 |
| SSBローカルユーザー画面例 |
螺子です。SSBは、ログを安全に管理できるようにユーザー毎にアクセス権を設定する機能を持っており、ログの不正アクセスや漏洩を予防できます。
今回、SSBにローカルユーザーのアカウントを作成し、そのユーザーが属するグループにアクセス権を設定する手順を紹介します。
この記事では、アクセス権限を設定し、ユーザーがアクセスできるメニューと、それらのページを[読み取りのみ]または[実行可能]かどうかを設定します。
- syslog-ng Store Box大活用連載企画第1回「syslog-ng Store Boxを知る」
- syslog-ng Store Box大活用連載企画第2回「syslog-ng Store Boxを仮想環境にインストールする」
- syslog-ng Store Box大活用連載企画第3回「syslog-ng Store Boxで出来ることまとめ」
- syslog-ng Store Box大活用連載企画第4回「Wiresharkでsyslogプロトコルパケットを覗く」
- syslog-ng Store Box大活用連載企画第5回「ciscoスイッチ、fortigateファイアウォールログをSSBで受信！よりログを検索しやすく」
- syslog-ng Store Box大活用連載企画第6回「RPC APIを使ってみる、自社システムに統合！ログ検索の自動化！」
- syslog-ng Store Box大活用連載企画第7回「Active Directoryと連携して、Active Directoryユーザー認証！」
- syslog-ng Store Box大活用連載企画第8回「SSBをHA(High Availability)構成で構築してみる！」
- syslog-ng Store Box大活用連載企画第9回「ログをバイナリおよびテキスト形式で保存、違いを比較してみる」
- syslog-ng Store Box大活用連載企画第10回「ログファイルを共有して、外部ホストからアクセスしてみる！」
- syslog-ng Store Box大活用連載企画第11回「フィルターを使用して、必要なログのみ保存してみる！」
- syslog-ng Store Box大活用連載企画第12回「SSBの監視とアラート！SNMPマネージャーで監視およびSNMPトラップを受信してみる」
- syslog-ng Store Box大活用連載企画第13回「コンテンツベースアラート。重要なログを見逃さない！」
- syslog-ng Store Box大活用連載企画第14回「設定変更履歴。コンプライアンスにも対応！」
- syslog-ng Store Box大活用連載企画第15回「トラブルシューティングに役立つ機能。問題を迅速に解決！」
ローカルユーザーのアカウント作成
新しいローカルユーザーを作成するには、[AAA]>[Local Users]に移動します。
右下の
ボタンをクリックします。新しいローカルユーザーを作成するための追加のフィールドが表示されます。
ユーザー名(ここでは、"user2")と対応するパスワードを入力します。
[Groups]フィールドの
ボタンをクリックします。ドロップダウンリストが表示されるので適用するグループを選択します。複数のグループを適用するには、この手順を繰り返します。
 |
| 図1. [Local Users]の[Groups]ドロップダウンリスト例 |
ここでは、"basic-view"(デフォルトで定義済みの組込みユーザーグループ)を選択しています。[Commit]をクリックして設定を保存します。
 |
| 図2. [Local Users]設定例(その1) |
※[admin]ユーザーはデフォルトで利用可能で、すべての権限を持っています。このユーザーは削除することはできません。
※SSBでは、デフォルトで以下の組込ユーザーグループが定義されています。詳細については、syslog-ng Store Box6 LTS管理者ガイドの「5.6.5 SSBの組込みユーザーグループ」をご参照ください。
- basic-view
- basic-write
- auth-view
- auth-write
- search
- changelog
- report
- policies-view
- policies-write
- log-view
- log-write
ここで、"user2"でログインしてみます。
SSBのメニューが"Basic Settings"のみ表示されています。
 |
| 図3. "user2"の表示メニュー例 |
また、各設定画面(ここでは、[Network])の各フィールドがグレーアウトされ、設定変更が出来なくなっています。
 |
| 図4. "user2"の[Network]画面表示例 |
