実装ガイド › UNIX エンドポイントのインストールおよびカスタマイズ › メンテナンス モードの保護（サイレント モード）

メンテナンス モードの保護（サイレント モード）

CA Access Control には、メンテナンス モード（サイレント モードとも呼ばれる）が実装されています。CA Access Control デーモンがメンテナンスのために停止した場合は、このモードにより保護されます。 メンテナンス モードでは、これらのデーモンが停止している間、CA Access Control ではイベントが拒否されます。

CA Access Control は、稼動している場合には、セキュリティを脅かすイベントをインターセプトして、イベントを許可するかどうかをチェックします。 メンテナンス モードをアクティブにしないと、CA Access Control サービスが停止している間、すべてのイベントが許可されます。 メンテナンス モードをアクティブにした場合は、CA Access Control デーモンが停止すると、イベントは拒否されます。このため、システムのメンテナンスが行われている間、ユーザの活動は停止されます。

メンテナンス モードは調整することができます。デフォルトでは、無効です。

CA Access Control セキュリティ サービスが停止している間は、以下のような状態になります。

• メンテナンス モードがアクティブである場合、セキュリティを脅かすイベントはすべて拒否されます（ただし、特別な場合、およびメンテナンス ユーザによって実行されるイベントは除きます）。
• メンテナンス モードが無効である場合、CA Access Control は介入せず、実行はオペレーティング システムに渡されます。

メンテナンス モードがアクティブでセキュリティが停止しているときに拒否されたイベントは、監査ログ ファイルに記録されません。

メンテナンス モードを有効にするには、以下の手順に従います。

重要： root がメンテナンス ユーザでない場合、メンテナンス ユーザ用に開いているセッションがあることを確認します。そのようなセッションがない場合、ログインすることはできません。

1. CA Access Control デーモンが停止していることを確認します。
2. seini ユーティリティを使用して、トークン silent_deny の値を yes に変更します。

   トークンは、SEOS_syscall セクションにあります。

   seini -s SEOS_syscall.silent_deny yes
   

3. トークン silent_admin の値を数値の UNIX UID に変更し、CA Access Control  デーモンが停止している間、この UNIX UID がコンピュータにアクセスできるようにします。

   seini -s SEOS_syscall.silent_admin <maintenance_UID>
   

   注： root は、デフォルトのメンテナンス モード ユーザ（UID 0）です。

   重要： メンテナンス ユーザが root でない場合は、メンテナンス モードで CA Access Control を起動できるように CA Access Control 認証デーモン setuid を root ユーザに設定します。 この変更を行うには、以下のコマンドを入力します。
   chmod 6111 seosd

4. seload コマンドを使用して、CA Access Control デーモンを起動します。

   注： メンテナンス モード ユーザが root でない場合は、seosd コマンドを使用して CA Access Control デーモンを起動します。