このセクションでは、ローカル認証およびリモート認証を可能にする、Dell SonicWALL ネットワーク セキュリティ装置のユーザ管理機能について説明します。
SonicOS は、さらに、シングル サイン オン (SSO) 機能を備えています。SSO を LDAP と組み合わせて使用できます。
図 52. ユーザ管理の構成
ファイアウォール上のローカル データベースでサポートされるユーザ数は、プラットフォームによって異なります。Table 148 にこれを示します。ユーザ総数の最大上限は SSO ユーザの最大数と同じで、ネイティブ ユーザの最大数は SSO ユーザの最大数と同じです。ウェブ ユーザの最大数は、ウェブからのユーザ ログインと、GVC、SSL-VP、および L2TP クライアントからのユーザ ログインの最大合計数です。
図 53. ユーザ管理:ローカル ユーザおよびローカル グループを使った認証
コンテンツ フィルタ サービス (CFS) のポリシーをユーザに適用するには、そのユーザがローカル グループのメンバーであることが必要です。そうすれば、CFS ポリシーがそのグループに適用されます。CFS を使用する場合、LDAP または RADIUS を単独で使用することはできません。LDAP または RADIUS に、ローカル認証を組み合わせて使用する必要があります。CFS ポリシーを使用するために認証方式を組み合わせる場合、ローカルのグループ名と LDAP または RADIUS のグループ名とを完全に一致させる必要があります。「LDAP + ローカル ユーザ」の認証方式を使用する場合、LDAP サーバからファイアウォール上のローカル データベースにグループをインポートできます。こうすることで、対応するグループを簡単に作成できます。 対応するグループを作成すれば、CFS ポリシーを適用できるようになります。
|
•
|
グループ メンバーシップ － ユーザは 1 つまたは複数のローカル グループに所属できます。既定では、すべてのユーザが Everyone グループおよび Trusted Users グループに所属します。ユーザからこれらのグループ メンバーシップを削除したり、他のグループのメンバーシップを追加したりできます。
|
|
•
|
VPN アクセス － ユーザによって開始された VPN クライアントがアクセス可能なネットワークを設定できます。VPN アクセスを設定する際は、ネットワークのリストから選択できます。ネットワークは、対応するアドレス グループまたはアドレス オブジェクトの名前で指定します。
|
ローカル グループを追加したり編集したりすることもできます。グループでは、次のような設定を編集できます。
|
•
|
グループ設定 － 管理者グループに対して、ログイン状況ポップアップ ウィンドウをアクティブにすることなく管理インターフェースへのログインを許可するよう、SonicOS を設定することができます。
|
|
•
|
グループ メンバー － グループのメンバーとして、ローカル ユーザまたは他のローカル グループを追加できます。
|
|
•
|
VPN アクセス － グループの VPN アクセスは、ユーザの VPN アクセスと同じ方法で設定できます。このグループのメンバーによって開始された VPN クライアントがアクセス可能なネットワークを設定できます。VPN アクセスを設定する際は、ネットワークのリストから選択できます。ネットワークは、対応するアドレス グループまたはアドレス オブジェクトの名前で指定します。
|
|
•
|
CFS ポリシー - グループのメンバーに対して、コンテンツ フィルタ (CFS) ポリシーを適用できます。CFS ポリシー設定を利用するには、SonicWALL でプレミアム コンテンツのフィルタ サービスを利用するためのライセンスが必要です。
|
図 54. ユーザ管理:RADIUS を使った認証
Microsoft アクティブ ディレクトリは、Dell SonicWALL シングル サインオンおよび Dell SonicWALL SSO エージェントとも連携して動作します。詳細については、シングル サインオンの概要 を参照してください。
|
•
|
LDAP およびその変種に関連して使用される用語を以下に示します。
|
•
|
スキーマ - スキーマは、ディレクトリに格納することができるデータのタイプやデータの格納方法を定義するルールのセットまたは構造です。データは、エントリの形式で格納されます。
|
|
•
|
アクティブ ディレクトリ (AD) - Microsoft のディレクトリ サービスで、一般的に Windows ベースのネットワークで使用されます。マイクロソフト アクティブ ディレクトリは LDAP 互換です。
