セキュリティ
階層名を使って ACL に名前を追加すると、セキュリティを強化できます。次に例を示します。
Randi Bowker/Sales/FactoryCo
ACL エントリの種類ワイルドカードを使うエントリデータベースのアクセスに規則性を持たせるには、ACL でワイルドカード文字 (*) のある階層名を入力します。ワイルドカードは、共通名や組織単位の構成要素に使えます。 ACL に特定のユーザー名やグループ名がまだ存在せず、階層名に含まれるコンポーネントにワイルドカードが含まれているユーザーやサーバーには、一致する各ワイルドカードエントリによって指定される最も高いレベルのアクセス権が与えられます。
ワイルドカードを使用した ACL エントリの例を次に示します。
Michael Bowling/Illustration/Production/Acme/US
Alan Nelson/Acme/US
Karen Richards/Illustration/East/Acme/US
ユーザー名ACL には、認証された Lotus Notes ユーザー ID を持つ任意のユーザー名や、名前とパスワードまたは SSL クライアント認証を使って認証するインターネットユーザー名を追加できます。
メモ [ユーザー名] フィールドに複数の別名を入力して、それらを認証で使用できます。ただし、セキュリティ認証のチェックを実行する際に使用されるのは、リスト内の先頭の名前です。これは、すべての IBM(R) Lotus Domino(R) データベース ACL、サーバー文書のセキュリティに関する設定、.ACL ファイルで使用する名前です。
サーバー名ACL にサーバー名を追加すると、レプリカが行うデータベースの変更を制御できます。セキュリティを強化するために、追加するサーバーの名前がデータベースのあるサーバーと階層上別の組織に属するかどうかには関係なく、サーバーの階層付きの完全な名前 (Server1/Sales/Acme など) を入力します。 グループ名同じアクセス権が必要な複数のユーザーやサーバーがある場合は、ACL にグループ名 (Training など) を追加します。ユーザーは、主になる階層名かユーザー名の別名のどちらかでグループに登録します。グループのメンバーとしてワイルドカードを使うエントリを指定することもできます。ACL にグループ名を追加する前に、Domino ディレクトリ内、またはディレクトリアシスタントデータベースでグループ認証用に設定されている 2 次 Domino ディレクトリか外部 LDAP ディレクトリ内のいずれかに、グループをあらかじめ作成しておく必要があります。 メモ ACL で使用するすべてのグループ名は、グループの作成用に定められたガイドラインに従っていることを確認してください。間違った名前を使用すると、アクセスに支障をきたすことがあります。
グループ名の作成ガイドラインについて詳しくは、「ユーザーとサーバーの設定」の章を参照してください。
グループ名の作成ガイドラインについて詳しくは、「Lotus Domino Administrator でグループを作成する」を参照してください。
ヒント データベース管理者には、グループ名ではなく個人名を使います。こうすると、ユーザーが [作成] - [その他] - [データベース管理者へのメール] を選んだときに、相手が誰か分かります。
グループを使うと、データベース ACL を管理しやすくなります。ACL でグループを使うことには、次の利点があります。
[Terminations] グループ 社員が退職するときは、Domino ディレクトリにあるすべてのグループからその社員の名前を削除し、サーバーへのアクセスを拒否するために使用する [アクセス不可グループのみ] グループに追加します。サーバー文書内の [アクセス不可グループ] には、Lotus Domino Server へのアクセス権を失った Lotus Notes ユーザーおよびグループの名前が格納されます。また、組織内のすべてのデータベースの ACL から退職した社員の名前が削除されていることを確認する必要もあります。Domino ディレクトリからユーザーを削除するときは、「削除したユーザーをアクセス不可グループに追加する」こともできます (アクセス不可グループが作成済みの場合)。そのようなグループが存在しない場合は、「アクセス禁止グループが未選択または有効ではありません」とダイアログボックスに表示されます。
[アクセス不可グループのみ] グループについて詳しくは、「グループを作成して変更する」の項目を参照してください。
アクセス不可リストについて詳しくは、「アクセス不可リスト」の項目を参照してください。
ユーザー名の別名ユーザー名の別名は、登録されている Lotus Notes ユーザーに管理者がオプションで割り当てることができる別名です。別名は、ACL に追加できます。ユーザー名の別名には、ユーザーの主になる階層名と同じレベルのセキュリティが与えられます。基本ユーザー名が Sandra Brown/West/Sales/Acme であるユーザーの場合、別名の形式の例を示すと Sandy Smith/ANWest/ANSales/ANAcme のようになります (AN は別名です)。 別名について詳しくは、「別名言語と別名をユーザー ID に追加する」の項目を参照してください。
