(57)【要約】【課題】  オペレーティングシステムの相違に拘わらず同じように特権コマンドの実行権限を委譲することができ、かつ、コマンド実行時には管理サーバへの接続を必要としないシステムを実現すること。【解決手段】  管理サーバが、被管理サーバにおけるオペレーティングシステムユーザからの要求に応じて、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記コマンド許可定義ファイルに保存するステップと、保存した前記コマンド許可定義ファイルを、当該特権コマンドの実行時以外のタイミングで被管理サーバへ配布するステップとを備え、被管理サーバのそれぞれが、管理サーバから配布されたコマンド許可定義ファイルを受信し、オペレーティングシステムユーザからの特権コマンド実行要求について、受信したコマンド許可定義ファイルの定義内容で許可されているかどうかを確認した後、管理者権限で実行するステップとを備える。【選択図】      図１
2013254391.tif 000002
【特許請求の範囲】
【請求項１】
コマンド許可定義ファイルを格納する第１の記憶手段を備えた管理サーバと、前記コマンド許可定義ファイルに定義された特権コマンドを実行する複数の被管理サーバとから成るシステムにおける特権コマンド実行制御方法であって、
前記管理サーバが、前記被管理サーバにおけるオペレーティングシステムユーザからの要求に応じて、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記コマンド許可定義ファイルに保存するステップと、保存した前記コマンド許可定義ファイルを、当該特権コマンドの実行時以外のタイミングで前記被管理サーバへ配布するステップとを備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された前記コマンド許可定義ファイルを受信し第２の記憶手段に格納するステップと、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納したコマンド許可定義ファイルの定義内容で許可されているかどうかを確認するステップと、許可されているならば当該特権コマンドを管理者権限で実行するステップとを備えることを特徴とする特権コマンド実行制御方法。
【請求項２】
前記管理サーバが、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記被管理サーバ毎に異なる暗号鍵で暗号化して前記コマンド許可定義ファイルに保存するステップをさらに備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された暗号化コマンド許可定義ファイルを前記第２の記憶手段に格納した後、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納した暗号化コマンド許可定義ファイルを復号し、その復号した定義内容で許可されているかどうかを確認するステップとをさらに備えることを特徴とする請求項１に記載の特権コマンド実行制御方法。
【請求項３】
コマンド許可定義ファイルを格納する第１の記憶手段を備えた管理サーバと、前記コマンド許可定義ファイルに定義された特権コマンドを実行する複数の被管理サーバとから成るシステムであって、
前記管理サーバが、前記被管理サーバにおけるオペレーティングシステムユーザからの要求に応じて、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記コマンド許可定義ファイルに保存する手段と、保存した前記コマンド許可定義ファイルを、当該特権コマンドの実行時以外のタイミングで前記被管理サーバへ配布する手段とを備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された前記コマンド許可定義ファイルを受信し第２の記憶手段に格納する手段と、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納したコマンド許可定義ファイルの定義内容で許可されているかどうかを確認する手段と、許可されているならば当該特権コマンドを管理者権限で実行する手段とを備えることを特徴とする特権コマンド実行制御システム。
【請求項４】
前記管理サーバが、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記被管理サーバ毎に異なる暗号鍵で暗号化して前記コマンド許可定義ファイルに保存する手段をさらに備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された暗号化コマンド許可定義ファイルを前記第２の記憶手段に格納した後、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納した暗号化コマンド許可定義ファイルを復号し、その復号した定義内容で許可されているかどうかを確認する手段とをさらに備えることを特徴とする請求項３に記載の特権コマンド実行制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、オペレーティングシステムの管理者権限が必要なコマンド（以下、特権コマンドと称す）の実行権限を一般ユーザに委譲する仕組みを提供すると共に、どの特権コマンドをどのユーザに委譲するかを効率的に定義できるようにした特権コマンド実行制御方法及びシステムに関するものである。
