［基礎解説］ Windowsセキュリティ・メカニズム入門（前編） 3．トークンと特権的操作 畑中 哲 2006/06/01

特権的操作のチェック

　前述したとおり、オブジェクトにアクセスを認めるかどうかの情報は、オブジェクトのACLに記載されているが、具体的なオブジェクトが存在しない場合はどうなっているのだろうか。

　例えば、コンピュータの時刻を変更する場合を考えてみよう。セキュアなOSでは、時刻を変更するかどうかも、必ずその変更が許されているかをチェックする必要がある。だが、Windows OSに「コンピュータの時刻」という特定のオブジェクトがあるわけではない。そのため、これに相当するACLも存在しない。

　このような、特定のオブジェクトに属しない事項に対して誰に何を認めるかは、各オブジェクトにACLを持たせるというわけにはいかないので、Windowsシステムが一元的に管理している。

　これを「特権（privileges）」または「権利（rights）」という（実際は特権と権利は区別して扱われるが、今回の説明では区別しない）。

　プロセスが誰であるかはトークンに記載されているわけだが、プロセスに許されている特権もまた、プロセスのトークンに記載されている。特権が必要な操作をプロセスが行おうとすると、Windowsは、その特権がトークンに記載されているかをチェックする。

トークンと特権

「コンピュータの時刻を変更する」といった、特定のオブジェクトに属しない事項に対しては、Windowsシステムが一元的に管理している。これを特権（または権利）という。各トークンには、そのトークンで利用できる特権が記載されている。特権が必要な操作を行おうとすると、Windows OSはトークンに記載されている特権をチェックする。

プロセスと特権的操作の関係にも注意

　現在、Windowsにログオンしているのが誰かということとは無関係に、オブジェクトへのアクセスは、プロセスのトークンによって判定されると説明した。これと同様に、特権操作の判定においても、Windowsにログオンしているのが誰か（ログオン画面に名前とパスワードを入力してログオンしたのがどのユーザーであるか）ということは、直接的にはまったく関係がない。特権的操作の判定に使われるのは、あくまで、いままさに特権的操作を実行しようとしている「そのプロセスのトークン」である。

トークンに記載される特権

　特権を付与するかどうかは、Windows OS上のほかのさまざまな権限と同様に、ユーザー／グループによって決まる。

　特権を与えられたユーザー／グループのトークンには、与えられた特権がすべて記載される。

トークンと特権

特権が与えられるかどうかは、ユーザー／グループによって決まる。特権を与えられたユーザー／グループのトークンには、与えられた特権がすべて記載されている。この例のトークンには、自分がAliceである／Usersグループに属しているという情報のほか、AliceとUsersグループに与えられているすべての特権が記載されている。

特権の設定

　誰に何の特権を与えるかは、［管理ツール］の［ローカル セキュリティ ポリシー］か、グループ・ポリシーの［コンピュータの構成］−［Windows の設定］の、［セキュリティの設定］−［ローカル ポリシー］−［ユーザー権利の割り当て］で決められている。

特権のリスト

誰に何の特権が与えられているかは、Windows 2000以降ならば、［管理ツール］の［ローカル セキュリティ ポリシー］か、グループ・ポリシーの［コンピュータの構成］−［Windows の設定］の、［セキュリティの設定］−［ローカル ポリシー］−［ユーザー権利の割り当て］で確認できる。Windows NT 4.0では、［ユーザー マネージャ］の［ユーザーの権利］で確認できる。

権利の一覧。 　 その権利を割り当てられているユーザーやグループのアカウント。

　

INDEX
	［基礎解説］
	Windowsセキュリティ・メカニズム入門（前編）
	1．セキュアなOSに必要なこと
	2．プロセスとトークンとACL
	3．トークンと特権的操作
	4．トークンの作成と書き換え
	Windowsセキュリティ・メカニズム入門（後編）
	1．管理者権限でログオンするとは？
	2．トークンの内容を確認する
	3．トークンの内容を書き換えてみる
	4．別のユーザーとして実行する機能とWindows Vista

　

基礎解説

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）