![次のトピック: ch[x]grp コマンド - グループ プロパティの変更](573.png)
|
|
|
AC 環境で有効
FILE クラスに属するレコードに対する作業には、chfile、editfile、および newfile コマンドを使用します。 これらのコマンドは構造が同じですが、以下の点のみ異なっています。
注： このコマンドはネイティブ環境にもありますが、動作が異なります。
FILE クラスに属するファイルのレコードを追加または変更するには、そのファイルに対する適切な権限が必要です。 CA Access Control では、ユーザに対し以下の条件がチェックされ、いずれかの条件が満たされるとチェックは終了します。
{{chfile|cf}|{editfile|ef}|{newfile|nf}} filename... ¥
[audit{none|all|success|failure}] ¥
[category[-](categoryName)] ¥
[comment(string)|comment‑] ¥
[defaccess(accessAuthority)] ¥
[label(labelName)|label‑] ¥
[level(number)|level‑] ¥
[notify(mailAddress)|notify‑] ¥
[gowner(groupName)] ¥
[owner({userName|groupName})] ¥
[restrictions( ¥
[days({anyday|weekdays|{[mon] [tue] [wed] ¥
[thu] [fri] [sat] [sun]}})] ¥
[time({anytime|startTime:endTime}) ¥
|restrictions‑] ¥ [warning|warning‑]
ログに記録するアクセス イベントを指定します。 アクセス タイプは以下のとおりです。
注： audit パラメータを指定するには、AUDITOR 属性が必要です。
ファイルに割り当てる、（CATEGORY クラスに定義されている）セキュリティ カテゴリ レコードのスペースまたはカンマで区切られたリストを定義します。
CATEGORY クラスがアクティブでない場合に category パラメータを指定すると、データベース内のファイルの定義が更新されます。ただし、更新されたカテゴリの割り当ては、CATEGORY クラスを再度アクティブにするまでは有効になりません。
注： セキュリティ カテゴリ チェックの詳細については、お使いの OS に対応する「エンドポイント管理ガイド」を参照してください。
リソース レコードから 1 つ以上のセキュリティ カテゴリを削除します。 複数のセキュリティ カテゴリを削除する場合は、各セキュリティ カテゴリ名をスペースまたはカンマで区切ります。
指定したセキュリティ カテゴリは、CATEGORY クラスがアクティブかどうかに関係なく、リソース レコードから削除されます。
注： このパラメータは、レコードを変更する場合にのみ有効です。
最大 255 文字の英数字から成る文字列をファイル レコードに追加します。 文字列に空白が含まれる場合は、文字列を一重引用符で囲みます。 以前に定義した既存のコメントがある場合、この文字列に置き換えられます。
ファイル レコードからコメント文字列を削除します。
注： このパラメータは、レコードを変更する場合にのみ有効です。
ファイルに対するデフォルトのアクセス権限を指定します。 デフォルトのアクセス権限は、ファイルのアクセス制御リストに含まれていないアクセサがファイルへのアクセスを要求した場合に与えられる権限です。 デフォルトのアクセス権限は、データベースに定義されていないユーザにも適用されます。
ファイル レコードの名前を指定します。 ファイル名は、少なくとも 1 つ指定する必要があります。
汎用ファイル名を使用して FILE クラスにレコードを追加する場合、またはレコードを変更する場合は、selang で許可されているワイルドカード式を使用します。 複数のレコードを定義または変更する場合は、ファイル名のリストを丸かっこで囲み、各ファイル名をスペースまたはカンマで区切ります。
注： 複数のファイル名が指定されている場合は、指定されたパラメータに基づいて各ファイル レコードが個別に処理されます。 ファイルの処理中にエラーが発生すると、メッセージが発行され、リストの次のファイルから処理が続行されます。
ファイル レコードの所有者として CA Access Control グループを割り当てます。 ファイル レコードのグループ所有者には、ファイルに対する無制限のアクセス権が与えられます。ただし、前提として、グループ所有者のセキュリティ レベル、セキュリティ ラベル、およびセキュリティ カテゴリに、ファイルへのアクセスを許可する適切な権限が設定されている必要があります。 ファイルのグループ所有者には、ファイル レコードを更新および削除する許可が常に与えられます。
SECLABEL クラスに定義されているセキュリティ ラベルをファイルに割り当てます。 セキュリティ ラベルは、特定のセキュリティ レベルと 0 個以上のセキュリティ カテゴリとの関係を表します。 リソース レコードに現在セキュリティ ラベルが含まれている場合、現在のセキュリティ ラベルは、ここで指定したセキュリティ ラベルに置き換えられます。
