ホーム
保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
SSL セキュリティー
SSL (Secure Sockets Layer) は、TCP/IP プロトコル経由で実行する Domino® サーバータスクの通信上の機密性を保護し、認証を行うためのセキュリティプロトコルです。
SSL クライアントのデータベースへのアクセス権を設定する
Domino® サーバーで SSL を設定したら、サーバーのデータベースへのアクセス権をクライアントに与える必要があります。

保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
- Domino のセキュリティの概要
  組織のセキュリティを設定することは、非常に重要なタスクです。組織の IT リソースと資産を保護するためには、セキュリティのインフラストラクチャが重要な役割を果たします。システム管理者は、サーバーまたはユーザーの設定を実行する前に、組織のセキュリティ要件を慎重に考慮する必要があります。最新の情報を把握してプランニングを行うと、セキュリティ侵害のリスクを最小限に抑えることができます。
- Notes® ユーザー、インターネットユーザー、Domino® サーバーのサーバーへのアクセス
  Domino® では、ユーザーやサーバーから他のサーバーへのアクセスは、検証と認証のルールに加え、サーバー文書の [セキュリティ] タブで設定した内容に従って制御されます。Notes® ユーザー、インターネットユーザー、サーバーは、サーバーに検証および認証され、サーバー文書の設定内容でアクセスが許可されていれば、そのサーバーにアクセスできます。
- データベースのアクセス制御リスト
  各データベースにはアクセス制御リスト (ACL) が 1 つずつあります。ACL は、ユーザーとサーバーがそのデータベースに実行できるアクセスのレベルを指定します。割り当てるアクセスレベルの名前は、サーバーの場合もユーザーの場合も同じです。ただし、ユーザーに割り当てたアクセスレベルからはユーザーがデータベース内で実行できるタスクが決まり、サーバーに割り当てたアクセスレベルからはサーバーがデータベースのどの情報を複製できるかが決まります。ACL の作成や更新を行うには、[管理者] 以上のアクセス権が必要です。
- Domino® サーバー ID と Notes® ユーザー ID
  Domino® は、ID ファイルを使用して、ユーザーを識別し、サーバーへのアクセスを制御します。すべての Domino サーバー、Notes® 認証者、Notes ユーザーは、ID を持つ必要があります。
- 実行制御リスト
  操作制御リスト (ECL) を使用して、クライアントデータのセキュリティを設定します。ECL を使用すると、送信元が不明であったり疑わしい送信元から送られたアクティブコンテンツからクライアントを保護することができます。
- Domino® サーバーベース認証機関
  認証要求の管理と処理を行うには、CA プロセスサーバータスクを使用するように Domino® 認証機関を設定します。CA プロセスは、証明書の発行に使用される Domino サーバー上でプロセスとして実行されます。Notes® 認証者またはインターネット認証者を設定する際、サーバー上の CA プロセスにリンクするように設定すると、CA プロセスの機能を利用できます。1 台のサーバー上で実行できる CA プロセスのインスタンスは、1 つだけです。ただし、CA プロセスは、複数の認証者にリンクできます。
- SSL セキュリティー
  SSL (Secure Sockets Layer) は、TCP/IP プロトコル経由で実行する Domino® サーバータスクの通信上の機密性を保護し、認証を行うためのセキュリティプロトコルです。
  - Domino® サーバーで SSL を設定する
    Domino® サーバーで SSL を設定し、サーバーに接続するクライアントとサーバーが SSL を使用してネットワーク上でのプライバシーと認証を確保できるようにします。SSL は、プロトコルごとに設定します。たとえば、メールプロトコル (IMAP、POP3、SMTP など) では SSL を使用し、他のプロトコルでは使用しないように設定できます。
  - SSL クライアントのデータベースへのアクセス権を設定する
    Domino® サーバーで SSL を設定したら、サーバーのデータベースへのアクセス権をクライアントに与える必要があります。
  - サーバー証明書と認証要求を管理する
    管理者は、証明書のライフサイクルを管理する際にさまざまなタスクを実行します。このトピックでは、このプロセスについて概説するとともに、証明書の表示方法、キーリングファイルのパスワードの変更方法、認証機関の信頼されたルートの指定方法、認証要求の表示方法、期限切れ証明書の更新方法に関する追加情報へのリンクも示します。
  - SSL 証明書をテストするために自己認証証明書を作成する
    自己認証の証明書を作成して、組織の認証手順をテストすることができます。この証明書は、CA によって認証されていないため、テスト以外の目的では使用しないでください。
  - サーバー間 SSL 用のインターネット相互認証を作成する
    信頼性の確立を目的として、あるサーバーが別のサーバーからインターネット相互認証を取得することができます。たとえばサーバーが別のサーバーのディレクトリアシスタントにアクセスする必要がある場合などです。
  - SSL 暗号に関する制限を変更する
    SSL では、パブリックキー、プライベートキー、セッションで決定するセッションキーが使用されます。どの SSL 証明書でも、SSL 証明書の生成時に作成されるプライベートキーとパブリックキーのペアが存在します。それらのキーは、証明書の所有者がネットワーク上で自分自身を識別したり、S/MIME を使用してメッセージを暗号化したり、メッセージに署名することを可能にします。証明書には、パブリックキーだけが含まれます。プライベートキーは、Notes® クライアントの ID ファイルに格納されます。SSL サーバーの場合は、キーリングに格納されます。
  - 2 次 Domino® ディレクトリと LDAP ディレクトリで Web SSL クライアントを認証する
    サーバーで Web クライアント認証を行う場合、デフォルトでは、1 次 HCLDomino® ディレクトリがチェックされ、クライアント証明書がユーザー文書にあるかどうか確認されます。クライアント証明書の確認に 2 次 Domino ディレクトリや LDAP ディレクトリを使用する場合は、これらのディレクトリもチェックするように Domino を設定できます。これには、2 次 Domino ディレクトリと LDAP ディレクトリをディレクトリアシスタントデータベースで信頼されたドメインとして設定します。
  - SSL セッションの再開
    SSL セッションの再開を利用すると、SSL 使用時のパフォーマンスが大幅に改善されます。直前の成功した SSL セッションのネゴシエーションの情報を再度呼び出すことによって、SSL セッションキーのネゴシエーションという最も負荷のかかる部分をバイパスできるからです。HTTP は SSL セッションの再開によって最も恩恵を受けるプロトコルですが、他のインターネットプロトコルにもメリットがあります。
- クライアントの SSL と S/MIME
  クライアントでは、Domino® 認証機関 (CA) アプリケーションかサードパーティ CA を使用して、SSL と S/MIME の接続を保護するための証明書を取得できます。
- 暗号化
  暗号化を使用すると、不正なアクセスからデータを保護できます。
- インターネット/イントラネットクライアントの名前とパスワードによる認証
  基本的なパスワード認証として知られる名前とパスワードによる認証です。ユーザーに名前とパスワードを要求し、Domino® ディレクトリ内のユーザー文書に保存されているパスワードの保護ハッシュと比較してパスワードが正確であるかを検証する、基本的な質問/応答のプロトコルが使用されます。
- 複数サーバーのセッションベースの認証 (シングルサインオン)
  シングルサインオン (SSO) とも呼ばれる複数サーバーのセッションベース認証を使用することにより、Web ユーザーは、Domino® サーバーまたは WebSphere® サーバーに一度ログインすると、同一の DNS ドメイン内にあってシングルサインオン (SSO) が有効になっている他の任意の Domino サーバーや WebSphere サーバーに、再度ログインすることなくアクセス可能になります。
- Security Assertion Markup Language (SAML) を使用して統合 ID 認証を設定する
  統合 ID は、シングルサインオンを実現して、ユーザーの利便性を高め、管理コストの削減を図る手段です。IBM Domino® と IBM Notes® では、ユーザー認証用の統合 ID に、OASIS の Security Assertion Markup Language (SAML) 標準が使用されます。
- 資格情報ストアを使用して資格情報を共有する
  このリリースでは、オンプレミス Domino® サーバーは資格情報ストアアプリケーション (credstore.nsf) を使用できます。資格情報ストアとは、IBM Notes® クライアントユーザーが OAuth (Open Authorization) プロトコルを使用するアプリケーションへのアクセスを許可するために必要な文書暗号キーやその他のトークンのためのセキュアなリポジトリです。OAuth はユーザーの資格情報を OAuth 準拠のアプリケーションで共有できるようにすることで、余分なパスワード入力を排除します。

