バックアップ/アーカイブ・クライアント操作およびセキュリティー権限

このセクションでは、実行可能な IBM® Storage Protect バックアップ/アーカイブ・クライアント操作のタイプと、必要なセキュリティー権限について説明します。

IBM Storage Protect クライアント・サービスをインストールおよび構成するには、ローカルまたはドメインの管理者特権が必要です。

表 1 に、バックアップ操作とリストア操作に必要なユーザー・セキュリティー権限を要約します。この表の情報は、 Microsoft Windows 管理者グループ、バックアップ・オペレーター・グループ、およびユーザー・グループのデフォルト特権が変更されていないことを前提としています。

表 1. IBM Storage Protect バックアップおよびリストア・サービスに必要なユーザー・セキュリティー権限
オペレーティング・システム	アカウント	バックアップおよびリストアできる対象
Windows クライアント	管理者グループのメンバー	すべてのファイルとディレクトリー・オブジェクトのバックアップおよびリストアシステム状態のバックアップおよびリストアシステム状態データ (バックアップ・オペレーター・グループは、ASR ライター・データのバックアップおよびシステム状態データのリストアはできません)
Windows クライアント	バックアップ・オペレーター・グループのメンバー	すべてのファイルとディレクトリー・オブジェクトのバックアップおよびリストア ASR ライターの場合を除き、システム状態のバックアップ注: バックアップ・オペレーター・グループ・メンバーは、システム状態をリストアできません。
Windows クライアント	ユーザー・グループまたはその他のグループのメンバー	すべてのファイルとディレクトリー・オブジェクトのバックアップおよびリストア重要: ファイルおよびディレクトリーをバックアップおよびリストアするには、ユーザーに以下の Microsoft Windows セキュリティー特権が必要です。バックアップ・ファイルおよびディレクトリーリストア・ファイルおよびディレクトリーこれらの特権は、すべてのファイルのバックアップ、またはバックアップ・コピーが存在するすべてのファイルのリストアをユーザーに許可するので、潜在的なセキュリティー・リスクを表します。これらの特権は、必ず信頼できるユーザーのみに付与してください。これらの特権について詳しくは、 Microsoft Windows の資料を参照してください。注: システム状態をバックアップまたはリストアすることはできません。

制約事項: データのリストア時に、以下の条件が満たされると、アクセス拒否エラー・メッセージが表示されることがあります。

Microsoft ポリシー設定「取り外し可能ストレージの監査 (Audit Removable Storage)」が有効になります。
リストアのターゲット・ファイル・システムがブート・ドライブ (通常はドライブ C) ではない。
リストアのターゲット・ファイル・システムが、ホット・プラグ可能なディスク上にある。
このユーザー・アカウントには、Microsoft セキュリティー特権「監査およびセキュリティー・ログの管理」がありません。

デフォルトでは、 IBM Storage Protect クライアント・サービスはローカル・システム・アカウントで実行されます。しかし、ローカル・システム・アカウントは、ネットワークにマップされたドライブにアクセスする権限も、そのシステムにログインするユーザーと同じ許可とログオン・プロパティーも持っていません。ローカル・システム・アカウントを使用しているとき、ユーザー開始バックアップとスケジュールされたバックアップの間で矛盾が生じるような場合は、そのユーザー・アカウントの下で稼働するサービスの変更を考慮してください。

ヒント: 適切なユーザー・セキュリティー権限に加えて、 IBM Storage Protect バックアップ/アーカイブ・クライアントでは、バックアップまたはリストアする必要があるすべてのドライブのルートに対する読み取り権限がユーザーに必要です。システム・アカウントを使用して IBM Storage Protect スケジューラー・サービスにログオンする場合は、ドライブのルートに対する読み取り権限をシステム・アカウント (SYSTEM) に付与するようにしてください。ドライブのルートへの「全員」読み取りアクセスを認可するのでは不十分です。

ネットワーク・ドライブなどのドメイン・リソースは、dsmcutil またはサービス・コントロール・パネル・アプリケーションを使用してドメイン許可アカウントの下で稼働するように構成されたサービスによってのみアクセス可能です。

IBM Storage Protect 8.1.2以降、Windows オペレーティング・システム上の IBM Storage Protect パスワード・ストレージに対して、より厳密なアクセス制御が適用されます。デフォルトでは、Administrator、SYSTEM、または LocalSystem アカウントのみがパスワード・ストアおよび SSL 証明書へのアクセス権を持っています。

この dsmcutil addace コマンドを使用すると、アクセス制御リストを変更して、管理者以外のユーザーや、Data Protectionクライアントプロセス IBM Storage Protect などのプロセスが、パスワードストアや SSL 証明書にアクセスできるようにすることができます。

dsmcutil deleteace コマンドを使用してアクセス制御リストを変更し、ユーザー (非管理ユーザーなど) またはプロセス ( IBM Storage Protect Data Protection クライアント・プロセスなど) のパスワード・ストアおよびクライアント証明書へのアクセス権限を削除できます。

詳しくは、 ADDACE および DELETEACEを参照してください。