|
|
•
|
イーディレクトリ - ノベルのディレクトリ サービスで、ノベル ネットウェアベースのネットワークで使用されます。ノベル イーディレクトリは、管理用に使用できる LDAP ゲートウェイを持っています。
|
|
•
|
エントリ - LDAP ディレクトリに格納されたデータ。エントリは、属性/値 (または名前/値) の組で格納されます (属性はオブジェクト クラスにより定義されます)。例えば、cn=john の場合、cn (コモンネーム) が属性、john が値となります。
|
|
•
|
オブジェクト クラス - オブジェクト クラスは、LDAP ディレクトリに格納できるエントリのタイプを定義します。例えば、AD で使用されるオブジェクト クラスとして、user や group があります。
|
マイクロソフト アクティブ ディレクトリのクラスは、http://msdn.microsoft.com/library/ で参照することができます。
|
•
|
オブジェクト - LDAP 用語では、ディレクトリ内のエントリはオブジェクトと呼ばれます。LDAP クライアントの SonicOS 実装の目的上、重要なオブジェクトは、ユーザ オブジェクトとグループ オブジェクトです。LDAP の実装によって、これらのオブジェクト クラスは異なる名前で呼ばれる場合があります。例えば、アクティブ ディレクトリでは、ユーザ オブジェクトは user、グループ オブジェクトは group と呼ばれるのに対し、RFC2798 では、ユーザ オブジェクトは inetOrgPerson、グループ オブジェクトは groupOfNames と呼ばれます。
|
|
•
|
属性 - LDAP ディレクトリ内のオブジェクトに格納されたデータ アイテム。オブジェクトは、必須の属性、または、任意の属性を持つことができます。例えば、dc 属性は、dcObject (ドメイン構成要素) オブジェクトの必須の属性です。
|
|
•
|
dn - "distinguished name (識別名)"。ユーザまたは他のオブジェクトのグローバルに一意な名前。複数の構成要素から成り、通常は、コモンネーム (cn: common name) 構成要素で開始し、2 つ以上のドメイン構成要素 (dc: domain component) として指定されたドメインで終了します。例えば、
cn=john,cn=users,dc=domain,dc=com となります。 |
|
•
|
cn - "common name (コモンネーム)" 属性は、LDAP 全体にわたって多くのオブジェクト クラスの必須構成要素です。
|
|
•
|
ou - "organization unit (組織単位)" 属性は、ほとんどの LDAP スキーマ実装の必須構成要素です。
|
|
•
|
dc - "domain component (ドメイン構成要素)" 属性は、一般的に識別名のルートで見ることができます。また、多くの場合に必須の属性です。
|
|
•
|
TLS - Transport Layer Security (トランスポート層セキュリティ) は、SSL (Secure Sockets Layer) の IETF で標準化されたバージョンです。TLS 1.1 と 1.2 がサポートされています。
|
企業のネットワークで使用される最も一般的なディレクトリ サービスと統合するために、SonicOS では、以下の LDAP スキーマとの統合をサポートしています。
|
•
|
SonicOS は、以下のプロトコルが実行されるディレクトリ サービスのサポートを提供します。
セキュリティ装置にコピーされる LDAP ユーザ グループ名には、ドメイン名が次の形式で含まれます。name@domain.comしたがって、どのドメインからのユーザ グループ名もすべて一意に識別されます。
ミラーされた LDAP ユーザ グループには、以下の機能と制限が適用されます。
|
•
|
「ファイアウォール > アクセス ルール」や「ファイアウォール > アプリケーション ルール」などの設定ページで、VPN、SSL VPN、CFS ポリシー、ISP ポリシーなどが設定可能である場合は、SonicWALL セキュリティ装置上の LDAP ユーザ グループに対して、これらを設定できます。
|
SonicWALL を LDAP ディレクトリ サービスと統合するには、証明書管理のための設定が LDAP サーバに必要となります。さらに、SonicWALL に正しい証明書をインストールし、LDAP サーバからの情報を使用できるように設定する必要があります。LDAP の概要については、LDAP/アクティブ ディレクトリ/イーディレクトリ認証の使用 を参照してください。
