Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Dynamic Access Control 解説編

3,427 views

Published on

Published in: Technology
  • DOWNLOAD THI5 BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download Full EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download doc Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THI5 BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download Full EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download doc Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THI5 BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download Full EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download EPUB Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... Download doc Ebook here { http://bit.ly/2m6jJ5M } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here

Dynamic Access Control 解説編

  1. 1. ダイナミックアクセス制御とはDynamic Access Control(DAC) 2013年03月29日 Version 2.0
  2. 2. “データガバナンス” へのニーズ 正しいコンプライアンスが必要自分のデータが適切に保護されて CIOいるかどうやって監査すればよいのだろう? コンテンツオーナー インフラサポート コンプライアンスに違反しているかどう どのデータに責任があって、どう か心配せずに必要なデータを使用したい やって制御すればよいかわからない Information Worker
  3. 3. そうは言っても、複雑な ”データガバナンス”• ファイル単位のアクセス権 • グループメンバーシップの管理• 増え続けるファイル アクセス ID管理 • 増え続けるグループとメンバー• 管理の分散(コンプライア 増減への対応 ンス測定不能) ポリシー • 複雑なメンバーシップルール• 暗号化すべきデータの識別 • 監査対象データの識別• 膨大なデータ 暗号化 監査
  4. 4. User and Device Claims Pre-2012: Security Principals Only • Restricted to making policy decisions based on the user’s group memberships • Shadow groups are often created to reflect existing attributes as groups • Groups have rules around who can be members of which types of groups • No way to transform groups across AD trust boundaries • No way to control access based on characteristics of user’s device Windows Server 2012: Security Principals, User Claims, Device Claims • Selected AD user/computer attributes are included in the security token • Claims can be used directly in file server permissions • Claims are consistently issued to all users in a forest • Claims can be transformed across trust boundaries • Enables newer types of policies that weren’t possible before: • Example: Allow Write if User.MemberOf(Finance) and User.EmployeeType=FullTime and Device.Managed=True
  5. 5. Expression-Based ACEs Pre-2012: ’OR’ of groups only • Led to group bloat • Consider 500 projects, 100 countries, 10 divisions • 500,000 total groups to represent every combination: • ProjectZ UK Engineering Users • ProjectZ Canada Engineering Users [etc…] Windows Server 2012: ‘AND’ in expressions • ACE conditions allow multiple groups with Boolean logic • Example: Allow modify IF MemberOf(ProjectZ) AND MemberOf(UK) AND MemberOf(Engineering) • 610 groups instead of 500,000 Windows Server 2012: with Central Access Policies & Classification • 3 User Claims & Resource Properties
  6. 6. アクセスコントロール• アクセスコントロール(アクセス制御)とは... ... ユーザーがアクセスしてもよいかどうかを評価するためのプロセス• Windows の場合以下の 2 種類 • ACL ベースのアクセスコントロール • Expression ベースのアクセスコントロール ID アクセス権 アクセス 情報
  7. 7. ACL(Access Control List)ベースのアクセスコントロール • リソースにアクセスコントロールエントリ(ACE)を静的に割り当てる • 各 ACE は「OR」で接続される ユーザー ACL ACE ACE Read/Write ACE Resource グループ ACE ACE ACE A Read Only
  8. 8. AGDLP A :Account G : Global Group DL : Domain Local Group ユーザー P : Permission 組織や役割ごと ACL のグループ グローバル ACE グループ “アクセス権”に ACE 合わせて作成さ Resource れたグループ ACE ドメイン ローカル グローバル グループ グループ ACE Read Only
  9. 9. 静的なACLを動的に管理するための Id プロビジョニングシステム • 「静的」な ACE を「動的」に割り当てる仕組みも存在する • Forefront Identity Manager のダイナミックグループ機能 グループ メタデータ グループ A workflow
  10. 10. Expression-Based グループ 通常のグループ Expression-Based グループ
