セキュリティ

そのほか、特殊WebUser 認証方式もサポートされています。

ログインの認証方法の設定を行いたい場合、WebAdmin インターフェイスで［Domain Settings］ ペー ジを開きます。その後、［Login Methods］ パネルに移動します。

CLRTXT

このオプションを選択しておくと、サポートされている非セキュア（ クリアテキスト） 認証 方式がすべてアドバイズされ、このドメインで使用できるようになります。

CRAM-MD5, DIGEST-MD5

この2 つのオプションを選択しておくと、CRAM-MD5 とDIGEST-MD5 の各認証方式がアド バイズされ、このドメインで使用できるようになります。
ドメインのアカウントの認証方式として、セキュア認証がサポートされていない認証方式 （一方向暗号化パスワードやOS パスワードなど） を使用する場合、CRAM-MD5 とDIGESTMD5はいずれも選択しないでください。

APOP

このオプションを選択しておくと、接続がPOP またはPWD の場合、初期プロンプトが表示 されます。その後、メールクライアントで、このプロンプトを使ってセキュアAPOP 認証方 式の利用が可能です。
ドメインのアカウントの認証方式として、セキュア認証がサポートされていない認証方式 （一方向暗号化パスワードやOS パスワードなど） を使用する場合、このオプションは選択し ないでください。

GSSAPI

このオプションを選択しておくと、GSSAPI 認証方式がサポートされるようになります。
ドメインでGSSAPI 方式がサポートされていない場合（例えば、Kerberos キーを指定してい ない場合）、このオプションは選択しないでください。

MSN, NTLM

この2 つのオプションを選択しておくと、それぞれ非標準MSN 認証方式、非標準NTLM 認 証方式（一部のMicrosoft 製品で使用） がアドバイズされ、このドメインで有効になります。
ドメインのアカウントの認証方式として、セキュア認証がサポートされていない認証方式 （一方向暗号化パスワードやOS パスワードなど） を使用する場合、この2 つのオプションは いずれも選択しないでください。
注意: MacOS 版のMicrosoft Outlook のうち多くのバージョンは、アカウントを複数設定して いる場合、MSN 認証方式は正常に動作しません。
注意: Microsoft の一部の製品では、サーバーでNTLM SASL 認証方式がサポートされている かどうかをチェックする機能があり、チェックでサポートされていると判断された場合、ま ず異常な認証情報をサーバーに送信します。その後、再度、正常な認証情報をサーバーに送 ります。ただし、最初のログイン失敗により［Failure-level］ のログレコードが記録され、ま た、失敗ログインカウンタの値が急速に増加します。その結果、そういった製品で使用され ているアカウントが「一時的にロック」されることがあります。

上記のオプションはいずれも「アドバイズ」系オプションで、セッションタイプのサービス（SMTP、 POP、IMAP、ACAP、PWD、FTP） に対してのみ機能し、トランザクションタイプのサービス （HTTP、SIP） には影響はありません。
また、上記の「アドバイズ」系オプションでは、認証方式がサーバーによってアドバイズされるかど うかを指定するオプションです。したがって、クライアントアプリケーションでは、上記のオプショ ンがオフになっていても、すべての認証方式を使用できます。

WebUser

このオプションを選択しておくと、このドメインでWebUser認証方式が有効になります。

システム管理者は、任意のアカウントについて、上記の3 種類のパスワードのいずれか、または複数 を選択し、必要に応じて組み合わせて使用できます。大規模なサイトでは、通常、サーバーワイドの デフォルトアカウント設定（Default Account Settings） またはドメインワイドのデフォルトアカウント 設定を使って、必要なパスワードを設定するのが効率的です。

単一のアカウントについて複数種類のパスワードを有効にした場合、まず、CommuniGate Pro パス ワードがチェックされます。続いて、OS パスワードがチェックされ、その後、外部認証プログラム が動作し外部パスワードがチェックされます。また、ユーザーがクライアントアプリケーション上で 入力したパスワードが、保存されているパスワードのいずれか１ つと一致した場合、そのアプリケー ションからユーザーのアカウントへのアクセスが認められます。

