行うとは？
|
ユーザー認証を実行するPAMシステムを利用すると、アプリケーションからユーザー認証を独立させることができる。このPAMをSambaと組み合わせることで、UNIXとSambaのパスワードの同期を行うことが可能だ。 前回に引き続き、SambaパスワードとUNIXパスワードの同期を実現する方法について解説します。今回は、PAMを利用する方法を紹介しましょう。 Programming Interface）を備えたライブラリからなるユーザー認証システムのことです。 ユーザーに各種サービスを提供するアプリケーションプログラムは、PAMのAPIを通してPAMモジュールに認証処理を依頼することができます。 アプリケーションから認証処理を独立させることができる。アプリケーションはPAMのAPIを利用するだけで認証を行える。 PAMはアプリケーションから見たインタフェースが標準化されているため、システムが異なってもソースの互換性が保たれる。 PAMモジュールを入れ替えることで、アプリケーションに手を加えずに認証方式を動的に変更できる。 PAMを搭載したシステムでは、認証を必要とするほとんどのアプリケーションがPAM対応に作られており、標準の状態では/etc/passwdファイル（あるいは /etc/shadow など）の情報を元に認証を行うPAMモジュールを使うように設定されています。このPAMモジュールは、アプリケーションに代わって従来のUNIXパスワード認証を行っているに過ぎません。 PAMのユーザー認証モジュールは、/etc/passwdファイルでユーザー名とパスワードを確認する代わりに、各種データベースサーバ（Oracleなどの、いわゆる普通のデータベースサーバやLDAPサーバなど）にパスワード情報を問い合わせて照合する機能を備えたモジュールと、ユーザーから受け取った認証情報を別のユーザー認証システム（RADIUSサーバなど）に渡して認証結果を得るモジュールの2種類に大別されます。 今回紹介するpam_smbモジュールは後者の方式です。このモジュールは、アプリケーションから受け取ったユーザー名とパスワードを用い、指定されたSMBサーバにログインを試みることで、ユーザー認証の結果を判定します。 PAMはユーザー認証のほかにもアカウントやセッションの管理、パスワードを変更するための枠組みも用意されているのですが、現在のpam_smb 1.1.5ではユーザー認証にしか対応していません。将来のバージョンではパスワード変更の対応、UNIXとSMBサーバ間のユーザー名のマッピング、デーモンプロセスによる認証の高速化などが実装されるようです。pam_smbに関する最新情報は、「PAM_SMB:NT 注意：PAMの設定に誤りがあると、rootを含め全ユーザーがログインできなく なり、復旧が難しくなる恐れがあります。実験中はrootユーザーを最低1つはログインさせたままにしておき、PAM バイナリパッケージでなく、pam_smbのソースを入手してコンパイルした場合は、コンパイルしたPAMモジュール pam_smb_auth.soを適切なディレクトリにインストールしてください PAMモジュールの設定ファイルは、Debianでは/etc/securityディレクトリ以下に置くのが標準となっているようですが、libpam-smbパッケージのpam_smbは/etc/pam_smb.confを参照するようにコンパイルされています。これはpam_smbをソースからコンパイルした場合のデフォルトです。 pam_smb.confファイルには、1行目にはログイン先のWindows NTドメイン名、2行目と3行目にはログイン先のSMBサーバのホスト名を記述します。2行目に記述したサーバへの接続に失敗すると、バックアップとして3行目のサーバへ接続してログインを試みます。ログインはどちらか一方にしか行いません。 サーバがドメイン構成でないなら、/etc/pam_smb.confのドメイン名の指定は重要ではありません。ワークグループ名でも指定しておきましょう。 pam_smb.confファイルの記述には、いくつか注意点があります。pam_smbのソースを眺めてみたところ、以下のような問題点がありました。 （1）の問題は、pam_smbの設定ファイルの読み込み処理に例外処理が欠けているためです。このため、pam_smb.confファイルには必ず3行以上含めなければなりません（4行目以降は無視されます）。また、1〜3行目にはコメントや余計な空白文字、空白行など含めることはできません。 （2）の問題は、NetBIOS名の名前解決方法であるWINSサーバへの問い合わせ、 ローカルサブネットワークへのブロードキャスト、lmhostsファイルの参照などを利用できないということです。