  11. 11. RBAC(Role-Based Access Control) ユーザーやグループ単位ではなく”役割”単位でアクセス制御すること ....とはいえ、Windows の場合「役割」を「グループ」として表現するしかない.... 役割(Role:ロール) グループ 権限 公共事業部 マーケティング部所属 PubSec-Marketing 読み取り 公共事業部 営業部 所属 PubSec-Sales 読み取り 公共事業部 課長 PubSec-Managers 読み取り 公共事業部 部長 PubSec-SrManagers 読み取り ・・・・・
  12. 12. グループベース RBAC の限界 • リソースの増加とグループの増加 • 複雑なメンバーシップ管理(1グループ1人 !?) • イレギュラーでダイナミックな組織構造 • リソース管理者 ≠ ID 管理者 アクセス管理 連携が必要 ID 管理(ID 管理者) (リソース管理者) ACL A A Resource ACE ACE A A A ACL A Resource ACE A A ACE A A A A
  13. 13. Expression-Based Access Control • ユーザー側の属性とリソース側で定義した属性の条件によってアクセスを制御 条件が合致すればアクセス可能 アクセスルール ユーザーCountry = リソース Country ユーザー Department = リソース Department デバイス Owner = “Microsoft” ユーザー属性 リソース属性 デバイス属性
  14. 14. Dynamic Access Control • Expression-Based Access Control... ...利用者のキャラクター(属性)によって動的にアクセスを制御する • リソース管理者(リソースオーナー)は条件(Condition)を管理するだけ • ID 管理者は ID のプロビジョニングに対して責任を持つ アクセス管理 互いに素 ID 管理(ID 管理者) (リソース管理者) condition 営業部 IT部 A 人事部 A Read condition IT部 経理部 A Resource Backup condition 営業部 A 企画部 A 経理部 R/W
  15. 15. Windows Server 2012 ダイナミックアクセス制御(DAC) DAC によってそれぞれのテクノロジーを結びつける アクセス• アクセスポリシーの ID管理 ポリシー • クレームベースのアクセス制御 集中管理• 自動識別と自動暗号化 • 監査ポリシーの集中管理 暗号化 監査
  16. 16. DAC の想定シナリオ リソースごとに行っていたアクセス制御をエンタープライズレベルで統制 • アクセスポリシー(Central Access Policy)の集中管理  全社コンプライアンスポリシー  組織の認可ポリシー • ファイルアクセス監査ポリシー(Central Audit Policy)の集中管理 • File Classification Infrastructure(FCI)と連携したファイルの自動分類  データの自動分類  社外秘データの自動暗号化  法廷保存期間に沿ったファイルサーバー上のデータの保管
  17. 17. 「クレームベースのアクセス制御」とは • 「クレーム」とは「要求」のこと • 「要求」を出すのは「リソース(例:ファイルサーバー)側」 • ユーザーはリソース側のクレームに合致した属性情報を「トークン」として提示 • リソースは受け取ったトークンを解析してアクセス認可を判断 トークンを解析して アクセス認可を判断 Name = Junichi Anno ユーザー Company = MSKK リソース Department = Evangelism Title = Evangelist
  18. 18. DAC でのアクセス制御プロセスDAC においては• クレーム = 「分類属性」として定義• トークン = Kerberos チケットとして AD DS から発行される Windows Server 2012 必須 ※Kerberosに属性を含める機構が必要 AD DS ファイルサーバー ログオン 属性情報を含んだ Windows Kerberos チケット Server 2012 必須 ※属性を受信して解 析する機能が必要 ユーザー Name = Junichi Anno チケットとクレームを on Windows 8 Company = MSKK 照合
  19. 19. (参考)クライアントが Pre-Windows 8 の場合Windows 7 以前のクライアントの場合、属性が格納されたKerberosチケットを要求することができないため、ファイルサーバーがAD DSから属性情報を受け取る Windows Server 2003 以上のドメインレベル ※Service-for-User-to-Self(S4U2Self)機構が必要 AD DS ファイルサーバー ログオン 属性情報を含んだ Kerberos チケット Windows 従来の Kerberos Server 2012 必須 チケット ※属性を受信して解 析する機能が必要 ユーザー 属性は含まれない チケットとクレームを on Pre-Windows 8 照合
  20. 20. 分類属性(Classification Attributes) • ファイルシステムが持つ標準的な属性情報を拡張するための「属性リスト」 • 属性を編集するにはファイル サーバー リソース マネージャーのインストールが必須 • AD DS 側で属性リストを集中管理し、グループポリシーとして配布可能 AD DS ファイルサーバー + ファイルサーバーリソースマネージャー
  21. 21. DAC に必要なすべての情報が DC で集中管理される DAC に必要な情報は3つ • ユーザーの属性情報 • リソースの属性情報(分類属性) • アクセスルール Active Directory Domain Service アクセスルール ユーザー Country = フォルダ R_Country ユーザー Department = フォルダ R_Department 条件が合致すればアクセス可能
  22. 22. DAC によるアクセスポリシー管理の全体像 「Active Directory 管理センター」で作成した「集約型アクセスポリシー」をグループポリ シーオブジェクト(GPO)に結合することでファイルサーバーに適用する リソース 集約型アクセスポリシー 集約型アクセス規則 アクセス元の条件と条件を満 たした時のアクセス権 ターゲットとなるリソースの条件 クレームタイプ グローバル (要求の種類) リソース プロパティ リスト 分類属性とリソー スの条件が合致す Country リソース プロパティ ればアクセス権が 結合 与えられる R_Country Department ソース(ユーザー) R_Department GPO 適用 Active Directory
  23. 23. アクセス権適用の優先順位 集約型アクセスポリシーが最優先される 共有のアクセス権 Access NTFS アクセス権 Control 集約型アクセスポリシー Decision
  24. 24. アクセス拒否発生時の速やかな対応 ユーザーがファイル共有にアクセスして”アクセス拒否”が発生した際に、 速やかな問題解決を図るために以下の対応が可能。 • メッセージの送信  to システム管理者  to 共有フォルダーの所有者 • アクセス権取得の要求 グループポリシーおよびファイルサー バーリソースマネジャーで設定
  25. 25. DAC に求められる条件 管理者の管理範囲は狭くなるが、管理の精密性が求められる リソース管理者の責任 • コンプライアンスに沿った条件設定 • 状況に応じたダイナミックな設定変更 IT(ID)管理者の責任 • ID 情報の精密性 • 迅速な ID 情報の反映

×