【背景技術】
【０００２】
コンピュータのオペレーティングシステムに各種ソフトウェアを導入してシステムを運用する場合、特権コマンドの発行が必要となる場合が多い。
特権コマンドの実行権限をオペレーティングシステムの一般ユーザに委譲する仕組みとしては、UNIX（登録商標）オペレーティングシステムのsudoコマンドがある。sudoコマンドでは、特権コマンドと実行権限を委譲するオペレーティングシステムの一般ユーザとの紐付け定義を、当該特権コマンドを実行する各サーバ上でしか定義できないという問題があった。
【０００３】
そこで、各サーバ上ではなく、管理サーバ上で一括して管理する仕組みがある。
本発明に関連する公知技術文献としては下記特許文献１、特許文献２があげられる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平６−０１２３４７号公報
【特許文献２】特開平１０−２１１９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、前記特許文献１、前記特許文献２における発明では、コマンド実行のオペレーションを管理サーバから行う必要があるため、コマンド実行時に管理サーバと、実際にコマンドを実行する被管理サーバとの間にネットワーク上の問題（障害）がある場合、コマンドの実行ができなくなってしまうという問題がある。
さらにシステムが大規模化・複雑化するに伴い、システムを構成するサーバとしてUNIX系オペレーティングシステム、Windows（マイクロソフトの登録商標）系オペレーティングシステムが混在することがあるが、Windows系オペレーティングシステムにはsudoコマンドに相当する仕組みが存在しない。
【０００６】
本発明の目的は、UNIX系オペレーティングシステムのサーバの一般ユーザに対しても、Windows系オペレーティングシステムのサーバの一般ユーザに対しても、同じように特権コマンドの実行権限を委譲することができ、かつ、定義情報を一元的に管理する仕組みを持ち、コマンド実行時には管理サーバへの接続を必要としない特権コマンド実行制御方法及びシステムを提供することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明に係る特権コマンド実行制御方法は、コマンド許可定義ファイルを格納する第１の記憶手段を備えた管理サーバと、前記コマンド許可定義ファイルに定義された特権コマンドを実行する複数の被管理サーバとから成るシステムにおける特権コマンド実行制御方法であって、
前記管理サーバが、前記被管理サーバにおけるオペレーティングシステムユーザからの要求に応じて、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記コマンド許可定義ファイルに保存するステップと、保存した前記コマンド許可定義ファイルを、当該特権コマンドの実行時以外のタイミングで前記被管理サーバへ配布するステップとを備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された前記コマンド許可定義ファイルを受信し第２の記憶手段に格納するステップと、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納したコマンド許可定義ファイルの定義内容で許可されているかどうかを確認するステップと、許可されているならば当該特権コマンドを管理者権限で実行するステップとを備えることを特徴とする。
【０００８】
また、前記管理サーバが、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記被管理サーバ毎に異なる暗号鍵で暗号化して前記コマンド許可定義ファイルに保存するステップをさらに備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された暗号化コマンド許可定義ファイルを前記第２の記憶手段に格納した後、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納した暗号化コマンド許可定義ファイルを復号し、その復号した定義内容で許可されているかどうかを確認するステップとをさらに備えることを特徴とする。
【０００９】
また、本発明に係る特権コマンド実行制御システムは、コマンド許可定義ファイルを格納する第１の記憶手段を備えた管理サーバと、前記コマンド許可定義ファイルに定義された特権コマンドを実行する複数の被管理サーバとから成るシステムであって、
