ホーム
保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
Notes® ユーザー、インターネットユーザー、Domino® サーバーのサーバーへのアクセス
Domino® では、ユーザーやサーバーから他のサーバーへのアクセスは、検証と認証のルールに加え、サーバー文書の [セキュリティ] タブで設定した内容に従って制御されます。Notes® ユーザー、インターネットユーザー、サーバーは、サーバーに検証および認証され、サーバー文書の設定内容でアクセスが許可されていれば、そのサーバーにアクセスできます。
Domino® サーバーへのアクセスをカスタマイズする
HCLNotes® ユーザーと HCLDomino®サーバーの基本的なアクセスを設定した後で、アクセスをカスタマイズして特定のユーザーやサーバーの特定の動作を制限できます。

保護
このセクションでは、操作制御リスト、ID、SSL などのセキュリティ機能について説明します。
- Domino のセキュリティの概要
  組織のセキュリティを設定することは、非常に重要なタスクです。組織の IT リソースと資産を保護するためには、セキュリティのインフラストラクチャが重要な役割を果たします。システム管理者は、サーバーまたはユーザーの設定を実行する前に、組織のセキュリティ要件を慎重に考慮する必要があります。最新の情報を把握してプランニングを行うと、セキュリティ侵害のリスクを最小限に抑えることができます。
- Notes® ユーザー、インターネットユーザー、Domino® サーバーのサーバーへのアクセス
  Domino® では、ユーザーやサーバーから他のサーバーへのアクセスは、検証と認証のルールに加え、サーバー文書の [セキュリティ] タブで設定した内容に従って制御されます。Notes® ユーザー、インターネットユーザー、サーバーは、サーバーに検証および認証され、サーバー文書の設定内容でアクセスが許可されていれば、そのサーバーにアクセスできます。
  - Notes® ユーザー、Domino® サーバー、インターネットユーザーから Domino® サーバーへのアクセスを設定する
    サーバーへのアクセスが許可されている Notes® ユーザーと Domino® サーバー、インターネットプロトコル (HTTP、IMAP、LDAP、POP3) を使用してサーバーにアクセスするユーザーを指定できます。Domino ディレクトリが複数ある場合は、Domino で Notes ユーザーの NOTES.INI ファイルの Names 設定で指定されている最初の Domino ディレクトリだけが検索の対象になります。インターネットプロトコルに対するサーバーアクセス設定が有効である場合、2 次 Domino ディレクトリと外部 LDAP ディレクトリのユーザーをアクセス許可またはアクセス不可グループで指定することもできます。
  - Domino® サーバーへのアクセスをカスタマイズする
    HCLNotes® ユーザーと HCLDomino®サーバーの基本的なアクセスを設定した後で、アクセスをカスタマイズして特定のユーザーやサーバーの特定の動作を制限できます。
    - ドメイン内のすべてのサーバーに対する Notes® ユーザーのアクセスを禁止する
      ドメイン内のすべてのサーバーに対する Notes® ユーザーのアクセスを禁止するには、ユーザー ID をロックアウトし、パスワードチェックを有効にします。ID がロックアウトされたユーザーがサーバーにアクセスしようとすると、Domino® ではユーザーが入力したパスワードがユーザー文書に保存されたパスワードと照合されます。Domino ではこのユーザーの ID はロックアウトされているため、アクセスは拒否されます。
    - 管理者のアクセス権を制限する
      組織内の各種管理者のさまざまなアクセスレベルを指定できます。たとえば、一部の人間にだけ「システム管理者」のアクセス権を与え、自チームの全管理者はデータベース管理者として指定する場合もあります。
    - パブリックキーの値の比較
      認証中に交換されるユーザー証明書とサーバー証明書の署名は常にチェックされます。証明書で渡されるキーの値を HCLDomino® ディレクトリ内にリストされているキーの値と照合することによって、パブリックキーに対して追加的な照合を行うことができます。ユーザーがサーバーで認証されても、証明書の中のパブリックキーの値と Domino ディレクトリ内にリストされている値が一致しないことがあり得ます。
    - Notes® ユーザーや Domino® サーバーからサーバーへの匿名アクセスを設定する
      匿名アクセスを使用すると、検証と認証が実行されないため、正当な証明書を持たない Notes® ユーザーや Domino® サーバーもサーバーにアクセスできます。あらかじめ組織の証明書を取得していなくても、組織外のユーザーやサーバーから組織内のサーバーにアクセスできます。匿名アクセスは、インターネットやイントラネットのユーザーにも設定できます。