注： セキュリティ ラベル チェックの詳細については、お使いの OS に対応する「エンドポイント管理ガイド」を参照してください。
ファイル レコードに定義されているセキュリティ ラベルを削除します。
注： このパラメータは、レコードを変更する場合にのみ有効です。
リソース レコードにセキュリティ レベルを割り当てます。 1 ～ 255 の正の整数を入力します。 リソース レコードにすでにセキュリティ レベルが割り当てられている場合、既存の値は新しい値に置き換えられます。
注： セキュリティ レベル チェックの詳細については、お使いの OS に対応する「エンドポイント管理ガイド」を参照してください。
CA Access Control によるリソースのセキュリティ レベル チェックを停止します。
注： このパラメータは、レコードを変更する場合にのみ有効です。
リソース レコードが示すファイルへのアクセスが成功するたびに通知メッセージを送信するよう CA Access Control に指示します。 ユーザ名またはユーザの電子メール アドレスを入力します。また、別名が指定されている場合は、メール グループの電子メール アドレスも入力できます。
通知は、ログ ルーティング システムがアクティブな場合にのみ行われます。 通知メッセージは、ログ ルーティング システムの設定に基づいて、ユーザの画面またはメールボックスに送信されます。
通知メッセージが送信されるたびに、監査ログに監査レコードが書き込まれます。
通知メッセージの受信者は、頻繁にログインして、各メッセージに示された不正アクセスの試みに対処する必要があります。
制限： 30 文字。
注： 監査レコードのフィルタ処理と表示の詳細については、お使いの OS に対応する「エンドポイント管理ガイド」を参照してください。
レコードが示すファイルへのアクセスを CA Access Control が許可する際に誰にも通知しないように指定します。
注： このパラメータは、レコードを変更する場合にのみ有効です。
ファイル レコードの所有者として CA Access Control ユーザまたはグループを割り当てます。 ファイル レコードの所有者には、ファイルに対する無制限のアクセス権が与えられます。ただし、前提として、所有者のセキュリティ レベル、セキュリティ ラベル、およびセキュリティ カテゴリに、ファイルへのアクセスを許可する適切な権限が設定されている必要があります。 ファイルの所有者には、ファイル レコードを更新および削除する許可が常に与えられます。
ユーザがファイルにアクセスできる曜日と時間帯を指定します。
days 引数を指定せずに time 引数を指定した場合、レコード内にすでに設定されている曜日制限に対して、指定した時間帯制限が適用されます。 time 引数を指定せずに days 引数を指定した場合、レコード内にすでに設定されている時間帯制限に対して、指定した曜日制限が適用されます。 days 引数と time 引数の両方を指定した場合、指定した曜日の指定した時間帯にのみユーザはシステムにアクセスできます。
ユーザがファイルにアクセスできる曜日を指定します。 days 引数には次のサブ引数があります。
ユーザがファイルにアクセスできる時間帯を指定します。 time 引数には次のサブ引数があります。
ファイルに対するアクセス権限を限定するすべての曜日および時間帯の制限を削除します。
注： このパラメータは、レコードを変更する場合にのみ有効です。
ファイルを警告モードにします。
ファイルの警告モードを解除します。
例： スーパーユーザ以外のすべてのユーザに対し、ファイルへのアクセスを制限
スーパーユーザ以外のすべてのユーザに対する/etc/passwd ファイルへのアクセスを READ アクセスに制限するには、以下のコマンドを入力します。
chfile /etc/passwd defaccess(read) owner(root)
以下の条件が満たされている必要があります。
例： 時間を指定してファイルへのアクセスを制限
/home/bob/secrets ファイルへのアクセスを防ぎ、所有者によるアクセスを平日の 08:00 ～ 18:00 に制限するには、以下のコマンドを入力します。
newfile /home/bob/secrets defac(none) restrictions(d(weekdays) t(0800:1800))
以下の条件が満たされている必要があります。
例： ホーム ディレクトリへのアクセスの制限
自分以外のユーザがホーム ディレクトリ（/home/bob）のどのファイルにもアクセスできないようにするには、UNIX で以下のコマンドを入力します。
newfile /home/bob/* defaccess(none)
同じことを Windows では以下のコマンドで実行できます。
newfile %userprofile%¥* defaccess(none)
以下の条件が満たされている必要があります。
| Copyright © 2011 CA. All rights reserved. | このトピックについて CA Technologies に電子メールを送信する |