pam_smbの動作するホストの設定にもよりますが、gethostbyname関数は/etc/hostsファイルの検索とDNSサーバへの問い合わせを行います。 ではホスト名をDNS名で指定すればよいかというと、そうもいきません。pam_smbはこのホスト名をそのままNetBIOS名としても用いているため、サーバのDNS名とNetBIOS名を同一にしておかなければならないという制限が発生します。SMBプロトコルの認証コマンドにはサーバのNetBIOS名が含められており、Windows は自分以外の NetBIOS 名が含まれたコマンドには応答を拒否します。ただし、Sambaにはそのような制限がないため、今回の目的ではSambaサーバのDNS名あるいはIPアドレスを指定しておけばよいでしょう。 アプリケーションが利用する PAM モジュールの指定と設定は、アプリケーションが提供するサービス名をファイル名にして/etc/pam.dディレクトリ以下に保持されます。 私の環境では以下のようなサービス別PAM設定ファイルがおかれています。ただし、「other」ファイルはデフォルトの設定を記述するためのファイルです。 このファイルを書き換えて、ユーザー認証にpam_smbモジュールを使うように設定してみましょう。以下は、Debianインストール直後のloginファイルの中身です。ただし、コメントや空白行は省いてあります。このファイルのコメントには多量の有用な情報が含まれているので、一読してみることをお奨めします。 このように設定ファイルの各行は3つのフィールドで構成され、それぞれPAMモジュールの管理グループの種類、認証処理に失敗したときの制御、PAM 安全な端末からのみrootのログインを許可するpam_securettyモジュール、起動時、シャットダウン時やメンテナンス時などに/etc/nologinファイルを作成することでユーザーのログインを拒否できるpam_nologinモジュール、ログイン／ログアウトの時間などをlast（1）コマンドで表示されるログに記録するpam_lastlogモジュールなどが指定されていますが、この中でUNIXパスワード認証を指定しているのが4行目のpam_unixモジュールの記述です（参考までに、Red コンソールもしくはTelnetでログインしてみましょう。Sambaに登録されているユーザー名とパスワードでログインできるはずです。ただし、認証情報以外のユーザーのUNIXアカウント情報が必須なので、SambaだけでなくUNIXにも同名のユーザーを登録しておかなければなりません。 ログインに成功すると、pam_smbのデバッグ情報がsyslogd(8)のログファイルに記録されるでしょう。 ご覧のように、pam_smbはSMBサーバへのログインを試みる前に、ローカルのUNIXパスワード情報を参照してユーザ認証を行っていることがわかります。UNIXパスワード認証に成功すると、SMBサーバへのログインは実行されません。 UNIXパスワード認証をさせたくないなら、pam_smbモジュールの起動オプションに「nolocal」オプションを指定することで、これを抑制できます。しかし、このオプションはrootを含む全ユーザが対象となるため、SMBサーバが停止していると誰もログインできなくなってしまいます。 nolocalオプションを利用するよりも、UNIXパスワード認証をさせたくないユーザーのパスワードを無効にする方法をお勧めします。Debianではpasswdコマンドでパスワードを無効にできます。もしくは、ユーザーの作成時にパスワードを無効にしておけばよいでしょう。 SMBサーバを利用せずに、ローカルのSambaパスワードファイル（smbpasswd）を直接参照する認証モジュールです。 pam_smbをベースに開発されたモジュールで、ドメインコントローラにNTドメインの認証プロトコル用いて通信します。現在広く公開されているpam_ntdom PAM対応のパスワード変更モジュールであるpam_pwexportも紹介しておきましょう。このモジュールは、アプリケーションから受け取った認証情報（通常はユーザー名とパスワード）と新しいパスワードを、指定された外部コマンドにそのまま渡すことができます。 付属の README ファイルにはsmbpasswd コマンドを利用する例があるように、任意のパスワード変更コマンドを利用することができます（この例では、パスワードをコマンドラインで渡しているため、psコマンドなどでほかのプロセスのコマンドライン引数を参照できる環境では問題があるでしょう）。 最新安定版Apache 2.2は、何が変わったのか？ 最新のApacheを新機能の使い方とともに解説する 本連載では、Apache 2.0の運用や管理方法を解説する。