    - サーバーの特定ポートへのアクセスを制御する
      ポートアクセスリストを使用すると、HCLNotes® ユーザーや HCLDomino® サーバーから特定ネットワークポートへのアクセスの可否を制御できます。ポートアクセスリストとサーバーアクセスリストを使用した場合、ユーザーやサーバーは、両方のリストに登録されていないとサーバーにアクセスできません。
    - データベース、レプリカ、テンプレートの作成を制御する
      利用できるディスク容量を管理するには、サーバーにデータベースやレプリカを作成できるユーザーやサーバーを制御します。Domino® ディレクトリが複数ある場合、NOTES.INI ファイルの Names 設定で指定されている最初の Domino ディレクトリだけが HCLDomino による検索対象になります。
    - ヘッドラインモニターの使用を制御する
      Notes® ユーザーはヘッドラインを設定して、サーバーデータベースから関心のある項目を自動的に検索できます。該当サーバーのヘッドラインにアクセスできるユーザーとアクセスできないユーザーを制御できます。このタスクは、HCLNotes ユーザーにのみ適用されます。
    - パススルーサーバーやパススルーの宛先へのアクセスを制御する
      パススルーサーバーを使用すると、ユーザーやサーバーは、パススルー接続で他のサーバーに接続できます。ユーザーが接続する相手側のサーバーを、パススルーの宛先と呼びます。パススルーサーバーとパススルーの宛先にアクセスできるユーザーとサーバーは変更することができます。
    - サーバー上で実行されるエージェントと XPage を制御する
      ユーザーがサーバー上で実行するエージェントと XPage の種類を制御することができます。ここで説明するフィールドは、権限に関して階層構造になっています。たとえば、[制限なしで署名または実行] が最上位の権限レベルで、[シンプルアクションと式エージェントの実行] が最下位の権限レベルです。あるリストに名前があるユーザーまたはグループの場合、それより下位にあるリストの一連の権限が自動的に付与されます。そのため、1 つのリストに名前を入力するだけで、ユーザーはそれより下位にあるリストの権限も取得することになります。
    - Web ブラウザからファイルへのアクセスを制御する
      ファイル保護文書と Web レルムを使用して、インターネットやイントラネットからサーバー上のファイルへのアクセスを制御できます。
    - サーバーのデータディレクトリへのアクセスを制限する
      デフォルトでは、サーバーにアクセスできるすべての Notes® ユーザーが、サーバーの全データディレクトリにアクセスできます。サーバーのデータディレクトリやそのデータディレクトリのサブディレクトリに対するアクセスリスト (または ACL ファイル) を定義すると、Notes ユーザーによるそれらのディレクトリへのアクセスを制限できます。ACL ファイルはサーバーディレクトリを保護するためのオプションであり、このファイルにはそれらのディレクトリへのアクセスを認証されたユーザー名が記載されています。
    - Domino® サーバーを物理的に保護する
      サーバーとデータベースの物理的な安全性を確保することは、権限のないユーザーやサーバーのアクセスを禁止することと同様に重要です。Domino® サーバーは、換気のよい安全な場所 (鍵のかかる部屋など) に設置してください。Domino サーバーの安全性を確保しておかないと、権限のないユーザーがアクセス制御リストなどのセキュリティ機能の裏をかいて、サーバー上のアプリケーションにアクセスしたり、オペレーティングシステムからファイルのコピーや削除を行ったり、サーバーのハードウェア自体に物理的な損傷を与えたりすることもありえます。
  - Notes® と Domino® の検証と認証
    Notes® クライアントまたは Domino® サーバーが、複製、メール配信、データベースアクセスなどのために別の Domino サーバーと通信しようとすると、クライアントまたはサーバーの ID 情報を使用した 2 つのセキュリティ処理によりクライアントまたはサーバーの正当性が検証されます。検証では、クライアントのパブリックキーの信頼度を判定します。検証に成功すると、認証が開始されます。認証では、ユーザー ID が照合され、チャレンジとレスポンスのやり取りでクライアントとサーバーの両方のパブリックキーとプライベートキーが使用されます。
- データベースのアクセス制御リスト