LDAP の設定を行う前に、LDAP over TLS をサポートするように LDAP サーバと SonicWALL を準備する必要があります。これには次の操作が必要です。
次の手順は、これらのタスクをアクティブ ディレクトリ環境で行う方法を示しています。
|
1
|
「スタート > 設定 ＞ コントロール パネル ＞ プログラムの追加と削除」を選択します。
|
|
2
|
「Windows コンポーネントの追加と削除」を選択します。
|
|
3
|
「証明書サービス」を選択します。
|
|
4
|
要求されたら「エンタープライズのルート CA」を選択します。
|
|
6
|
|
7
|
「セキュリティの設定 > 公開キーのポリシー」を選択します。
|
|
8
|
「自動証明書要求の設定」を右クリックします。
|
|
9
|
「新規作成 > 自動証明書要求」を選択します。
|
|
10
|
ウィザードの指示に従い、リストから「ドメイン コントローラ」を選択します。
|
|
1
|
|
2
|
作成した CA 上で右クリックし、「プロパティ」を選択します。
|
|
3
|
|
4
|
|
5
|
ウィザードの指示に従い、「Base 64 encoded X.509 (CER)」形式を選択します。
|
|
1
|
「システム > CA 証明書」を選択します。
|
|
2
|
「新規 CA 証明書の追加」を選択します。エクスポートした証明書を参照して選択します。
|
|
3
|
「証明書のインポート」ボタンを選択します。
|
組織単位毎の LDAP グループ メンバーシップ機能は、LDAP サーバ上の組織単位 (OU) 内に配置されたユーザに対して LDAP ルールとポリシーを設定する機能を提供します。
ユーザがログインするときに、ユーザ グループが LDAP 位置によるメンバーシップを許可するように設定されている場合、そのユーザは LDAP 位置に一致するすべてのグループのメンバーになります。
既定のローカル グループ (Everyone グループと Trusted Users グループを除く) を含むどのローカル グループも、LDAP ディレクトリ ツリー内の位置によって設定されるメンバーを持つグループとして設定可能です。
ユーザが、LDAP 位置に対して設定されているいずれかのローカル グループのメンバーである場合は:
SonicWALL SSO の設定は、SonicOS 管理インターフェースの「ユーザ > 設定」ページで行います。SSO は、ログイン認証方式設定とは独立しており、両者を同時に使用して VPN/L2TP クライアント ユーザまたは管理者ユーザの認証を行うことができます。
無動作タイムアウトは SSO にも適用されますが、セッション時間の制限は適用されません。 ログアウトしたユーザから再びトラフィックが送信されると、そのユーザが自動的かつ透過的に再度ログインされます。
ユーザとして識別されたとしても、設定されているポリシー ルールに必要なグループ メンバーシップが不足している場合、アクセスが拒否されたことを示すページにリダイレクトされます。
|
•
|
使いやすい － ユーザは 1 回サインインするだけで複数のリソースに自動的にアクセスできます。
|
|
•
|
ユーザ エクスペリエンスの向上 － どのような種類のトラフィックを使用するユーザでも、Windows ドメインの資格情報を使用して認証が可能であるため、ウェブ ブラウザを使って装置にログインする必要がありません。
|
|
•
|
透過性 － ユーザが認証のためにユーザ名やパスワードを何度も再入力する必要がなくなります。
|
|
•
|
セキュアな通信 － 共有鍵暗号化によってデータ伝送を保護します。
|
|
•
|
複数の SSO エージェント － 最大 8 つのエージェントをサポートして、大規模インストールに適した容量を提供します。
|
|
•
|
複数の TSA － 複数のターミナル サービス エージェント (ターミナル サーバごとに 1 つ) をサポートします。サポートされる数は 8 ～ 512 で、SonicWALL ネットワーク セキュリティ装置のモデルによって異なります。
|
|
•
|
ブラウザ NTLM 認証 － SonicWALL SSO は、SSO エージェントを使わずに HTTP トラフィックを送信するユーザを認証できます。
|
|
•
|