パスワード暗号化形式として［U-crpt］ オプションを選択すると、CommuniGate Pro パスワードが標 準Unix 暗号化ルーチンを使って保存されます。また、［UB-crpt］ オプションを選択しておくと、拡張 Blowfish ベースの暗号化方式が使われます。
［U-crpt］ と［UB-crpt］ はどちらも一方向暗号化方式です。そのため、サーバーではオリジナル（ ク リアテキスト） の形式に復号化はできず、また、セキュア （SASL) 証方式で使用することもできま せん。したがって、この暗号化方式はどちらも、従来のシステムのパスワード文字列を使用したいが OS パスワードを入手できない場合などに限って使用するようにします。

また、一般に「オンザディスクセキュリティ」（一方向暗号化方式を使用） より「オンラインセキュリ ティ」（SASL 方式を使用） が強固であり、この点からも、上記の2 種類の暗号化方式の使用は控える のが賢明です。　［U-crpt］ パスワードには、MD5 ダイジェストやSHA1 ダイジェストなど、システ ムによっては特殊な形式のものもあり、その場合、UNIX 暗号化パスワードとして認識されないこと もあります。MD5 ダイジェストなどについては、詳しくは、「移行」のセクションを参照してくださ い。

注意: please remember that the plain Unix crypt routine uses only the first 8 symbols of the password string.

CommuniGate Pro パスワードが存在しなかったり、存在しても内容が空だったときには、CommuniGate Pro パスワードのオプションを有効にしているときでも、アカウントへのログインはできません。た だし、そのユーザーにOS パスワードまたは外部認証パスワードがある場合、いずれかのパスワード を使ってログインし、その後、CommuniGate Pro パスワードを指定（更新） できます。この機能を使 うことで、既存のメールシステムのユーザーをCommuniGate Pro サーバーに移行する場合、非暗号化（ クリアテキスト） パスワードが入手できない（ クリアテキストパスワード付きのアカウントリストを 作成できない） ときでも、OS パスワードを使うことでユーザーの移行が可能です。

ユーザーがOS パスワードを入力すると、そのOS パスワードがCommuniGate Pro サーバーでチェッ クされますが、その際、そのアカウント（CommuniGate Pro のユーザーアカウント） のOS ユーザー 名を使ってOS ユーザー名が作成されます。OS ユーザー名設定はデフォルトでは［*］ に設定されて おり、この場合、作成されるOS ユーザー名はCommuniGate Pro のアカウント名と同じです。OS ユーザー名設定はCommuniGate Pro ドメインごとに指定でき、したがって、OS ユーザー名設定をデ フォルト以外に変更することで、CommuniGate Pro ドメインごとに異なるOS ユーザー名を作成でき ます。

OS パスワードは一方向暗号化パスワードです。そのため、OS パスワードはセキュア認証方式では 使用できません。

ドメイン管理者は、［KerberosKeys Access Right］ （Kerberos キーアクセス権） が付与されているときに 限ってKerberos キーの追加や削除が可能です。

サーバーでKerberos チケットが受信されると、そのチケットからサーバー名（sname） が抽出されま す。サーバー名が単一のコンポーネント（domain.dom） で構成されている場合、そのコンポーネント がターゲットのドメイン名（ ticket-domain-name） として使われます。サーバー名が複数のコンポーネ ント（サービス/domain.dom） で構成されているときには、2 番目のコンポーネント（domain.dom） が 使われます。その後、サーバーによって仮想電子メールアドレス（LoginPage@ ticket-domain-name） が 作成され、このアドレスがルートされます。このルーティングメカニズムは、HTTP要求でターゲッ トドメインが検索されるときのメカニズムと同じです。

検索されたドメインが存在したときには、そのドメインのKerberos キーのリストに所定のキーがあ るかどうかがチェックされます。キーが見つかり、また、そのキーを使ってチケット/ 認証情報が復 号化できた場合、ユーザーが認証されます。その後、チケットに指定されているクライアント名から アカウント（ユーザー） の名前が取り出されます。なお、このアカウント名は「単純な名前」、つま り、@ または% が使われていない名前でなければなりません。

上の処理が完了すると、取り出されたアカウント名にドメイン名（そのアカウントのドメイン名） が 追加されます。最後に、アカウント名とドメイン名を組み合わせて電子メールアドレスが作成され、 その電子メールアドレスをアカウント名として使って接続がオープンされます。

