IBM Support

ClearCase 管理者グループが VOB や VOB オブジェクトを所有したときに発生する問題

Preventive Service Planning


Abstract

[Japanese] IBM® Rational® ClearCase® に関する情報と、ClearCase 管理者グループが Microsoft® Windows® 上で VOB や VOB データ （ エレメントやメタデータ ） を所有したときに起こりうる問題について説明します。

Content


はじめに


CLEARCASE 管理者グループが CLEARCASE オブジェクトに割り当てられる原因


影響


問題の修正方法


ドキュメント


はじめに

VOB や VOB 内に含まれるオブジェクト （エレメントとメタデータ） が ClearCase 管理者グループによって所有されるとき、非管理者ユーザーがそのオブジェクトに対して何らかの操作を実行すると、多くの場合、パーミッションエラーが発生することが予想されます。

管理者グループは、デフォルトで全ての ClearCase オブジェクトへのアクセスをもつので、明示的に管理者グループを追加する必要はなく、このグループの追加は避けるべきです。

ClearCase 管理者としての認証が必要で、これを確実に行わなければいけない場合、 CLEARCASE_GROUPS 環境変数に ClearCase 管理者グループを含めるように設定し、 CLEARCASE_PRIMARY_GROUP 環境変数に ClearCase ユーザーグループを含めるようにします。

誤った保護情報をもつオブジェクトに対するアクセスを可能にするために、全てのユーザーを特権グループに追加することは、それら全てのユーザーが ClearCase 管理者として考慮されるというセキュリティ上のリスクがあるので、避けます。その代わりに、オブジェクトを適切なグループ（任意の ClearCase ユーザーグループ）で再保護します。グループのユーザーは VOB と全ての VOB オブジェクトを所有するグループのメンバーになります。

詳細は ClearCase コマンドリファレンス の permissions (cleartool man permissions) のトピックを参照してください。

トップへ戻る



CLEARCASE 管理者グループが CLEARCASE オブジェクトに割り当てられる原因

では、どのようにして ClearCase 管理者グループが誤って VOB や VOB オブジェクト (場合によってはビュー) のグループに割り当てられるのでしょうか ?

次のようなケースでの発生が考えられます。

上記のユーザーによって作成された ClearCase オブジェクトは、結果的にデフォルトでプライマリーグループによって所有されることになります。

例:

下記のいずれかのコマンド実行結果から、プライマリーグループに ClearCase 管理者グループである "MYDOMAIN\CLEARCASE" が設定されていることがわかります。

C:\Documents and Settings\joe>set
...
CLEARCASE_PRIMARY_GROUP=MYDOMAIN\CLEARCASE
...<中略>...

C:\Program Files\Rational\ClearCase\etc\utils>creds
Login name: MYDOMAIN\joe
USID: NT:S-1-5-21-141845252-1443263951-584457872-1606
Primary group: MYDOMAIN\clearcase (NT:S-1-5-21-141845252-1443263951-584457872-1022)
Groups: (8)
MYDOMAIN\user (NT:S-1-5-21-141845252-1443263951-584457872-1023)
Everyone (NT:S-1-1-0)
BUILTIN\Administrators (NT:S-1-5-32-544)
BUILTIN\Users (NT:S-1-5-32-545)
NT AUTHORITY\INTERACTIVE (NT:S-1-5-4)
NT AUTHORITY\Authenticated Users (NT:S-1-5-11)
LOCAL (NT:S-1-2-0)
MYDOMAIN\Domain Users (NT:S-1-5-21-141845252-1443263951-584457872-513)

You have ClearCase administrative privileges.

