![]() |
Version 5.2 |
||||||||||||||||||||||||||||||||
|
|
CommuniGate Pro サーバーでは、次のコンポーネントについてクリアテキスト認証とセキュアSASL 認証の両方をサポートしています。
SASL セキュア認証方式とは、メールクライアントから非暗号化・非セキュアリンクを介して暗号化 パスワードを送信する方式をいいます。SASL セキュア認証では、暗号化パスワードが使われるため、クライアントとサーバー間のネットワークトラフィック上で実際のパスワードが第三者によって不法に捕捉されることはありません。
CommuniGate Pro サーバーでは、SASL セキュア認証方式のほか、クライアントメーラーとサーバーの 間のセキュアリンク(SSL/TLS) もサポートしています。SSL リンクが確立すると、サーバーとクラ イアントとの間のネットワークトラフィックはすべて暗号化され、そのため、パスワードをクリアテ キストで送信しても安全です。
[Account Settings] セクションの[Secure Method Required] オプションを有効に設定した場合、 SASL セキュア認証またはSSL/TLS リンクのどちらを使用するか選択しなければなりません。このオ プションが有効のときには、パスワードをクリアテキスト形式で、しかも非セキュアリンク経由で送 信することを求める認証要求はすべて拒否されます。
CommuniGate Pro サーバーでは、次の非セキュア( クリアテキスト) SASL 認証方式もサポートしてい ます。
次のセキュアSASL 認証方式もサポートしています。
The CommuniGate Pro Server supports the following GSSAPI authentication methods:
The CommuniGate Pro Server supports the following SASL-EXTERNAL authentication methods:
また、Microsoft の製品で使われている非標準SASL 認証方式(NTLM、MSN) もサポートしています。
セキュアAPOP 認証方式(通常、POP プロトコル用) もサポートしています。また、非セキュア「通 常ログイン」認証方式( クリアテキストログインがサポートされているプロトコル用) もサポートし ています。
The CommuniGate Pro Server supports the special SessionID Authenticaton method.
Use the WebAdmin Interface to open a Domain Settings page and find the Login Methods panel:
The Advertise options control only the session-type services (SMTP, POP, IMAP, ACAP, PWD, FTP),
and they do not have any effect on the transaction-type services (HTTP, SIP).
The Advertise options control only how the methods are advertised.
Client applications can still use all these methods, even if these options are switched off.
1 つはCommuniGate Pro 「専用」のパスワード(CommuniGate Pro パスワード) です。このパスワー ドは、CommuniGate Pro サーバーのアカウント設定(Account Settings) の要素として保存され、 CommuniGate Pro サーバーでのみ使用されます。
もう1 つは、「OS パスワード」です。ユーザーがサーバーOS に登録されている場合、ユーザーがパ スワードを入力すると、CommuniGate Pro サーバーによって、そのユーザーの登録情報の中のOS パ スワードがチェックされます。
また、アカウントには外部パスワードを設定することもできます。この場合、外部カスタム認証プロ グラムによってユーザー認証が実行されます。外部認証プログラムは、別個のプロセスとして動作し ます(下記を参照)。
システム管理者は、任意のアカウントについて、上記の3 種類のパスワードのいずれか、または複数 を選択し、必要に応じて組み合わせて使用できます。大規模なサイトでは、通常、サーバーワイドの デフォルトアカウント設定(Default Account Settings) またはドメインワイドのデフォルトアカウント 設定を使って、必要なパスワードを有効にするのが効率的です。
単一のアカウントについて複数種類のパスワードを有効にした場合、まず、CommuniGate Pro パスワー ドがチェックされます。続いて、OS パスワードがチェックされ、その後、外部認証プログラムが動 作し外部パスワードがチェックされます。また、ユーザーがクライアントアプリケーション上で入力 したパスワードが、保存されているパスワードのいずれか1 つと一致した場合、そのアプリケーショ ンからユーザーのアカウントへのアクセスが認められます。
