fpm コマンド

目的

setuid または setgid アクセス権を持つ特権ユーザーが所有するコマンドとデーモンへのアクセス権を管理します。

構文

fpm [ -l レベル [ -f ファイル ] [ [ -c ] [ -p ] ] [ -v ] ] | [ -s ] | [ -q ] | [ -? ]

説明

fpm コマンドを使用すると、管理者はオペレーティング・システムで多くのコマンドの setuid ビットと setgid ビットを使用不可にしてシステムを強化することができます。このコマンドは、特権ユーザーが所有するコマンドとデーモンから setuid アクセス権を除去することを目的としています。ただし、このコマンドをカスタマイズして、固有のコンピューター環境の特殊なニーズに対応することもできます。

ベースとなるAIX®オペレーティング・システム上のsetuidプログラムは、ハードニングのレベルに応じてグループ化されている。このグループ化により、管理者はシステム環境に応じて強化のレベルを選択できます。また、fpm コマンドを使用して、環境内で使用不可にする必要があるプログラムのリストをカスタマイズできます。使用不可化のレベルを検討して、環境に適したレベルを選択する必要があります。

fpm コマンドでコマンドとデーモンの実行アクセス権を変更すると、非特権ユーザーがこれらのコマンドとデーモンまたはコマンドとデーモンの機能にアクセスできなくなります。また、これらのコマンドとデーモンを呼び出したり依存したりする他のコマンドも影響を受ける可能性があります。 fpm コマンドで変更されたアクセス権を持つコマンドとデーモンに依存するユーザー作成スクリプトは、非特権ユーザーがこれらを実行すると期待どおりに動作しません。コマンドとデーモンのデフォルトのアクセス権を変更する場合は、その効果と起こり得る影響についてよく考慮してください。

このコマンドを使用してクリティカルなコンピューター環境でコマンドとデーモンの実行アクセス権を変更する場合は、事前に適切なテストを実行する必要があります。実行アクセス権を変更した環境で問題が発生した場合は、デフォルトのアクセス権を復元し、このデフォルトの環境で問題を再作成して、その問題の原因が適切な実行アクセス権の不足ではないことを確認してください。

fpmコマンドには、-l defaultフラグを使用して、元のAIXインストールのデフォルトのパーミッションを復元する機能があります。

また、fpm コマンドは、ファイルのアクセス権の状態をファイルの変更前にログに記録します。 fpm ログ・ファイルは、/var/security/fpm/log/date_time ファイルに作成されます。必要に応じて、これらのログ・ファイルを使用して、前回保管されたログ・ファイルに記録されていたシステムのファイル・アクセス権を復元できます。

fpm コマンドがアクセス権を拡張したファイルで使用される場合、このコマンドはその拡張アクセス権を使用不可にします。ただし、fpm の呼び出し前に存在した拡張アクセス権のデータは拡張 ACL に保存されます。

カスタマイズされた構成ファイルを高、中、低、およびデフォルトの設定の一部として作成して設定することができます。ファイル・リストは、/usr/lib/security/fpm/custom/high/* ディレクトリー、 /usr/lib/security/fpm/custom/medium/* ディレクトリー、および /usr/lib/security/fpm/custom/default/* ディレクトリーで指定できます。この機能を利用するには、fpm コマンドの内部リストに加えて、自動的に処理したいファイルのリストを含むファイルを作成します。 fpm コマンドは実行されると、対応するカスタマイズ・ディレクトリー内のリストも処理します。カスタマイズされたファイルのフォーマットの例を確認するには、/usr/lib/security/fpm/data/high_fpm_list ファイルを表示します。デフォルトのフォーマットは、/usr/lib/security/fpm/data/default_fpm_list.example ファイルで表示できます。 -l low フラグのカスタマイズの場合、fpm コマンドは /usr/lib/security/fpm/custom/medium ディレクトリーの同じファイルを読み取りますが、setgid アクセス権だけを除去します。その一方で、-l medium フラグは、setuid と setgid の両方のアクセス権を除去します。