Mac および Linux サポート － Samba 3.5 以降で、SonicWALL SSO は Mac および Linux ユーザに対してサポートされます。
|
|
•
|
ゾーン単位の執行 - SonicWALL SSO は、ファイアウォール アクセス ルールかセキュリティー サービス ポリシーによって自動的に開始されない場合でも、任意のゾーンからのトラフィックに対して開始でき、イベントのログ記録や AppFlow 監視用にユーザを識別します。
|
SSO エージェントは、SonicWALL SSO をサポートしている SonicOS の全バージョンと互換性があります。サポートされているのは、TSA プロキシのみです。
SonicWALL SSO をブラウザ NTLM 認証で使用するには、SonicOS6.0 以降が必要です。ブラウザ NTLM 認証に対しては、SSO エージェントは不要です。
SSO エージェントを実行するには、次の要件が満たされている必要があります。
TSA を実行するには、次の要件が満たされている必要があります。
エンド ユーザが SonicWALL SSO の存在を意識する必要はなく、また、管理者に要求される設定も最小限で済みます。
SSO ユーザ テーブルはまた、コンテンツ フィルタ、侵入防御、アンチスパイウェア、およびアプリケーション制御を含むセキュリティ サービスが必要とするユーザとグループの識別のために使用されます。
ターミナル サービスまたは Citrix サーバからログインするユーザについては、認証プロセスで TSA が SSO エージェントの代わりをします。このプロセスは以下の点が異なります。
NTLM 認証は現在 HTTP に対して利用可能で、HTTPS では利用できません。
この方式を Linux または Mac クライアントや Windows クライアントで使用するために、SSO を有効にして、NetAPI または WMI (SSO エージェントがどちらに対して設定されているかに応じて) のいずれかに対してクライアントをプローブすることもできます。これにより、ファイアウォールは、ユーザの識別を SSO エージェントに要求する前に、NetAPI/WMI ポートで応答を監視するようになります。応答がない場合、これらの機器は即時に SSO を失敗します。クライアントによって、以下のように動作します。
SSO エージェントは、直接 IP アドレスを使って、または、VPN などのパスを使ってクライアントおよび SonicWALL と通信できれば、Windows ドメインに参加している任意のワークステーションにインストールできます。SSO エージェントのインストール手順については、SonicWALL SSO エージェントのインストール を参照してください。
SSO エージェントは、クライアントおよび SonicWALL とのみ通信します。SSO エージェントと SonicWALL との間で交わされるメッセージは、共有鍵を使って暗号化されます。
SSO エージェントは、管理者によって選択されたログ レベルに基づいて、Windows イベント ログにログ イベント メッセージを送信します。
|
•
|
ユーザ ログインが拒否されました - ポリシー規則で許可されていません - ユーザ ID は確認されましたが、ポリシーによって許可されているいずれのユーザ グループにも属していないため、ユーザのトラフィックが遮断されました。
|
|
•
|
ユーザ ログインが拒否されました - ローカルには見つかりませんでした - ユーザがローカルに見つかりませんでした。SonicWALL では、「ローカルに登録されたユーザのみ許可する」が選択されています。
|
|
•
|
ユーザ ログインが拒否されました - SSO エージェントがタイムアウトしました - SSO エージェントへの接続を試みているときにタイムアウトが発生しました。
|
|
•
|
ユーザ ログインが拒否されました - SSO エージェントの設定エラー - このユーザのアクセスを許可するための適切な設定が SSO エージェントに対してなされていません。
|
|
•
|
ユーザ ログインが拒否されました - SSO エージェントに通信上の問題があります - SSO エージェントを実行しているワークステーションとの通信に問題があります。
|
|
•
|
ユーザ ログインが拒否されました - SSO エージェントの名前解決に失敗しました - SSO エージェントがユーザ名を解決できません。
|
|
•
|
SSO エージェントから返されたユーザ名が長すぎます - ユーザ名が長すぎます。
|
|
•
|
SSO エージェントから返されたドメイン名が長すぎます - ドメイン名が長すぎます。
|