SSL クライアントのデータベースへのアクセス権を設定する

Domino® サーバーで SSL を設定したら、サーバーのデータベースへのアクセス権をクライアントに与える必要があります。

匿名ユーザーの場合

サーバー認証だけを使用するようにクライアントを設定した場合は、クライアントはユーザー名を使用してサーバーにアクセスしないため、データベースの ACL にユーザーの名前を入力することはできません。代わりに、Anonymous というエントリをデータベースの ACL と設計要素アクセスリストに追加します。Anonymous のアクセス権を指定しないと、Domino® により匿名ユーザーには [- Default -] のアクセス権が与えられます。

クライアント認証の場合

クライアント認証とサーバー認証を使用するようにクライアントを設定した場合は、クライアントの名前をデータベースの ACL と設計要素アクセスリストに追加すれば、データベースへのクライアントのアクセスを制御できます。クライアントのユーザー文書にある [ユーザー名] フィールドの先頭にリストされている名前を使用する必要があります。たとえば、[ユーザー名] フィールドに Alan Jones/Renovations、ajones、Alan、AJ というエントリが含まれている場合は、Alan Jones/Renovations という名前を ACL と設計要素アクセスリストに追加します。サーバーでの認証は、[ユーザー名] にリストされているどの名前を使用しても実行することができますが、ACL と設計要素アクセスリストのエントリの確認は、Domino® により [ユーザー名] フィールドの先頭にリストされている名前を使用して行われます。先頭の名前は、階層名の形式にするよう強く推奨します。