CommuniGate Pro パスワードは文字列で、アカウント設定に保存されます。この文字列は、クリ アテキスト形式またはエンコード(暗号化) 形式で保存できます。形式は、パスワードを更新 する際に指定できます(アカウント設定のパスワード暗号化のページ)。
パスワード暗号化形式として[U-crpt] オプションを選択すると、CommuniGate Pro パスワード
が標準Unix 暗号化ルーチンを使って保存されます。また、[UB-crpt] オプションを選択してお
くと、拡張Blowfish ベースの暗号化方式が使われます。
[U-crpt] と[UB-crpt] はどちらも一方向暗号化方式です。そのため、サーバーではオリジナル
( クリアテキスト) の形式に復号化はできず、また、セキュア(SASL) 認証方式で使用するこ
ともできません。したがって、この暗号化方式はどちらも、従来のシステムのパスワード文字
列を使用したいがOS パスワードを入手できない場合などに限って使用するようにします。ま
た、一般に「オンザディスクセキュリティ」(一方向暗号化方式を使用) より「オンラインセ
キュリティ」(SASL 方式を使用) が強固であり、この点からも、この2 種類の暗号化方式の使
用は控えるのが賢明です。
[U-crpt] パスワードには、MD5 ダイジェストやSHA1 ダイジェストなど、システムによっては 特殊な形式のものもあり、その場合、UNIX 暗号化パスワードとして認識されないこともありま す。MD5 ダイジェストなどについては、詳しくは、「移行」のセクションを参照してください。
Note: please remember that the plain Unix crypt routine uses only the first 8 symbols of the password string.
CommuniGate Pro パスワードが存在しなかったり、存在しても内容が空だったときには、 CommuniGate Pro パスワードのオプションを有効にしているときでも、アカウントへのログイン はできません。ただし、そのユーザーにOS パスワードまたは外部認証パスワードがある場合、 いずれかのパスワードを使ってログインし、その後、CommuniGate Pro パスワードを指定(更 新) できます。この機能を使うことで、既存のメールシステムのユーザーをCommuniGate Pro サーバーに移行する場合、非暗号化( クリアテキスト) パスワードが入手できない( クリアテ キストパスワード付きのアカウントリストを作成できない) ときでも、OS パスワードを使うこ とでユーザーの移行が可能です。
ユーザーがOS パスワードを入力すると、そのOS パスワードがCommuniGate Pro サーバーでチェッ クされますが、その際、そのアカウント(CommuniGate Pro のユーザーアカウント) のOS ユーザー 名設定を使ってOS ユーザー名が作成されます。OS ユーザー名設定はデフォルトでは[*] に設定さ れており、この場合、作成されるOS ユーザー名はCommuniGate Pro のアカウント名と同じです。OS ユーザー名設定はCommuniGate Pro ドメインごとに指定でき、したがって、OS ユーザー名設定をデフォルト以外に変更することで、CommuniGate Pro ドメインごとに異なるOS ユーザー名を作成でき ます。
サーバーOS システム | OS パスワードに関する注意s |
---|---|
Microsoft Windows 95/98/ME | このOS ではOS パスワードはサポートされていません。そのため、[Use OS Password] オプションは使用できません。 |
Microsoft Windows 200x/XP/NT/Vista | OSパスワードの認証にはWindows NT ドメイン認証システムが使われます。
そのため、CommuniGate Pro サーバーを動作させる場合、CommuniGate Pro
に[オペレーティングシステムの一部として機能する] 権限が付与されて
いなければなりません。
コマンドラインオプション--BatchLogon を使って、LOGON_BATCH 認証 が使用されるように設定できます( このオプションを指定していない場合、 LOGON_NETWORK 認証が使われます)。 OS ユーザー名の作成後、文字列の中にパーセント(%) 記号があるかどう
かがチェックされます。見つかった場合、パーセント記号の前の部分が
Windows アカウント名として使われ、パーセント記号の後の部分がWindows
ドメイン名として使われます。
|
Unixベースシステム | passwdやshadow、その他のOS認証メカニズムを使って認証が実行されま す。 |
OS/400 システム | user profile 認証メカニズムを使って認証が実行されます。 |
OpenVMS システム | ユーザーがユーザー名とパスワードを入力すると、文字列がすべて大文字 に変換され、その後、OpenVMS 認証メカニズムにより認証が行われます。 |