TSA のインストール手順については、SonicWALL ターミナル サービス エージェントのインストール を参照してください。
数千のユーザから成る大規模インストールに対応するため、SonicWALL は、複数のターミナル サービス エージェント (ターミナル サーバごとに 1 つ) と共に動作するように設定できます。サポートされるエージェントの数は、Table 149に示すように、モデルによって異なります。
SonicWALL には、必要に応じて非ドメイン ユーザ (ドメインではなく、ローカル マシンにログインしたユーザ) に限定的なアクセスを許可するための「非ドメイン ユーザには限定的なアクセスのみを許可」設定があります。これはターミナル サービス ユーザに対して、他の SSO ユーザに対してと同様に作用します。
ネットワーク内に非 Windows 機器やパーソナル ファイアウォールが動作している Windows コンピュータがある場合は、「ユーザの監視を右記で行う」チェックボックスを選択して、SSO エージェントがどちらで設定されているかによって、「NetAPI」または「WMI」ラジオ ボタンを選択します。これにより、SonicWALL が、SSO エージェントに対してユーザを識別するように要求するのに先立って、NetAPI/WMI ポートで応答を監視するようになります。応答がない場合、これらの機器は即時に SSO を失敗します。そのような機器は、SSO エージェントがユーザを識別するために使用するウィンドウズ ネットワーキング メッセージに応答しない、またはそれを遮断します。
これらの非ユーザ接続の処理を制御するため、装置の TSA 設定で「ターミナル サーバの非ユーザ トラフィックにはアクセス ルールでのユーザ認証を免除する」チェックボックスが用意されています。このチェックボックスを選択すると、これらの接続が許可されます。このチェックボックスを選択しないと、これらのサービスはローカル ユーザとして扱われます。その場合、「非ドメイン ユーザには限定的なアクセスのみを許可」設定を選択し、対応するサービス名を使用して装置上でユーザ アカウントを作成することにより、アクセスを許可することができます。
ドメイン ユーザに対しては、NTLM 応答は MSCHAP メカニズムを介して RADIUS で認証されます。装置で RADIUS を有効にする必要があります。
NTLM 認証を設定する際には、SSO 設定の「ユーザ」タブの以下の設定が適用されます。
|
•
|
ユーザ名がローカル ユーザ アカウントと一致しないと、ユーザはログインされません。NTLM を介して認証されたユーザに対しては、「非ドメイン ユーザには限定的なアクセスのみを許可」オプションは適用されません。
|
•
|
インターネット エクスプローラ (9.0 以降) - ファイアウォール (Dell SonicWALL 装置) にログインするウェブサイトがローカル イントラネットにある場合は、インターネット オプションの「セキュリティ」タブに応じて、ユーザのドメイン資格情報を使用して透過的に認証します。これには、インターネット オプションのローカル イントラネット ゾーンのウェブサイトのリストに、SonicWALL を追加する必要があります。
|
|
•
|
Google Chrome - インターネット オプションのローカル イントラネット ゾーンのウェブサイトのリストに、ファイアウォールを追加することが必要であることを含めて、インターネット エクスプローラと同じように振舞います。
|
|
•
|
Firefox - ファイアウォールにログインするウェブサイトが、設定 (Firefox の アドレス バーに about:config を入力することによりアクセスする) 内の network.automatic-ntlm-auth.trusted-uris エントリにリストされている場合は、ユーザのドメイン資格情報を使用して透過的に認証します。
|
|
•
|
Safari - Safari は NTLM をサポートしていますが、現状ユーザのドメイン資格情報を使った完全な透過的ログオンはサポートしていません。
|
|
•
|
非 PC プラットフォーム上のブラウザ - Linux や Mac などの非 PC プラットフォームは、Samba を通して Windows ドメイン内のリソースにアクセスできますが、Windows PC が行うような "PC がドメイン内にログインする" という概念がありません。したがって、そのようなプラットフォーム上のブラウザは、ユーザのドメイン資格情報にアクセスできず、それらを NTLM に使用できません。