  各データベースにはアクセス制御リスト (ACL) が 1 つずつあります。ACL は、ユーザーとサーバーがそのデータベースに実行できるアクセスのレベルを指定します。割り当てるアクセスレベルの名前は、サーバーの場合もユーザーの場合も同じです。ただし、ユーザーに割り当てたアクセスレベルからはユーザーがデータベース内で実行できるタスクが決まり、サーバーに割り当てたアクセスレベルからはサーバーがデータベースのどの情報を複製できるかが決まります。ACL の作成や更新を行うには、[管理者] 以上のアクセス権が必要です。
- Domino® サーバー ID と Notes® ユーザー ID
  Domino® は、ID ファイルを使用して、ユーザーを識別し、サーバーへのアクセスを制御します。すべての Domino サーバー、Notes® 認証者、Notes ユーザーは、ID を持つ必要があります。
- 実行制御リスト
  操作制御リスト (ECL) を使用して、クライアントデータのセキュリティを設定します。ECL を使用すると、送信元が不明であったり疑わしい送信元から送られたアクティブコンテンツからクライアントを保護することができます。
- Domino® サーバーベース認証機関
  認証要求の管理と処理を行うには、CA プロセスサーバータスクを使用するように Domino® 認証機関を設定します。CA プロセスは、証明書の発行に使用される Domino サーバー上でプロセスとして実行されます。Notes® 認証者またはインターネット認証者を設定する際、サーバー上の CA プロセスにリンクするように設定すると、CA プロセスの機能を利用できます。1 台のサーバー上で実行できる CA プロセスのインスタンスは、1 つだけです。ただし、CA プロセスは、複数の認証者にリンクできます。
- SSL セキュリティー
  SSL (Secure Sockets Layer) は、TCP/IP プロトコル経由で実行する Domino® サーバータスクの通信上の機密性を保護し、認証を行うためのセキュリティプロトコルです。
- クライアントの SSL と S/MIME
  クライアントでは、Domino® 認証機関 (CA) アプリケーションかサードパーティ CA を使用して、SSL と S/MIME の接続を保護するための証明書を取得できます。
- 暗号化
  暗号化を使用すると、不正なアクセスからデータを保護できます。
- インターネット/イントラネットクライアントの名前とパスワードによる認証
  基本的なパスワード認証として知られる名前とパスワードによる認証です。ユーザーに名前とパスワードを要求し、Domino® ディレクトリ内のユーザー文書に保存されているパスワードの保護ハッシュと比較してパスワードが正確であるかを検証する、基本的な質問/応答のプロトコルが使用されます。
- 複数サーバーのセッションベースの認証 (シングルサインオン)
  シングルサインオン (SSO) とも呼ばれる複数サーバーのセッションベース認証を使用することにより、Web ユーザーは、Domino® サーバーまたは WebSphere® サーバーに一度ログインすると、同一の DNS ドメイン内にあってシングルサインオン (SSO) が有効になっている他の任意の Domino サーバーや WebSphere サーバーに、再度ログインすることなくアクセス可能になります。
- Security Assertion Markup Language (SAML) を使用して統合 ID 認証を設定する
  統合 ID は、シングルサインオンを実現して、ユーザーの利便性を高め、管理コストの削減を図る手段です。IBM Domino® と IBM Notes® では、ユーザー認証用の統合 ID に、OASIS の Security Assertion Markup Language (SAML) 標準が使用されます。
- 資格情報ストアを使用して資格情報を共有する
  このリリースでは、オンプレミス Domino® サーバーは資格情報ストアアプリケーション (credstore.nsf) を使用できます。資格情報ストアとは、IBM Notes® クライアントユーザーが OAuth (Open Authorization) プロトコルを使用するアプリケーションへのアクセスを許可するために必要な文書暗号キーやその他のトークンのためのセキュアなリポジトリです。OAuth はユーザーの資格情報を OAuth 準拠のアプリケーションで共有できるようにすることで、余分なパスワード入力を排除します。

Domino® サーバーへのアクセスをカスタマイズする

HCLNotes® ユーザーと HCLDomino®サーバーの基本的なアクセスを設定した後で、アクセスをカスタマイズして特定のユーザーやサーバーの特定の動作を制限できます。

DSAPI (Domino® Web Server Applications Programming Interface) フィルタを作成して Web ユーザーの認証をカスタマイズする方法の詳細については、関連トピックの「Lotus® C API Toolkit for Domino® and Notes®」を参照してください。