LDAP ユーザー2 次 LDAP ディレクトリを使ってインターネットユーザーを認証できます。そして、これらのインターネットユーザー名をデータベースの ACL に追加し、ユーザーのデータベースへのアクセスを制御できます。 インターネットユーザー名を含む 2 次 LDAP ディレクトリを使ってグループを作成し、Lotus Notes データベースの ACL エントリとしてそのグループを追加することもできます。たとえば、インターネットユーザーが Lotus Domino Web サーバー上のデータベースにアクセスを試みたとします。Web サーバーがそのユーザーを認証し、ACL に「Web」という名前のグループがあると、1 次 Domino ディレクトリ内の検索に加えて外部の LDAP ディレクトリにある「Web」グループ内のインターネットユーザー名もサーバーによって検索できます。このケースが正しく処理されるためには、Web サーバー上のディレクトリアシスタントデータベースに、LDAP ディレクトリ用の LDAP ディレクトリアシスタント文書が格納されていて、文書の [グループの追加] オプションで [はい] が選択されていなければなりません。この機能は、データベース ACL のチェックで、外部 LDAP ディレクトリグループに格納されている Lotus Notes ユーザー名を検索する場合にも利用できます。
LDAP ディレクトリユーザー名やグループ名をデータベース ACL に追加するとき、名前の形式には LDAP 形式を使用し、区切り文字にはカンマ (,) ではなくスラッシュ (/) を使用してください。たとえば LDAP ディレクトリ のユーザー名が次のような場合は、
たとえば、次のような名前を ACL に追加すると、
メモ LDAP 名内のバックスラッシュの後に別の文字がある場合は、その名前をデータベース ACL 内で指定する際、バックスラッシュを省いてください。
すべてのデータベーステンプレート (.NTF ファイル) に対する [Anonymous] の ACL エントリは、デフォルトでは [読者] のアクセスレベルを持ちます。そのため、ユーザーやサーバーは、テンプレートに基づいて .NSF ファイルの作成や更新を実行する際、そのテンプレートから読み込みを正常に実行できます。
データベースファイル (.NSF ファイル) に対する [Anonymous] の ACL エントリは、デフォルトでは [なし] のアクセス権になります。
匿名ユーザーがデータベースに対して持つアクセス権のさまざまな条件を次の表に示します。
ヒント すべてのユーザーに対してデータベースでの認証を行うようにするには、データベースの ACL 内で [Anonymous] に「なし」のアクセスレベルが設定されていることと、パブリック文書 [読者] とパブリック文書 [作成者] が無効になっていることを確認します。インターネットユーザーの名前を、必要なアクセスレベルで ACL に追加します。
Lotus Domino Server でグループ名 [Anonymous] が使われるのは、アクセス制御を検査するときだけです。たとえば、データベース ACL で [Anonymous] に [作成者] のアクセス権を設定してある場合、文書の [作成者] フィールドには本当のユーザー名が表示されます。ただし、Lotus Domino Server で文書の [作成者] フィールドに本当の名前が表示できるのは、匿名 Lotus Notes ユーザーの場合だけです。匿名インターネットユーザーの本当の名前は表示できません。匿名アクセスが使用されているかどうかにかかわらず、[作成者] フィールドはセキュリティの対象とはなりません。作成者名の有効性をチェック対象とする必要がある場合は、署名入り文書にしてください。
レプリカ IDデータベース内のエージェントが @DbColumn や @DbLookup を使って別のデータベース内のデータを取得できるようにするには、取得対象のデータが含まれるデータベースの ACL に、そのエージェントを含むデータベースのレプリカ ID を入力します。エージェントを含むデータベースは、取得対象のデータが含まれるデータベースに対して [読者] 以上のアクセス権を持っていなければなりません。どちらのデータベースも、同一のサーバー上に存在している必要があります。データベース ACL 内で、レプリカ ID は 85255B42:005A8FA4 のように表示されます。レプリカ ID には小文字と大文字の両方を使えますが、引用符で囲まないでください。 取得先データベースの [-Default-] のアクセスレベルが [読者] 以上に設定されている場合、このデータベースは、アクセス制御リストにレプリカ ID が含まれていなくてもデータを取得できます。
ACL エントリの評価順序ACL エントリは、決まった順序で評価されます。その結果によって、データベースにアクセスしようとする認証済みユーザーに付与されるアクセスレベルが決まります。ユーザーがサーバーでの認証に失敗すると、サーバーは、ユーザー名が [Anonymous] であるものとしてアクセス権を計算し、その結果に従ってアクセスを許可します。
メモ ACL に共通名 (Sandra E Smith など) だけを入力した場合は、そのユーザーの名前とデータベースサーバーが同一のドメイン階層に存在している場合に限り、エントリが一致します。たとえば、ユーザーが Sandra E Smith で、その階層名が Sandra E Smith/West/Acme、データベースサーバーが Manufacturing/FactoryCo の場合、エントリ Sandra E Smith は、サーバー Manufacturing/FactoryCo 上の ACL では正しいアクセスレベルを取得できません。ユーザーが他のドメイン内のサーバー上の ACL で正しいアクセスレベルを取得できるようにするには、完全な階層名で名前を入力する必要があります。
メモ ユーザーが、ACL 内の明示的なエントリと一致し、ACL にリストされているグループのメンバーでもある場合、そのユーザーは明示的なエントリに割り当てられているアクセスレベルを常に取得します。これは、グループのアクセスレベルのほうが高い場合でも当てはまります。