CONTAINER クラス

CONTAINER クラスの各レコードは、他のリソース クラスにあるオブジェクトのグループを定義します。これにより、複数の異なるオブジェクトのクラスに 1 つのルールを適用する場合に、アクセス ルールを定義する作業が簡略化されます。CONTAINER クラス レコードのメンバは、以下のいずれかのクラスのオブジェクトになることができます。
capamsc141
CONTAINER クラスの各レコードは、他のリソース クラスにあるオブジェクトのグループを定義します。これにより、複数の異なるオブジェクトのクラスに 1 つのルールを適用する場合に、アクセス ルールを定義する作業が簡略化されます。CONTAINER クラス レコードのメンバは、以下のいずれかのクラスのオブジェクトになることができます。
  • APPL
  • AUTHHOST
  • CONNECT
  • CONTAINER
  • DICTIONARY
  • DOMAIN (Windows のみ)
  • FILE
  • GAPPL
  • GAUTHHOST
  • GFILE
  • GHOST
  • GSUDO
  • GTERMINAL
  • HNODE
  • HOLIDAY
  • HOST
  • HOSTNET
  • HOSTNP
  • MFTERMINAL
  • PARAM_DESC
  • POLICY
  • PROCESS
  • PROGRAM
  • REGKEY (Windows のみ)
  • RULESET
  • SUDO
  • SURROGATE
  • TCP
  • TERMINAL
  • WEBSERVICE
CONTAINER レコードは、他の CONTAINER レコードにネストすることができます。
オブジェクトを CONTAINER レコードのメンバとして指定する前に、適切なクラスにそのオブジェクトのレコードを作成する必要があります。
コンテナ内のオブジェクトが、その適切なクラス レコード内に ACL を持たない場合、そのオブジェクトは、所属している CONTAINER レコードの ACL を継承します。
CONTAINER クラスのキーは、CONTAINER レコードの名前です。
以下の定義では、このクラス レコードに含まれるプロパティについて説明します。ほとんどのプロパティは変更可能で、selang インターフェースまたは管理インターフェースを使用して操作することができます。変更できないプロパティには、
「情報のみ」
と記載されます。
  • ACL
    リソースへのアクセスを許可されているアクセサ(ユーザおよびグループ)のリスト、およびアクセサのアクセス タイプを定義します。
    アクセス制御リスト(ACL)の各要素には、以下の情報が含まれます。
    • Accessor
      アクセサを定義します。
    • アクセス
      アクセサに与えられる、リソースに対するアクセス権限を定義します。
    ACL を変更するには、authorize コマンドまたは authorize- コマンドの access パラメータを使用します。
  • COMMENT
    レコードに含める追加情報を定義します。
    Privileged Access Manager
    は、この情報を許可に使用しません。
    制限:
    255 文字。
  • CREATE_TIME
    (情報のみ)レコードが作成された日時が表示されます。
  • DAYTIME
    アクセサがリソースにアクセスできる日時を規定する、曜日と時間帯の制限を定義します。
    このプロパティを変更するには、chres コマンド、ch[x]usr コマンド、または ch[x]grp コマンドで restrictions パラメータを使用します。
    日時の制約の単位は 1 分です。
  • GROUPS
    リソース レコードが属する CONTAINER クラスのレコードのリストを定義します。
    クラス レコードでこのプロパティを変更するには、適切な CONTAINER クラスのレコードで MEMBERS プロパティを変更する必要があります。
    このプロパティを変更するには、chres コマンド、editres コマンド、またはnewres コマンドの mem+ または mem- パラメータを使用します。
  • MEMBERS
    グループのメンバである任意のクラスのオブジェクトのリストです。
    このプロパティを変更するには、chres コマンド、editres コマンド、および newres コマンドで mem+ または mem- パラメータを使用します。
  • NACL
リソースの
NACL
プロパティは、リソースへのアクセス権限が拒否されるアクセサを、拒否されるアクセス タイプ(write など)と共に定義するアクセス制御リストです。ACL、CALACL、PACL も参照してください。NACL の各エントリには、以下の情報が含まれます。
Accessor
アクセサを定義します。
  • アクセス
    アクセサに対して拒否されるアクセス タイプを定義します。
このプロパティを変更するには、authorize deniedaccess コマンドまたは authorize- deniedaccess- コマンドを使用します。
OWNER
レコードを所有するユーザまたはグループを定義します。
PACL
アクセス要求が特定のプログラム(または名前パターンに一致するプログラム)とそのアクセス タイプを使用して行われる場合に、リソースへのアクセスが許可されるアクセサのリストを定義します。プログラム アクセス制御リスト(PACL)の各要素には、以下の情報が含まれます。
  • Accessor
    アクセサを定義します。
  • プログラム
    指定またはワイルドカード パターン一致によって、PROGRAM クラスのレコードへの参照を定義します。
  • アクセス
    アクセサに与えられる、リソースに対するアクセス権限を定義します。
PACL のリソースの指定にはワイルドカード文字を使用できます。
プログラム、アクセサ、およびそのアクセス タイプを PACL に追加するには、selang の authorize コマンドで via(
pgm
) パラメータを使用します。アクセサを PACL から削除するには、authorize- コマンドを使用します。
RAUDIT
Privileged Access Manager
 が監査ログに記録するアクセス イベントのタイプを定義します。RAUDIT という名前は
Resource
AUDIT
の短縮形です。有効な値は以下のとおりです。
  • すべて
    すべてのアクセス要求
  • success
    許可されたアクセス要求
  • failure
    拒否されたアクセス要求(デフォルト)
  • none
    アクセス要求を記録しない
Privileged Access Manager
では、リソースへのアクセス試行が発生するたびにイベントが記録されます。ただし、アクセス ルールがそのリソースに直接適用されたか、またはそのリソースをメンバとするグループまたはクラスに適用されたかについては記録されません。
監査モードを変更するには、chres コマンドおよび chfile コマンドの audit パラメータを使用します。
UPDATE_TIME
(情報)レコードが最後に変更された日時を表示します。
UPDATE_WHO
(情報)更新を実行した管理者を表示します。