注意: Kerberos 認証を使用している場合、取り出されたユーザー名がルータで使用されることはあ りません。というより、Kerberos 認証の場合、ルータは使用できません。ルータを使用した場合、 いずれかのドメインの名前が別のドメインの名前にルートされることがあり、そのため、いずれかの ドメインで有効なKerberos キーが別のドメインでも有効になってしまい、そのドメインのアカウン トにアクセスが可能になることがあるためです。また、Kerberos チケットではアカウントのエイリ アスは使用できません。

Kerberos チケットを使ってアカウントにアクセスする場合、そのアカウントでKerberos 認証方式が サポートされている必要があります。

Microsoft アクティブディレクトリとの統合

CommuniGate Pro サーバーはクライアント証明書認証方式をサポートしています。この方式は、クラ イアントからセキュアSSL/TLS接続を介してサーバーに接続が実行されるときに使用できます。こ の場合、サーバーからクライアントに対してクライアント証明書（ クライアントコンピュータにイン ストール済み） の送信が要求されます。この証明書には、サーバー上で選択されている信頼証明書に よる署名がなければなりません。

クライアントから証明書がサーバーに送信されると、サーバー上では証明書の件名（Certificate Subject） のE-mail フィールドの内容がCommuniGate Pro アカウント（ ログイン先のアカウント） の 名前と解釈されます。

注意: 証明書認証方式メカニズムでは、ルータ経由で提供された電子メールアドレスは使用されませ ん。ルータ経由の場合、いずれかのドメインの名前が別のドメインの名前にルートされることがあ り、そのため、いずれかのドメインで有効なKerberos キーが別のドメインでも有効になってしまい、 そのドメインのアカウントにアクセスが可能になることがあるためです。また、証明書認証方式では アカウントのエイリアスは使用できません。

クライアント証明書を使ってアカウントにアクセスする場合、そのアカウントで証明書認証方式がサ ポートされていることが必要です。

詳しくは、PKIのセクションを参照してください。

また、認証に限らず、外部データソースを使ってアカウントを自動的にプロビジョニングする外部認 証プログラムや、ルータ処理を補助する外部プログラムを作成しても結構です。

外部プログラムが作成できれば（または、その名前が決まれば）、プログラムの名前とパラメータを ［WebAdmin Helpers］ ページで設定します。このページは、［Settings］ セクションの［General］ ペー ジを開き、［Helpers］ リンクをクリックすると開きます。

外部認証プログラムのオプションについては、詳しくは、ヘルパープログラムの説明を参照してください。

外部認証プログラムに関連するログレコードには、［EXTAUTH］ タグが付けられます。

外部認証プログラムが動作していない場合、外部認証要求はすべて拒否されます。

外部認証プログラムの作成方法、また外部認証インターフェイスプロトコルについては、ヘルパーの セクションを参照してください。

Authentication Helpersサイトに外部認証プログラムのプログラム例とスクリプト例がありますので参照してください。

ユーザーに対して権限を付与（または解除） する場合、そのユーザーのアカウント（［Account Setting］ ページ） を開き、［Access Rights］ リンクをクリックします。クリック後、［Access Rights］ ページが 開きます。

ページでは、すべてのアクセス権のリストが表示され、また、そのユーザーに付与されているアクセ ス権がマークされています。

ユーザーがメインドメインのユーザー（アカウント） の場合、次のアクセス権を付与できます。

Can Do Everying (the Master right)

このアクセス権を付与した場合、ユーザーは、CommuniGate Pro の各ユーザーのアクセス権 を変更できるようになります。つまり、このアクセス権が付与されたユーザーは、サーバー のすべての設定とページにアクセスできるようになります（ したがって、アクセス権以外の 権限の付与も可能です）。

Can Modify Server and Module Settings (the Settings right)

このアクセス権を付与した場合、ユーザーは、CommuniGate Pro の各サービス（SMTP、 POP、ルータなど） の設定を変更できるようになります。

Can Modify Directory Settings (the Directory right)

This right allows a user to change configuration of the System ディレクトリ

Can Modify All Domains and Accounts Settings (the All Users right)