BeOS | BeOS ではパスワードをサポートしていないため、[Use OS Password] オプ ションは使用できません。 |
OS パスワードは一方向暗号化パスワードです。そのため、OS パスワードは外部ヘルパープロトコル では使用できません。
CommuniGate Pro サーバーでは、Kerberos 認証方式をサポートしています。Kerberos 認証は、基本的 にはクライアントアプリケーションから「チケット(切符)」がサーバーに渡される認証方式です。チ ケットは、Kerberos 認証機関(KDC、キー配布センター) で発行され、このチケットを介してクライ アントアプリケーションとサーバーの間で同じ「キー(鍵) 」が共有されます。Kerberos 認証につい ては、詳しくはKerberos のマニュアルを参照してください。
CommuniGate Pro サーバーでKerberos 認証を使用する場合、CommuniGate Pro サーバーにKerberos サーバーキーを追加しなければなりません。Kerberos サーバーキーは、CommuniGate Pro の各ドメイ ンにそれぞれ別個に追加できます。また、KDC のデータベースにサーバーの「プリンシパル」を登録 しなければなりません。プリンシパルの名前は、CommuniGate ドメインまたはCommuniGate Pro ドメ インのエイリアスの名前と同じでなければなりません。キーが作成されれば、keytab ファイルにエク スポートします。
Kerberos 認証を使用する場合、WebAdmin インターフェイスの[Domain Settings] セクションを開き、 その後、[Security] リンク、さらに[Kerberos] リンクをクリックします。これで、ドメインKerberos キーのリストが表示されます。
単一のドメインにはKerberos キーを複数指定することができます。キーを追加する場合、[Browse] ボ タンを使って、keytab ファイル(KDC からエクスポートしたキーが格納されているファイル) を選 択します。その後、[Import Keys] ボタンをクリックすると、選択したkeytab ファイルからドメイン Kerberos キーが追加されます。
Kerberos キーを削除したい場合、チェックボックスを使ってキーを選択した後、[Delete Marked] ボ タンをクリックします。
Kerberos チケット(キー) がサーバーで受信されると、そのキーからサーバー名(sname) が取り出 され、また、そのサーバー名の中のドメイン名が検索されます。ドメイン名がエリアスのときには、 架空の電子メールアドレス(LoginPage@ ticket-name) が作成され、そのアドレスのルーティングが 実行されます。
検索されたドメインが存在したときには、そのドメインのKerberos キーのリストに所定のキーがある かどうかがチェックされます。キーが見つかり、また、そのキーを使ってチケット/ 認証情報が復号 化できた場合、ユーザーが認証されます。その後、チケットに指定されているクライアント名からア カウント(ユーザー) の名前が取り出されます。なお、このアカウント名は「単純な名前」、つまり、 @ または% が使われていない名前でなければなりません。
上の処理が完了すると、取り出されたアカウント名にドメイン名(そのアカウントのドメイン名) が 追加されます。最後に、アカウント名とドメイン名を組み合わせて電子メールアドレスが作成され、 その電子メールアドレスをアカウント名として使って接続がオープンされます。
注意:Kerberos 認証を使用している場合、取り出されたユーザー名がルータで使用されることはあり ません。というより、Kerberos 認証の場合、ルータは使用できません。理由は、Kerberos 認証では、 任意のドメインのユーザー名が別のドメインのユーザー名にルーティングされる可能性があり、した がって、いずれかのドメインで有効なKerberos キーを使って別のドメインのアカウントにアクセスで きるという状況が発生するためです。また、その「副作用」として、アカウント名の代わりにエイリ アスを使うことはできません。
Kerberos 認証を介してユーザーがログインする場合、そのユーザーのアカウントについて、[Use Kerberos] オプションが有効に設定されていなければなりません。
Microsoft アクティブディレクトリをKerberos キー配布センター(KDC) として使用することもできま す。その場合の手順は、次のとおりです。
詳しくは、Microsoft Knowledge Base のアーティクルQ324144 を参照してください。
If you want to use Kerberos Authentication (Single Sign-on) with Microsoft browsers, please read the "HTTP-Based Cross-Platform Authentication via the Negotiate Protocol" article in the Microsoft documentation set (MSDN).
