セキュリティポリシーの管理の概要

[アーティクル]
09/17/2008

更新 : 2007 年 11 月

.NET Framework セキュリティシステムは、セキュリティポリシーと呼ばれる、構成可能な一連の規則によって管理されます。このポリシーの設定によって、コードからどのリソースにアクセスできるのか、最終的には、どのコードを実行できるのかが決定されますが、この設定はエンドユーザーや管理者が調整できます。

たとえば、エンタープライズレベルの設定の管理者が、ある特定の企業が発行するソフトウェアの信頼性を低いと判断したとします。その企業のソフトウェアは従業員の興味を引くものかもしれませんが、ネットワークトラフィックを増大させたり、ワークステーションを不安定にさせたりする要因を備えています。そのような場合、管理者は、特定の暗号の厳密な名前 (プログラムの一意識別子) を持つそのソフトウェアから社内のコンピュータリソースへのアクセスを制限するような、エンタープライズレベルのセキュリティポリシーを設定できます。また、その発行元によるソフトウェアを実行できないようにするポリシーを設定することもできます。

ここでは、セキュリティポリシーの管理の概要について説明します。追加情報については、「セキュリティポリシーの管理」を参照してください。

証拠、コードグループ、およびアクセス許可セット

共通言語ランタイムに対応するコードは、アセンブリと呼ばれる単位で配置されます。共通言語ランタイムは、各アセンブリの読み込み時に、それらのアセンブリに関する情報 (コードの作成者のデジタル署名、コードの発生元の場所) を識別する証拠を調べます。この証拠に基づいて、共通言語ランタイムのセキュリティマネージャは、セキュリティポリシーに基づくコードグループに各アセンブリを割り当てます。コードグループは、特定の形式の証拠があるかどうかを確認するために定義されており、それぞれにアクセス許可セットが関連付けられています。あるコードグループに属するアセンブリには、そのコードグループに関連付けられているアクセス許可セットによって定義されているアクセス許可が与えられます。証拠、コードグループ、およびアクセス許可セットの詳細については、「セキュリティポリシーモデル」を参照してください。

アクセス許可

アクセス許可は、単に、保護されているリソースへのアクセス権を表すオブジェクトです。アクセス許可は構成可能であり、1 つのアクセス許可オブジェクトで複数のアクセス形式を表すことができます。たとえば、FileIOPermission は、ローカルハードディスク上のファイルに対するアクセス、作成、読み取り、書き込み、または変更を行う権利を表します。アクセス許可が意味をなすためには、それ自体が表しているアクセスの種類について、固有の情報を含んでいる必要があります。FileIOPermission を、特定のファイルの読み取り権、特定のファイルの読み書き権、またはディレクトリ内のすべてのファイルの読み取り権を表すように構成することもできます。アクセス許可が表し、アセンブリに与えられる権利は、コンピュータの管理者が自由に構成できます。アプリケーションでは、他のオブジェクトと同じようにアクセス許可オブジェクトを構築および構成できますが、そのアプリケーションにアクセス許可を与えることができるのはセキュリティポリシーだけです。最終的には、管理者がアクセス許可を付与するかどうかを制御することになります。一般的なアクセス許可の一覧については、「コードアクセス許可」を参照してください。

セキュリティポリシーレベル

セキュリティモデルには、さまざまなホスト方法に対応して、4 つのレベルのセキュリティポリシーが定義されています。各レベルの説明を次の表に示します。エンタープライズポリシーレベルが最高レベルで、アプリケーションドメインレベルが最低レベルです。

ポリシーレベル	説明
エンタープライズポリシー	エンタープライズドメインのポリシーを設定するエンタープライズ管理者によって定義されます。
マシンポリシー	特定のコンピュータのポリシーを設定するコンピュータ管理者によって定義されます。
ユーザーポリシー	単一のログオンアカウントのポリシーを設定するユーザーによって定義されます。
アプリケーションドメインポリシー	読み込み時のポリシーを設定するために、ランタイムホスト (共通言語ランタイムをホストする任意のアプリケーション) によって定義されます。このレベルは管理できません。

各ポリシーレベルは、コードグループの階層構造で構成されています。各ポリシーレベルの管理者は、それぞれ独自のコードグループと、それらのコードグループに関連付けられたアクセス許可セットを作成できます。コードアクセスセキュリティシステムは、読み込み時にすべてのポリシーレベルを調べ、各レベルで許可されているアクセス許可セットの積集合であるアクセス許可セットを結果として付与します。低いレベルのポリシーの管理者は、それよりも上のレベルで決定されたポリシーを緩めることはできませんが、必要に応じて、そのポリシーをより厳しくすることはできます。既定のセキュリティポリシーは、マシンポリシーレベルに設定されています。

既定のセキュリティ設定は次のとおりです。

ユーザーレベルおよびエンタープライズレベルは無制限に設定されています。
マシンレベルには、固有のポリシーと制限が設定されています。
3 つのレベルで定義されている設定が、既定の設定を構成します。

ユーザーレベルとエンタープライズレベルが無制限に設定されていても、アセンブリに無制限のアクセス許可が付与されるわけではありません。マシンレベルに制限がいくつか定義されており、3 つのレベルをすべて合わせてアクセス許可が決定されるため、結果として与えられるアクセス許可が無制限になることはありません。詳細については、「セキュリティポリシーモデル」を参照してください。

コードグループのアクセス許可セットへの割り当て

ポリシーの管理は、管理対象のポリシーレベルでコードグループをアクセス許可セットに割り当てることによって行います。

コードグループには、メンバシップ条件、アクセス許可セットの関連付け、およびコードグループ属性が含まれています。アセンブリが共通言語ランタイムに提示する証拠は、管理者がコードグループに対して指定したメンバシップ条件と比較されます。アセンブリが提示する証拠がメンバシップ条件に一致した場合、そのアセンブリはそのコードグループに所属できるようになります。管理者は、メンバシップ条件を指定することによってアセンブリを識別して複数のコードグループに分類し、それらのコードグループにアクセス許可セットを割り当てます。また、コードグループの属性を使用して、アクセス許可を割り当てるときに、現在のポリシーよりも下のレベルのポリシーは適用しないように、または現在のコードグループ以外のコードグループを考慮しないように指定することもできます。

メンバシップ条件としては、次のような種類の組み込みの証拠を使用できます。