前回に引き続き、ファイルサーバーのセキュリティについてお話します。
アクセス制御
前回も少しお話したアクセス制御です。まず、専門的な解説をするとあるサブジェクト（能動体：人間やプロセス）が、どのオブジェクト（受動体：システムやファイル）に対して、どのようなアクセス（読み／書き／実行）ができるかを許可もしくは拒否する機能のことをいいます。その権利をアクセス権限といいます。パーミッションと呼ぶこともあります。
ちなみにこれはＩＴの世界で、マスメディアに個人が意見発表の場を求める権利もアクセス権というそうです。
さて、元に戻して、上記の説明はぴんと来ないと思うので、もう少しかみ砕いて言うと、ユーザーがファイル、フォルダにどのような操作をしていいかを設定するのがアクセス制御ということです。
見ていいかどうかが読取権限、変更していいかが書込権限、実行していいかが実行権限です。これらを制御することを「認可」といいます。また、ユーザーＩＤを割り振ることを「識別」、パスワードやトークン、生体認証等で本人証明を行うことを「認証」といいます。これに操作記録を残す「説明可能性」を加えた４つが制御の基本機能となります。
ＩＤで「識別」されたユーザーがパスワードで「認証」を受けて、「認可」を受けたファイルを閲覧、編集するといったことができるが、その操作を「説明可能性」として記録するといった感じです。
アクセス制御の方法としては、個々人で対応する任意アクセス制御（ＤＡＣ）、システム側で対応する強制アクセス制御（ＭＡＣ）、役割ベースのアクセス制御（ＲＢＡＣ）があり、実際のシステムは
この中から選ぶことが多いようです。少数であればＤＡＣ、詳しい人が１人でお任せならＭＡＣ、会社で約束事を決めてやるならＲＢＡＣといった感じでしょうか。
ＲＢＡＣ（Role Based Access Control）
この中で一番応用力が高いのがＲＢＡＣです。こちらをもう少しお話します。ＭＡＣやＤＡＣはファイルやフォルダにユーザー単位で直接設定を行います。制御を細かくできる反面、ファイルやフォルダ数が多いと設定が大変になります。
ＲＢＡＣはロールと呼ばれるグループをつくり、その中にユーザーを所属させてから、そのロール単位でアクセス権限を設定する仕組みです。ロールは一般的には、部署単位で与えることが多いです。営業部、総務部、工事部、製造部といった形で所属部署と一致させる方が管理しやすいからです。
こうすることで、新しく入社した人には、ユーザーＩＤを決めて、所属部署のロールに参加させることを設定するだけで、適切なアクセス制御ができるようになります。職場が変わった人もロールをその新しい部署に変えるだけですし、退職した方はロールを外せば、どのファイル、フォルダにもアクセスできません。
人事部と連動しやすいので、一定のルールさえ準備しておけば、入退社や転務、転勤の時に、事務処理と同時に行うような仕組みも作れます。
「製造部と購買部を見る専務はどうするの？」というと、一つのユーザーに複数のロールを割り当てることができますので、それで対応します。具体的には製造部のロールと購買部のロールの両方に専務を所属してもらうことで両方のファイルやフォルダを操作することが可能になります。
セキュリティ面を意識したＲＢＡＣ
また、所属部署を細分化して、課レベルにするならば、さらに細かい制御が可能になります。セキュリティの観点から考えるとユーザーが最低限必要な権限を割りあてるようにすることが間違った書換えや削除がなくなり、トラブルを未然に防ぐことができます。
このような考え方を「最小権限の原則」といい、サーバー管理の安定性やセキュリティ向上が図れるので、できるだけ必要な分だけの設定が望ましいです。とはいえ、使い勝手が悪くなる可能性もあるので、どうしても守りたいファイルやフォルダとまあまあルーズな管理を許容するファイルやフォルダを分けて、それぞれにロールを割り当てて、管理することがお勧めです。