The CommuniGate Pro Server supports the Client Certificate authentication method. This method can be used when clients connect to the Server via secure SSL/TLS connections. The Server may request a client to send a Client Certificate (installed on the client computer), signed with the Trusted Certificate selected on the Server for the target Domain.
If a client sends such a Certificate, the E-mail address specified in the Certificate subjectAltName element (if any) or in the Subject element E-mail field can be used for the Certificate-based Authentication. It is is interpreted as the name of the CommuniGate Pro Account to log into.
Note: The Certificate Authentication mechanism does NOT run the provided E-mail address via the Router. If it would use the Router, a name in one Domain could be routed to a name in a different Domain, so the Trusted Certificates valid for one Domain would provide access to Accounts in a different Domain. As a side effect, the Account Aliases cannot be used with the Certificate Authentication mechanism.
Only Accounts with enabled Certificate Authentication method can be accessed using Client Certificates.
See the PKI section for more details.
CommuniGate Pro サーバーでは、外部認証プログラムを使ってユーザーを認証することもできます。 外部認証プログラムは、通常、CommuniGate Pro サーバーの技術スタッフが作成します。その場合、 プログラムには、CommuniGate Pro サーバーで直接サポートされていないものの、CommuniGate Pro サーバーのサイトでは必要となる認証メカニズムを搭載します。
The External Authenticator can also be used to automatically provision Accounts based on some external data source, and/or to assist with the Router operations.
外部認証プログラムが作成できれば、その名前とパラメータを指定します。指定は、WebAdmin の [Helpers] ページで行えます。[Helpers] ページは、[Settings] セクションの[General] ページを開い た後、[Helpers] リンクをクリックすると開きます。
外部認証プログラムのオプションについては、詳しくは、外部ヘルパープロトコルの説明を参照してください。
外部認証プログラムが動作していない場合、外部認証要求はすべて拒否されます。
外部認証プログラムのインターフェイスプロトコルについては、外部ヘルパープロトコルの説明を参 照してください。
Sample External Authentication programs and scripts can be found at the Authentication Helpers site.