|
|
補足：シングル サインオンを適用するために NTLM が有効である場合は、「許可するユーザ」として Trusted Users が設定されている HTTP/HTTPS アクセス ルールを、「ファイアウォール > アクセス ルール」ページの「LAN から WAN」のルールに追加する必要があります。このルールは、ユーザに対する NTLM 認証要求をトリガします。このアクセス ルールがない場合、アクセスを制限するコンテンツ フィルタ ポリシーなどの他の設定によって、ユーザはインターネット アクセスを遮断され、認証要求ができない可能性があります。
|
ユーザがログアウトすると、サードパーティ装置は Dell SonicWALL 装置へまたアカウント メッセージを送信します。Dell SonicWALL 装置はそこでユーザをログアウトさせます。
|
•
|
RADIUS アカウントには、以下の2 種類のアカウント メッセージが使用されます。
Accounting-Request では、Status-Type 属性で指定される以下の 3 種類の要求種別の 1 つを送信できます。
|
•
|
Start － ユーザのログイン時に送信されます。
|
|
•
|
Stop － ユーザのログアウト時に送信されます。
|
|
•
|
Interim-Update － ユーザのログイン セッション中、定期的に送信されます。
|
アカウント メッセージは、RFC 2866 で規定されている RADIUS 標準に準じます。各メッセージには、一連の属性と、共有鍵で確認される 1 個の認証子が含まれます。
Accounting-Requests では、SSO に関連する次の属性が送信されます。
|
•
|
|
•
|
User-Name － ユーザのログイン名。形式は RFC で指定されていないので、単純なログイン名だけにすることも、ログイン名、ドメイン、識別名 (DN) など各種値の文字列にすることもできます。
|
|
•
|
Framed-IP-Address － ユーザの IP アドレス。NAT が使用される場合は、ユーザの内部 IP アドレスにする必要があります。
|
|
•
|
Calling-Station-Id － Aventail など一部の装置で使用される、ユーザの IP アドレスの文字列表現。
|
|
•
|
Proxy-State － 要求を別の RADIUS アカウント サーバへ転送するために使用されるパススルー状態。
|
|
•
|
|
•
|
|
補足：NAT を使用してユーザの外部パブリック IP アドレスを変換するリモート アクセス サーバの場合、内部ネットワークで使用される内部 IP アドレスがこの属性に指定され、その IP アドレスがユーザの一意の IP アドレスである必要があります。これらの属性の両方を使用する場合、Framed-IP-Address 属性は内部 IP アドレスを使用し、Calling-Station-Id 属性は外部 IP アドレスを使用する必要があります。
|
Start メッセージと Interim-Update メッセージの User-Name 属性でユーザのログイン名を送信する必要があります。Stop メッセージの User-Name 属性でもユーザのログイン名を送信できますが、これは必須ではありません。User-Name 属性には、ユーザのアカウント名を含める必要があり、同時にドメイン名も含めることができます。または、ユーザの識別名 (DN) を含める必要があります。
NAS ごとに設定の詳細を再入力する手間を省くには、SonicOS を使用して、設定されているサーバのリストから各 NAS の転送を選択できます。
各 NAS クライアントのプロキシ転送設定には、タイムアウトと再試行回数が含まれます。2 つ以上のサーバへ要求を転送する方法は、以下のオプションを選択して設定できます。
RADIUS アカウント サーバに報告されたユーザは、以下の場合にローカル (非ドメイン) ユーザと認識されます。
RADIUS アカウントで認証される非ドメイン ユーザは、他の SSO メカニズムで認証されるユーザと同じ制約を受け、さらに以下の制限が適用されます。
RADIUS アカウントでは、ユーザの IPv6 アドレスを含めるために以下の属性が使用されます。
機器によっては、IPv6 アドレスを Calling-Station-ID 属性にテキストとして渡してくるものもあります。
有効な IPv4 アドレスが含まれていないと、Calling-Station-ID も無視されます。
このセクションでは、複数管理者サポート機能の概要を説明します。
|
•
|