fpm コマンドは、TCB 対応ホストでは実行できません。

フラグ

項目	説明
-l レベル	指定したレベルに応じてファイルのアクセス権を変更することを指定します。 -l high 高レベル・セキュリティー。このフラグは、コンピューター・システムに対して setuid と setgid のアクセス権を除去し、それらを高レベル・セキュリティーに分類します。このフラグは、/usr/lib/security/fpm/data/high_fpm_listファイルと/usr/lib/security/fpm/custom/high/.ファイル内のファイルリストを使用するファイルをデフォルトで入力とするが、-fフラグで別の入力ファイルを選択することもできる。 -l medium 中レベル・セキュリティー。このフラグは、コンピューター・システムに対して setuid と setgid のアクセス権を除去し、それらを中レベル・セキュリティーに分類します。このフラグは、/usr/lib/security/fpm/data/med_fpm_listファイルと/usr/lib/security/fpm/custom/med/.ファイルにあるファイルのリストを使用するファイルをデフォルトで入力とする。 -f フラグを使用して代替入力ファイルを選択できます。 -l low 低レベル・セキュリティー。このフラグは、コンピューター・システムに対して setuid アクセス権のみを除去し、それらを低レベル・セキュリティーに分類します。このフラグは、/usr/lib/security/fpm/data/med_fpm_listファイルと/usr/lib/security/fpm/custom/med/.ファイルにあるファイルのリストを使用するファイルをデフォルトで入力とする。 -f フラグを使用して代替入力ファイルを選択できます。 -l default fpm コマンドで変更されたシステム・コマンドをデフォルトの出荷時のアクセス権に戻します (そのコマンドが高、中、または低のレベルを使用して変更された場合)。このオプションは/usr/lib/security/fpm/custom/default/.を読み込みますファイルに定義されたパーミッションを設定する。
-s	fpm コマンドで前回行われた変更の状況を表示します。状況は /usr/lib/security/fpm/data/status_fpm ファイルに書き込まれます。セキュリティー・レベルは、1 から 5 (包括的) の整数で表されます。
-f ファイル	ファイル・リストを指定してデフォルトの入力ファイルを上書きします。この場合、file パラメーターは、入力に使用されるファイルのリストを含むファイルの名前です。このフラグは、-l high\|medium\|low\|default または -c フラグと一緒に使用する必要があります。高、中、低のレベルを使用する場合、入力ファイルのフォーマットは次のようになります。 full_path/ファイル名例: `/usr/sbin/foo` -l default フラグと一緒に使用される場合、入力ファイルのフォーマットは次のようになります。 octet_permissions full_path/ファイル名 octet_permissions 変数と full_path 変数の間にはスペースが 1 つ必要です。例えば、`0750 /usr/sbin/foo` などです。 -f フォーマットでは、影響を受けるファイル・リストの特定の制御が可能です。
-c	ファイルのアクセス権を検査します。ただし、アクションは実行しません。 fpm コマンドは、非準拠のファイルが見つからなかった場合、0 を返します。 1つ以上のファイルがパーミッションに違反している場合、このオプションは違反しているファイルをリストアップし、1を返します。このフラグは、-llevelオプションとともに使用しなければならない。例えば、-c フラグと -l high フラグを一緒に使用すると、fpm コマンドは /usr/lib/security/fpm/data/high_fpm_list ファイルにリストされているファイルを検査し、それらの setuid と setgid のアクセス権を除去します。 -f file フラグは、-c オプションと一緒に使用することもできます。
-v	詳細出力。
-p	fpm コマンドが行う変更をプレビューします。ただし、アクションは実行しません。このフラグは、-l level フラグと一緒に使用する必要があります。
-q	終了モード。出力を最小限にして、警告を抑制します。
-?	使用方法に関するステートメントを表示します。

終了状況

項目	説明
0	成功。
非ゼロ	失敗、または一部失敗。詳しくは、-v フラグを参照してください。

セキュリティー

fpm コマンドは、setuid と setgid アクセス権のコマンド数を削減します。

例

fpm コマンドの低レベル・セキュリティー設定を適用するには、次のように入力します。
```
fpm –l low
```
このコマンドは、/usr/lib/security/fpm/custom/med/ ディレクトリー内のファイル・リストも処理します。
システム・コマンドが現在 fpm の低レベル・アクセス権に設定されているかを確認するには、次のように入力します。
```
fpm –c –l low
```
このコマンドは、不適合のアクセス権を持つファイルを報告します。
元々の出荷時のデフォルト・アクセス権を復元するには、次のように入力します。
```
fpm –l default
```
このコマンドは、/usr/lib/security/fpm/custom/default/ ディレクトリー内のファイル・リストも処理します。
ファイル・アクセス権を変更せずに、fpm コマンドの高レベル・セキュリティーにシステムを準拠させるために行うアクセス権の変更をリストまたはプレビューするには、次のように入力します。
```
fpm -l high –p
```
このコマンドは、/usr/lib/security/fpm/custom/high/ ディレクトリー内のファイル・リストもプレビューします。
fpm コマンドの高レベル・セキュリティー設定を適用するには、次のように入力します。
```
fpm –l high
```
このコマンドは、/usr/lib/security/fpm/custom/high/ ディレクトリー内のファイル・リストも処理します。
fpm コマンドで変更されたシステムの現在の状況をリストするには、次のように入力します。
```
fpm –s
```
fpm-l levelコマンドが2007年1月7日a.m8時に実行された場合、その場合、影響を受けるファイルのパーミッション状態は、fpmコマンドが変更を加える前にキャプチャされる。ファイルのパーミッションを2007年1月7日a.m8時の状態に戻す、以下のように入力します。
```
fpm –l default –f /var/security/fpm/log/01072007_08:00:00
```

ファイル

項目	説明
/usr/lib/security/fpm/data/default_list_example	デフォルトの出荷時のアクセス権とファイルが入っています。
/usr/lib/security/fpm/data/high_fpm_list	-l high フラグで変更可能なアクセス権を持つファイルのリストが入っています。
/usr/lib/security/fpm/data/med_fpm_list	-l medium または -l low フラグで変更可能なアクセス権を持つファイルのリストが入っています。
/usr/lib/security/fpm/custom/high/*	このディレクトリー内のファイルは、-l high レベルが選択された場合にユーザー構成の入力として使用できます。これらのファイルには、fpm コマンドが setuid と setgid のアクセス権を除去する元のファイルのリストが入っていなければなりません。
/usr/lib/security/fpm/custom/medium/*	このディレクトリー内のファイルは、高レベルのディレクトリーと同様に機能しますが、-l medium フラグおよび -l low フラグと一緒に使用されます。
/usr/lib/security/fpm/custom/default/*	このディレクトリー内のファイルは、高レベルのディレクトリーと同様に機能しますが、-l default フラグと一緒に使用されます。注意：これらのファイルは、/usr/lib/security/fpm/data/default_list_exampleファイルと同じ形式でなければならない。
/usr/lib/security/fpm/data/status_fpm	fpm コマンドの前回の実行で変更されたファイル・アクセス権の状況が入っています。
/var/security/fpm/log/日付_時間	fpm コマンドで変更された、コマンドの実行日時に対応するファイルのリストが入っています。このファイルは、-f フラグの入力ファイルとして使用してアクセス権をこのインスタンスに復元できます。