ローカルユーザーグループの作成
新しいローカルユーザーグループを作成するには、[AAA]>[Group Management]に移動します。
 |
| 図5. [Group Management]画面例 |
右下のボタンをクリックします。新しいローカルユーザーグループための追加のフィールドが表示されます。
ここでは、グループ名に"viewer"と入力して、[Commit]をクリックして設定を保存します。
 |
| 図6. ローカルユーザーグループ設定例 |
※[AAA]>[Group Management]で、既存のユーザーをグループのメンバーすることができますが、このブログでは割愛いたします。
アクセス権限の割り当て
次に、作成したグループにアクセス権限を割り当てます。
新しいローカルユーザーグループにアクセス権限を割り当てるには、[AAA]>[Access Control]に移動します。
 |
| 図7. [Access Control]画面例 |
右下のボタンをクリックします。新しくアクセス権限を割り当てるための追加のフィールドが表示されます。
[Group]フィールドに、上述で作成したグループ名"viewer"を入力します。補完機能により、入力した文字が含まれるグループがリストされます。
 |
| 図8. [Group]フィールドの補完機能例 |
グループに、どのメニューにアクセスできるかを指定するのに、グループ名の横の
ボタンをクリックします。
[Select object]ウィンドウがポップアップされます。
 |
| 図9. [Select object]ウィンドウ例 |
オブジェクト(メニュー)のボタンをクリックすると、オブジェクト(メニュー)が展開されます。
 |
| 図10. [Select object]ウィンドウ(展開)例 |
アクセスさせるオブジェクト(メニュー)にチェックを入れます。ここでは、[Search]と[Reports]にチェックしています。
ボタンをクリックして保存します。
 |
| 図11. [Select object]ウィンドウチェック例 |
ボタン横のドロップダウンリストから[read]または[write/perform]を選択します。それぞれ、[読み取りのみ]または[実行可能]かを表しています。
 |
| 図11. [read]または[write/perform]ドロップダウンリスト例 |
これで、"viewer"グループに、[Search]と[Reports]オブジェクト(メニュー)への読み込みアクセス権限が割り当てられました。[Commit]をクリックして設定を保存します。
 |
| 図12. [Access Control]設定例 |
※以下の権限は、デフォルトで定義済みの組込みユーザーグループには含まれていません。
- SSBのコンフィグレーションをエクスポートするには、[Export configuration]権限が必要です。
- SSBのコンフィグレーションをインポートするには、[Import configuration]権限が必要です。
- デバッグバンドルを取得するには、[System debug]権限が必要です。
最後に、[AAA]>[Local Users]で、ローカルユーザー(ここでは、"user1")にグループ("viewer")を割り当てます。[Groups]フィールドのドロップダウンリストに"viewer"がリストされています。
 |
| 図13. [Local Users]設定例(その2) |
"user1"でログインしてみます。
SSBのメニューが"Search"および"Reports"のみ表示され、[Reports]>[Configuration]の入力フィールドはグレーアウトしていて参照のみが可能になっています。
 |
| 図14. "user1"の表示メニュー例 |
 |
| 図15. [Reports]>[Configuration]の表示例(その1) |
 |
| 図16. [Reports]>[Configuration]の表示例(その2) |
参考資料
詳細については、syslog-ng Store Box6 LTS管理者ガイドの「5.1 SSBのローカルユーザー管理」、「5.3 ローカルユーザーグループの管理」および「5.6 ユーザー権限とユーザーグループの管理」をご参照ください。
なお、SSBは外部のLDAPデータベース、あるいはRADIUSサーバーにユーザー認証することができます。LDAPデータベースを使用してユーザー認証するには、過去記事「syslog-ng Store Box大活用連載企画第7回「Active Directoryと連携して、Active Directoryユーザー認証！」」も参照してください。
いかがでしたでしょうか。今回は、ユーザーアクセス制御について紹介しました。
それでは、次回の連載記事をお楽しみに！