前記管理サーバが、前記被管理サーバにおけるオペレーティングシステムユーザからの要求に応じて、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記コマンド許可定義ファイルに保存する手段と、保存した前記コマンド許可定義ファイルを、当該特権コマンドの実行時以外のタイミングで前記被管理サーバへ配布する手段とを備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された前記コマンド許可定義ファイルを受信し第２の記憶手段に格納する手段と、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納したコマンド許可定義ファイルの定義内容で許可されているかどうかを確認する手段と、許可されているならば当該特権コマンドを管理者権限で実行する手段とを備えることを特徴とする。
【００１０】
また、前記管理サーバが、特権コマンドの実行を許可するユーザと特権コマンドとを紐付けた定義情報を前記被管理サーバ毎に異なる暗号鍵で暗号化して前記コマンド許可定義ファイルに保存する手段をさらに備え、
前記被管理サーバのそれぞれが、前記管理サーバから配布された暗号化コマンド許可定義ファイルを前記第２の記憶手段に格納した後、オペレーティングシステムユーザからの特権コマンド実行要求について、前記第２の記憶手段に格納した暗号化コマンド許可定義ファイルを復号し、その復号した定義内容で許可されているかどうかを確認する手段とをさらに備えることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、次のような効果がある。
（１）オペレーティングシステムに依存した機能を利用しないため、UNIX系オペレーティングシステム／Windows系オペレーティングシステムの混在した環境下において、一般ユーザに特権コマンドの実行権限を委譲することができ、それらの定義情報を一元的に管理することができる。
（２）実行を許可するユーザと特権コマンドとを紐付けたコマンド許可定義ファイルを当該特権コマンドの実行時以外のタイミングで各被管理サーバへ配布し、各被管理サーバ内に保存しておくため、特権コマンド実行時には管理サーバへのネットワーク接続を必要とせず、ネットワーク障害等の環境に依存せずに特権コマンドを実行することができる。なお、コマンド許可定義ファイルを各被管理サーバへ配布するタイミングは、例えば当該定義ファイルを新規に作成または更新したとき、システム起動時、被管理サーバが追加されたときなどに設定するのが望ましい。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施の形態を示すシステム構成図である。
【図２】コマンド許可定義ファイルのデータ構成図である。
【図３】管理サーバ上でのコマンド許可定義ファイル作成処理に関するフローチャートである。
【図４】被管理サーバ上でのコマンド実行処理に関するフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本発明を適用した特権コマンド実行制御システムの一実施の形態について説明する。
図１は、本発明の実施の形態の一例を示すシステム構成図である。
この実施形態の特権コマンド実行制御システムは、コマンド許可定義ファイル１０３ａ，１０３ｂ，１０３ｎを備えた管理サーバ１０１と、この管理サーバ１０１からコマンド許可定義ファイル１０３ａ，１０３ｂ，１０３ｎをそれぞれ受信する複数の被管理サーバ１０２ａ，１０２ｂ，１０２ｎとから構成され、この管理サーバ１０１と被管理サーバ１０２ａ，１０２ｂ，１０２ｎはネットワーク１０９を介して接続されている。
なお、コマンド許可定義ファイル１０３ａは被管理サーバ１０２ａに対して配布するものであり、コマンド許可定義ファイル１０３ｂは被管理サーバ１０２ｂに対して配布するものであり、コマンド許可定義ファイル１０３ｎは被管理サーバ１０２ｎに対して配布するものであり、それぞれ配布先の被管理サーバ毎に異なる暗号鍵で暗号化されて格納され、配布する際にも暗号化したままで配布され、被管理サーバで特権コマンドを実行する際に復号して当該特権コマンドが許可されているかどうかが確認される。
被管理サーバ１０２ａ〜１０２ｎもコマンド許可定義を格納するファイル１０４ａ，１０４ｂ，１０４ｎを備えている。
【００１４】
管理サーバ１０１、および被管理サーバ１０２ａ等に格納されているコマンド許可定義ファイル１０４ａ等には、各被管理サーバ１０２ａ等のオペレーティングシステム上のどのユーザに対して、どのコマンド実行を許可するか、紐付け情報が登録されている。
また、管理サーバ１０１は、コマンド許可定義ファイル１０３ａ等の作成を行うコマンド許可定義ファイル作成部１０５、被管理サーバ１０２ａ等へコマンド許可定義ファイルを配布するコマンド許可定義ファイル配布部１０６を備えている。
また、被管理サーバ１０２ａ等は、オペレーティングシステムユーザからのコマンドを受付けるコマンド受付部１０７、受付けたコマンドが許可されたコマンドであれば管理者権限にて該当コマンドを実行するコマンド実行部１０８を備えている。
【００１５】