SonicOS では、複数管理者の同時アクセスがサポートされています。この機能により、複数のユーザが完全な管理者権限でログインできるようになりました。既定の admin ユーザ名に加え、他の管理者ユーザ名を作成できます。
|
•
|
生産性の向上 - SonicWALL に対して複数の管理者が同時にアクセスできるため、装置に対して 2 人の管理者が同時にアクセスした場合に一方の管理者が自動的にシステムからログアウトされる "自動ログアウト" が不要になります。
|
|
•
|
設定に伴うリスクの削減 - 新たに読み取り専用モードが追加されたため、意図しない設定変更を誤って実行してしまうリスクなしに、SonicWALL の現在の設定と状況を確認することができます。
|
以下のセクションでは、複数管理者サポート機能の動作について説明します。
|
•
|
|
•
|
複数の管理者による同時アクセスを許可しつつ、複数の管理者が同時に設定を変更することによって競合が生じることがないように、次の設定モードが定義されています。
|
•
|
設定モード - 管理者に設定を編集するための完全な権限が割り当てられます。装置にログインしている管理者がいない場合、完全な管理者権限および制限付き管理者権限を持った (読み取り専用管理者以外の) 管理者には自動的に設定モードが適用されます。
|
|
•
|
読み取り専用モード - 管理者は設定に変更を加えることは一切できませんが、管理 UI 全体を閲覧したり、監視操作を実行したりすることができます。
|
SonicWALL Read-Only Admins ユーザ グループに属する管理者には読み取り専用アクセス権が付与され、他の設定モードにはアクセスできません。
|
•
|
非設定モード - 管理者は、読み取り専用グループと同じ情報を閲覧できるほか、設定の競合を引き起こすおそれのない管理操作を実行できます。
|
非設定モードにアクセスできるのは、SonicWALL Administrators ユーザ グループに属する管理者だけです。既に設定モードを利用している管理者が存在するとき、新しい管理者が既存の管理者を先制しなかった場合は、このモードになります。既定では、設定モードを先制された管理者は、非設定モードに切り替わります。「システム > 管理」ページでこの動作を変更して、元の管理者がログアウトされるようにすることもできます。
次の表は、各種の設定モードで利用できるアクセス権をまとめたものです。なお、この表には制限付き管理者のアクセス権も記載されていますが、制限付き管理者が利用できる機能の一部が含まれていません。
複数管理者サポート機能では、次の 2 つの既定ユーザ グループをサポートしています。
|
•
|
SonicWALL Administrators - このグループのメンバーには、設定を編集するための完全な管理者アクセス権が付与されます。
|
|
•
|
SonicWALL Read-Only Admins - このグループのメンバーには、完全な管理インターフェースを閲覧できる読み取り専用アクセス権が付与されます。設定を編集したり、完全な設定モードに切り替えることはできません。
|
これらの複数のユーザ グループにユーザを追加することはお勧めできません。ただし、そのようにした場合は、次の動作が適用されます。
|
•
|
SonicWALL Administrators ユーザ グループのメンバーを Limited Administrators ユーザ グループまたは SonicWALL Read-Only Admins ユーザ グループにも追加した場合、メンバーには完全な管理者権限が付与されます。
|
|
•
|
Limited Administrators ユーザ グループのメンバーを SonicWALL Read-Only Admins ユーザ グループに追加した場合、メンバーには制限付き管理者権限が付与されます。
|
既に装置にログインしている管理者を先制する場合、各種の管理者区分には、次の規則に従って優先順位が適用されます。
|
1
|
admin ユーザおよび SonicWALL グローバル管理システム (GMS) には、どちらも最も高い優先順位が適用され、すべてのユーザを先制できます。
|
|
2
|
SonicWALL Administrators ユーザ グループに所属するユーザは、admin と SonicWALL GMS を除くすべてのユーザを先制できます。
|
|
3
|
Limited Administrators ユーザ グループに所属するユーザは、Limited Administrators グループの他のメンバーを先制できます。
|
