® サーバータスクの通信上の機密性を保護し、認証を行うためのセキュリティプロトコルです。安全性が保証されている SSL 接続を使用してデータベースにアクセスすることをユーザーに要求できます。1 つのデータベースに対して、またはサーバーにあるすべてのデータベースに対して SSL 接続を要求することもできます。
- Domino® サーバー ID と Notes® ユーザー ID
  Domino® は、ID ファイルを使用して、ユーザーを識別し、サーバーへのアクセスを制御します。すべての Domino サーバー、Notes® 認証者、Notes ユーザーは、ID を持つ必要があります。
- 実行制御リスト
  操作制御リスト (ECL) を使用して、クライアントデータのセキュリティを設定します。ECL を使用すると、送信元が不明であったり疑わしい送信元から送られたアクティブコンテンツからクライアントを保護することができます。
- Domino® サーバーベース認証機関
  認証要求の管理と処理を行うには、CA プロセスサーバータスクを使用するように Domino® 認証機関を設定します。CA プロセスは、証明書の発行に使用される Domino サーバー上でプロセスとして実行されます。Notes® 認証者またはインターネット認証者を設定する際、サーバー上の CA プロセスにリンクするように設定すると、CA プロセスの機能を利用できます。1 台のサーバー上で実行できる CA プロセスのインスタンスは、1 つだけです。ただし、CA プロセスは、複数の認証者にリンクできます。
- SSL セキュリティー
  SSL (Secure Sockets Layer) は、TCP/IP プロトコル経由で実行する Domino® サーバータスクの通信上の機密性を保護し、認証を行うためのセキュリティプロトコルです。
- クライアントの SSL と S/MIME
  クライアントでは、Domino® 認証機関 (CA) アプリケーションかサードパーティ CA を使用して、SSL と S/MIME の接続を保護するための証明書を取得できます。
- 暗号化
  暗号化を使用すると、不正なアクセスからデータを保護できます。
- インターネット/イントラネットクライアントの名前とパスワードによる認証
  基本的なパスワード認証として知られる名前とパスワードによる認証です。ユーザーに名前とパスワードを要求し、Domino® ディレクトリ内のユーザー文書に保存されているパスワードの保護ハッシュと比較してパスワードが正確であるかを検証する、基本的な質問/応答のプロトコルが使用されます。
- 複数サーバーのセッションベースの認証 (シングルサインオン)
  シングルサインオン (SSO) とも呼ばれる複数サーバーのセッションベース認証を使用することにより、Web ユーザーは、Domino® サーバーまたは WebSphere® サーバーに一度ログインすると、同一の DNS ドメイン内にあってシングルサインオン (SSO) が有効になっている他の任意の Domino サーバーや WebSphere サーバーに、再度ログインすることなくアクセス可能になります。
- Security Assertion Markup Language (SAML) を使用して統合 ID 認証を設定する
  統合 ID は、シングルサインオンを実現して、ユーザーの利便性を高め、管理コストの削減を図る手段です。IBM Domino® と IBM Notes® では、ユーザー認証用の統合 ID に、OASIS の Security Assertion Markup Language (SAML) 標準が使用されます。
- 資格情報ストアを使用して資格情報を共有する
  このリリースでは、オンプレミス Domino® サーバーは資格情報ストアアプリケーション (credstore.nsf) を使用できます。資格情報ストアとは、IBM Notes® クライアントユーザーが OAuth (Open Authorization) プロトコルを使用するアプリケーションへのアクセスを許可するために必要な文書暗号キーやその他のトークンのためのセキュアなリポジトリです。OAuth はユーザーの資格情報を OAuth 準拠のアプリケーションで共有できるようにすることで、余分なパスワード入力を排除します。

データベース ACL を管理する

Domino® 管理者は、次の方法を使用してデータベース ACL を管理できます。

このタスクについて

以下のタスクを実行して ACL を更新します。

さらに、ACL への変更をモニターできます。

ACL の変更内容のログを時系列に表示する。
データベースイベントジェネレータを作成し、データベース ACL が変更されたときに自動的に電子メールを送信する。