このアクセス権を付与した場合、ユーザーは、アカウントとドメインの作成、削除が可能に なります。また、アカウントの設定、ドメインの設定の変更もできます。

Can Monitor (the Monitor right)

このアクセス権を付与した場合、ユーザーは、サーバーログの表示とサーバーキューの監視が 可能になります。

一方、ユーザーがドメイン（セカンダリドメイン） のユーザーの場合、付与できるアクセス権は次の 権限に限られます。

Can Modify This Domain and its Account Settings:

このアクセス権を付与した場合、ユーザーは、そのユーザーが属するドメインのアカウントの 作成と削除が可能になります。また、そのドメインの設定の変更もできます。この権限は、通 常、ドメインを管理を担当するユーザー（ ドメインマスター） に付与します。

Logins from Non-Client Addresses

このオプションを有効にしておくと、ログイン処理（POP、IMAP、WebUser インターフェイ ス、ACAP、PWD などの使用に必要となるログイン） は行えるのは、サーバーコンピュータ のユーザー、およびクライアントIP アドレス（［Client IP Addresses］ リストに登録されてい るIP アドレス） のユーザーだけに限定されます。

When an access module accepts a connection from an unlisted network address, and this option is selected, the module sends an error code to the client application, and the connection is closed immediately. Links with the rest of the Internet will be used only for mail Transfer, Real-Time シグナル exchange, and for HTTP access to Account ファイルストレ.

このオプションが有効のときには、接続が、［Client IP Addresses］ リストに登録されている （IP アドレスの） クライアントメーラーまたはサーバーからの接続だった場合に限って、 SMTP AUTH 処理が実行されます。
注意： このオプションを有効にする場合、あらかじめ、正規ユーザーやアクセスを許可する サーバーなどのIP アドレスが［Client IP Addresses］ リストに登録されているかどうか確認 してください。そうでない場合、CommuniGate Pro サーバーには一切アクセスできなくなり ます。

アクセス制限はまた、下位の接続レベル（TCP） で設定することもできます。この方法を使う場合、 サービス（モジュール） の［リスナー］ ページを開き、そのサービスで接続を受け付けるIP アドレス を［Grant］ リストに、また、受け付けないIP アドレスを［Deny］ リストに登録します。この作業を 各サービスについて行います。このように設定しておくと、サービスに対して接続が実行され、その IP アドレスが［Grant］ リストに登録されていない場合、または、［Deny］ リストに登録されている 場合、その接続はただちに閉じられ、したがってサービスレベルの処理は実行されません。

CommuniGate Pro サーバーはインパーソネート（カモフラージュまたは偽装） をサポートしていま す。インパーソネートとは、いずれかのアカウント（認証アカウント） の認証情報を提供し、それと は別のアカウントに対してアクセスする（別のアカウントがオープンされる） 処理をいいます。
インパーソネートは、PLAN とGSSAPI の各認証方式でサポートされています。また、リアルタイム 登録にも使用できます。

インパーソネートの実行時、サーバーにより認証アカウントの資格（認証情報） が有効であるかどう か、また要求されたサービスが、認証アカウントに許可されているかどうかがチェックされます。さ らに、認証アカウントに［CanImpersonate］ドメインアクセス権が付与されているかどうかのチェッ クも行われます。

The CommuniGate Pro Server supports the special WebUser authenticaton method. This method uses the session ID of a WebUser or XIMSS session instead of the Account password.
The method is useful for CGI programs and scripts.
This method is disabled by default (see above).

この認証方式はSASL 方式で、認証プロトコルコマンドに「即時」パラメータが必要です。第1 パラ メータはアカウント名、第2 パラメータはWebUser セッションID です。
PWD モジュールの場合、WebUser 認証処理のコマンドは次の通りです。

AUTH WEBUSER userName session-ID

AUTH WEBUSER bindata
上で、bindata はbase64 エンコードパラメータデータで、内容は次の通りです。

userName session-ID

例えば、ユーザーjohn@doe.dom がWebUser セッションを開いており、そのセッションID が114- bXaKw92JK1pZVB5taj1r ID の場合、PWD コマンドは次のようになります。
AUTH WEBUSER john@doe.dom 114-bXaKw92JK1pZVB5taj1r
このコマンドにより、PWD セッションでjohn@doe.dom アカウントが開かれます。