図２は、コマンド許可定義ファイル１０３ａ等を示すデータ構成図である。
図２に示すように、コマンド許可定義ファイル１０３ａ等に格納される対象ユーザと許可コマンドを紐付ける情報は、被管理サーバ名２０１、ユーザ名２０２、コマンド２０３、許可情報２０４から構成される。
被管理サーバ名２０１は被管理サーバとなるサーバ名情報を保持する。
ユーザ名２０２は被管理サーバ名２０１に記されたサーバにおけるオペレーティングシステムユーザ情報を保持する。
コマンド２０３はユーザ名２０２に対して実行を許可するコマンド情報を保持する。
許可情報２０４はユーザ名とコマンドの組合せを明確に許可していることを表す補助的な情報である。
ここで例えば、被管理サーバ「ＳｅｒｖｅｒＡ」のオペレーティングシステムユーザ「ＵｓｅｒＡ」にコマンド「／ｏｐｔ／ＳｏｆｔＡ／ｂｉｎ／ｓｅｔｕｐ」を許可した場合、図２に示すように、被管理サーバ名２０１として「ＳｅｒｖｅｒＡ」、ユーザ名２０２として「ＵｓｅｒＡ」、コマンド２０３として「／ｏｐｔ／ＳｏｆｔＡ／ｂｉｎ／ｓｅｔｕｐ」、許可情報２０４として「ＯＫ」が登録される。
また、管理サーバ１０１および被管理サーバ１０２等に格納されているコマンド許可定義ファイル１０４ａ等は暗号化を施し、利用者がファイルを直接改変することが出来ないようにしている。
なお、定義ファイル１０３ａ等には、図２の情報のほかに、許可する期間、コマンドに付けるパラメータなどを付加情報として定義することも可能である。
【００１６】
図３は、管理サーバ１０１上でのコマンド許可定義ファイル作成処理に関するフローチャートである。
管理サーバ１０１上でオペレーティングシステムユーザがコマンド許可定義ファイル作成操作を行った場合の動作について説明する。
オペレーティングシステムユーザは、管理サーバ１０１上でコマンド許可定義ファイル作成部１０５を呼び出し（ステップ３０１）、そのコマンド許可定義ファイル作成部１０５に対し被管理サーバ名２０１を渡した後（ステップ３０２）さらにユーザ名２０２を渡し（ステップ３０３）、コマンド２０３を渡す（ステップ３０４）。
コマンド許可定義ファイル作成部１０５は、渡された情報よりコマンド許可定義ファイル１０３ａ等を作成、更新する（ステップ３０５）。
【００１７】
作成したコマンド許可定義ファイル１０３ａ等は、コマンド許可定義ファイル配布部１０６にて、被管理サーバ１０２ａ等へ配布する（ステップ３０６）。
定義対象となる被管理サーバが他にあるかどうかを判定し（ステップ３０７）、他にも存在するのであれば、これらの操作を各被管理サーバに対して繰返し実施する。
【００１８】
このようにして１台の管理サーバ１０１から複数の被管理サーバ１０２ａ〜１０２ｎに対する特権コマンド許可定義を実施する。
特権コマンド許可定義内容は被管理サーバ毎に異なる暗号鍵で暗号化してコマンド許可定義ファイル１０３ａ〜１０３ｎに格納しておき、例えば当該定義ファイルを新規に作成または更新したとき、システム起動時、被管理サーバが追加されたときなど、特権コマンド実行時以外のタイミングで各被管理サーバ１０２ａ〜１０２ｎに配布し、コマンド定義ファイル１０４ａ〜１０４ｎに格納させる。
【００１９】
図４は、被管理サーバ１０２ａ上でのコマンド実行処理に関するフローチャートである。
被管理サーバ１０２ａ上でオペレーティングシステムユーザが特権コマンド実行操作を行った場合の動作について説明する。
オペレーティングシステムユーザは、コマンド受付部１０７を呼び出し、引数情報として実行したいコマンド情報を渡す（ステップ４０１）。該当コマンド情報について、コマンド許可定義ファイル１０４ａを参照し、該当のオペレーティングシステムユーザにて実行することを許可されたコマンドかどうかを判定し（ステップ４０２）、許可されたユーザ、コマンドでない場合は、実行不可となるためエラーを返す（ステップ４０３）。
該当ユーザ、コマンドが許可されている場合、コマンド実行部１０８にて管理者権限にてコマンドを発行し（ステップ４０４）、コマンド実行結果を返す（ステップ４０５）。
これにより、利用者が一般ユーザ権限であってもオペレーティングシステムの管理者権限が必要なコマンドが実行可能となる。
【００２０】
なお、該当のオペレーティングシステムユーザにて実行することを許可されたコマンドかどうかを判定する場合、コマンド定義ファイル１０４ａ〜１０４ｎに格納されたコマンド定義は暗号化されているので復号した後、オペレーティングシステムユーザが入力したコマンド情報と比較し、判定する。
【符号の説明】
【００２１】
１０１    管理サーバ
１０２ａ〜１０２ｎ  被管理サーバ
１０３ａ〜１０３ｎ  コマンド許可定義ファイル
１０４ａ〜１０４ｎ  コマンド許可定義ファイル
１０５  コマンド許可定義ファイル作成部
１０６  コマンド許可定義ファイル配布部
１０７  コマンド受付部
１０８  コマンド実行部
１０９  ネットワーク
【図１】
2013254391.tif 000003
【図２】
2013254391.tif 000004
【図３】
2013254391.tif 000005
【図４】
2013254391.tif 000006