場合によっては、「ブルートフォース」アタックを使ってメールシステムが攻撃されることもありま す。ブルートフォースとは、システムのPOP やIMAP などのアクセスポートに対してランダムのユー ザー名やパスワードを送りつけてくるアタックをいいます。このアタックに対して、システムから「不 明なアカウント」や「無効なパスワード」などのエラーメッセージを出力すると、間接的にアカウン ト名の多くがアタッカーによって捕捉される危険があります。捕捉された場合、そのアカウント名を 使ってスパムメールを送信してくることもあります。
ブルートフォースアタックを回避したい場合、[Hide Unknown Account messages] オプションを有効に します。このオプションは、WebAdmin の[Settings] セクションの[Obscure] ページにあります。
いずれかのアカウントからログインが実行され、ログインが一定回数、失敗に終わった場合、そのア カウントによるログインができなくなるように設定できます。設定は、[Login Security] パネル(上 記) で行います。[Suspend Account for] には失敗ログインの最大回数を指定します。また、[failed logins within] にはログインを試行できる最長時間(分) を指定します。これで、指定した時間の間に 指定した回数のログインを行い、すべて失敗に終わった場合、そのアカウントではログインできなく なります。なお、ログインできなくなった後、指定した最長時間が経過すると、そのアカウントで再 度ログインを実行できるようになります。
CommuniGate Pro の制御、監視、保守を行う場合、通常、1 つのポストマスターアカウントがあれば 十分です。ただし、作業によっては、ポストマスター以外のユーザーに依頼したいこともあります。 例えば、ログの監視にユーザーが一人必要だが、ただし、ログの監視以外の作業の権限は与えたくな い、といったケースもあります。
ユーザーにアクセス権を付与したい場合、ポストマスターとしてログインします。または、[Can Modify Access Rights] 権限を持ったユーザーとしてログインします。
ユーザーに対して権限を付与(または解除) する場合、そのユーザーのアカウント([the Account Setting page]ページ) を開き、[Access Rights] リンクをクリックします。クリック後、[Access Rights] ページが 開きます。
ページでは、すべてのアクセス権のリストが表示され、また、そのユーザーに付与されているアクセ ス権がマークされています。
ユーザーがメインドメインのユーザー(アカウント) の場合、次のアクセス権を付与できます。
一方、ユーザーがドメイン(セカンダリドメイン) のユーザーの場合、付与できるアクセス権は次の 権限に限られます。
デフォルトでは、メインドメインのポストマスターには無制限のアクセス権が付与されています。
アクセス権を選択し、[Update] ボタンをクリックすると、そのアクセス権が付与されます。
アクセス権に関する情報は、ドメインを単位として単一のファイル(Access.settings) に保存さ れます。Access.settings ファイルは、そのドメインのディレクトリのサブディレクトリに格納さ れます。
If you do not plan to support mobile users, you may want to restrict access to the Server accounts. Use the following option on the Client IP Addresses page:
When an access module accepts a connection from an unlisted network address, and this option is selected, the module sends an error code to the client application, and the connection is closed immediately. Links with the rest of the Internet will be used only for mail Transfer, Real-Time Signals exchange, and for HTTP access to Account File Storage.
When this option is selected, the SMTP AUTH operation can be used only if a client mailer or server connects from the network address included into Client Addresses list.
When this option is selected, any Signaling operation that requires authentication
can be used only if a client device or server connects from the network address included
into Client Addresses list.
Note: Before you enable this option, make sure
that the network address you are currently using is included into the Client Addresses list: otherwise
you will immediately lose HTTP Admin access to the Server.
You can also specify the access restrictions on the lower (TCP) connection level. For each service (module), open the Listener page and specify the addresses the service (module) should or should not accept connections from. If a connection comes from an address that is not included into the Grant list or is included into the Deny list, the connection is closed immediately, and no module-level operations are performed.
The CommuniGate Pro Server supports impersonating - a login mode when the credentials
are supplied for one Account (the Authentication Account), while a different Account (the
Authorisation Account) is being opened.
It can also be used for Real-Time Registration.
Impersonating is supported for PLAIN and GSSAPI Authentication methods.
When Impersonating is used, the Server checks if the authentication Account credentials are valid, and if the requested service is allowed for that Account. It also checks if the Authentication Account has the CanImpersonate Domain access right.
The CommuniGate Pro Server supports the special SessionID Authenticaton method.
This method uses the session ID of a WebUser or XIMSS session
instead of the Account password.
The method is useful for CGI programs and scripts.
This method is disabled by default (see above).
The method is a SASL method and requires "immediate" parameters in the authentication protocol command. The first parameter
is the Account name, the second parameter, separated with the space symbol, is the WebUser session ID.
The WebUser authenticaiton operation for the PWD module is:
If the user john@doe.dom has an open WebUser Session with the 114-bXaKw92JK1pZVB5taj1r ID,
then the PWD command:
AUTH WEBUSER john@doe.dom 114-bXaKw92JK1pZVB5taj1r
opens the john@doe.dom account in this PWD session.