トップへ戻る


影響
  • VOB オブジェクト

    以下は、先の例でエレメントを作成したユーザーが、VOB を作成したときの VOB に対する describe コマンドの出力です。VOB は ClearCase 管理者によって所有されています。ClearCase 管理者ではないユーザーがこの VOB に ClearCase のデータを追加しようとすると、パーミッションのエラーが発生します。

    • C:\Documents and Settings\joe>cleartool describe -l vob:\new-vob


    versioned object base "\new-vob"
    作成 2007-07-06T18:46:48-04 作成者 Joe Mac (joe.clearcase@myhost)
    VOB ファミリ機能レベル: 5
    VOB 記憶ホスト: パス名 "myhost:D:\clearcase_storage\vobs\new-vob.vbs"
    VOB 記憶グローバル パス名 "D:\clearcase_storage\vobs\new-vob.vbs"
    データベース スキーマ バージョン: 54
    権限を持つリモート ユーザーによる変更: 許可
    VOB の所有者:
    所有者 MYDOMAIN\joe
    グループ MYDOMAIN\clearcase
    属性:
    FeatureLevel = 5

ClearCase 管理者グループを VOB のグループリストに追加することは許可されていません。追加しようとすると次のようなエラーが出力されます。

C:\Documents and Settings\joe>cleartool protectvob -add_group clearcase \\myhost\clearcase_storage\vobs\june2007.vbs

このコマンドは、バージョン付きオブジェクト ベースの保護に影響します。
このコマンドの実行中は VOB へのアクセスが制限されます。
プール "sdft" は正しく保護されているようです。
プール "ddft" は正しく保護されているようです。
プール "cdft" は正しく保護されているようです。
バージョン付きオブジェクト ベース "\\myhost\clearcase_storage\vobs\june2007.vbs" を保護しますか ? [no] y
保護が不要と考えられる場合でもプールを保護しますか ? [no] y
cleartool: エラー: バージョン付きオブジェクト ベース "\\myhost\clearcase_storage\vobs\june2007.vbs" の保護中に問題が発生しました。

  • ビュー

    以下の cleartool lsview コマンドの出力は、ビューのプロパティーを表示しています。このビューは管理者グループによって所有されているため、非特権ユーザーはチェックアウトを実行できません。これはデフォルトでは、「その他」 のグループにはビューに対する書き込み権限が付与されていないからです。

    M:\def\new-vob>cleartool lsview -properties new-view
    * new-view \\myhost\clearcase_storage\views\new-view.vws
    2007-07-06T18:49:20-04 に MYDOMAIN\joe.MYDOMAIN\clearcase@myhost により作成 されました
    最終変更日時: 2007-07-06T18:49:20-04、 変更ユーザー: MYDOMAIN\joe.MYDOMAIN\clearcase@myhost
    最終アクセス日時: 2007-07-06T18:49:20-04、 アクセスユーザー: MYDOMAIN\joe.MYDOMAIN\clearcase@myhost
    所有者: MYDOMAIN\joe : rwx (all)
    グループ: MYDOMAIN\clearcase : rwx (all)
    その他: : r-x (read)
  • Interop:

    (ClearCase 4.1 の時点から) セキュリティーの問題を避けるために、 UNIX では、ClearCase 管理者グループは nobody にマップされるように設計されています。そのため、ユーザーのプライマリーグループに管理者グループを設定することは、UNIX 上では常に nobody のグループで認証を受けることになり、これが原因でパーミッションエラーの発生へとつながります。

    詳細は ClearCase コマンドリファレンス の credmap (cleartool man credmap) のページを参照してください。

  • MultiSite:

    ClearCase 管理者グループによって所有されているオブジェクトは、インポートやエクスポートで下記のようなエラーが発生することがあります。

    multitool: エラー: VOB "\idunn" にコンテナを作成できません。グループ "SERVER2\clearcase" が VOB のグループリストにありません。

トップへ戻る


問題の修正方法

トップへ戻る

ドキュメント

[{"Product":{"code":"SSSH27","label":"Rational ClearCase"},"Business Unit":{"code":"BU053","label":"Cloud & Data Platform"},"Component":"VOB","Platform":[{"code":"PF033","label":"Windows"}],"Version":"2003.06.00;7.0;7.0.1;7.1;7.1.1;7.1.2","Edition":"","Line of Business":{"code":"LOB45","label":"Automation"}}]

Document Information

Modified date:
29 September 2018

UID

swg21459547

Page Feedback