まず必須設定と基本的なセキュリティ対策を行い今後の運用に備える 本連載では、BIND 9の構築／運用方法を解説していく。実際に役立つことを目的に、セキュリティや大規模運用などのテーマを取り上げていく 本連載を通して、qmailによるメールサーバの高度な構築・運用・管理術を紹介。SPAM対策やML管理からサーバでのウイルスチェックなどまで Samba 3.0リリースから8カ月。ここであらためて、Samba 3.0系列の新機能、インストール方法、国際化の現状を解説する 組み込みLinux業界動向 携帯電話や情報家電市場の活況で、組み込み分野が面白くなっている。その中でLinuxはどのような存在なのだろうか？ 組み込みソフトウェアの開発は、PC用とは異なる要素や手順が必要となる。今回は開発を始める前に、組み込み開発の全体像を説明する 組み込み分野では、リアルタイム性の保証が重要なテーマの1つとなる。Linuxでも、それを実現するための取り組みが行われている 実測！ 物理マシンと仮想マシンの性能差は？ （2007/11/22） 物理マシンと仮想マシンの性能差はどのくらい？ 仮想化環境構築の際に必ず突き当たるこの疑問に答えます Heartbeatの特徴とユニークな機能 （2007/11/13） オープンソースソフトウェアの「Heartbeat」をご存じでしょうか？ これを使い、Linux上でHAクラスタを構成する方法を紹介します 日米大手銀行がLinuxを採用したそれぞれのワケ （2007/11/6） 日米を代表する大手銀行は、なぜ、どのように、Linuxとその上で動作するオープンソースソフトウェアを導入したのか ホワイトペーパー利用者に「Amazonギフト券」を抽選で100名様にプレゼント！――TechTargetジャパン リニューアル・キャンペーン ＠ITトップ｜Linux Squareフォーラム トップ｜会議室｜利用規約｜プライバシーポリシー｜サイトマップ |
[ 51] PAMを利用して認証を行う
[引用サイト] http://www.atmarkit.co.jp/flinux/samba/sambatips02/sambatips02.html
|
Red Hat Linuxの場合、gaimは最初からインストールされているので、GNOMEメニューの［プログラム］−［インターネット］−［Gaim］を選択すれば起動する。 X Window Systemの仮想ターミナルでgaimコマンドを実行すると、以下の画面が表示される。 最初にアカウントを登録するのだが、場合によってはプラグインの組み込みが必要となる。というのも、gaimがデフォルトでサポートしているのはTOCとOscar（AOL）の2プロトコルだけだからだ。それ以外のプロトコルで通信する場合は、プラグインを組み込まなければならない。ここでは、Windows gaimの画面上にある［プラグイン］ボタンをクリックするとプラグインのウィンドウが表示されるので、［読み込み］ボタンをクリックする。プラグインの一覧が表示されるので、［libmsn.so］というファイルを選択して［了解］ボタンをクリックする。 プラグインのウィンドウにlibmsnが読み込まれるので、［閉じる］ボタンをクリックしてプラグインのウィンドウを閉じる。 ダイアログボックスの名前は［アカウント修正］だが、新規登録もこのダイアログボックスで行う 以上でプラグインの組み込みは終了だ。続いて、アカウントの登録を行う。gaimの画面で［アカウント］ボタンをクリックすると、［アカウント編集］ウィンドウが表示される。［加える］ボタンをクリックして、［アカウント修正］ダイアログボックスに必要事項を入力する。 ［スクリーン名］はmsnに登録済みのメールアドレス、［パスワード］は登録済みのパスワードを入力する。そして、プロトコルで［msn］を選択する。なお、［Alias名］に入力した文字は、メッセージの交換時に自分のウィンドウ上に表示される。 ［了解］ボタンをクリックすると、登録した内容が［アカウント編集］ウィンドウに表示される。 ［アカウント編集］ウィンドウでサインオン（オンラインになること）するには、登録したアカウントを選択して［サインオン／オフ］ボタンをクリックする。また、gaimを再起動すれば、gaimのメイン画面でアカウントを選択してサインオンできるようになる。 サインオンすると、［仲間リスト］というウィンドウが表示され、オンラインの仲間が［オンライン］のパネルに表示される。 オンラインの仲間とは、メッセージの交換ができる。メッセージを送信したい仲間を選択して、ウィンドウの左下の［簡易メッセージの送信］ボタンをクリックする。すると、メッセージの交換を行うウィンドウが表示される。 下のボックスにメッセージを入力して［Enter］キーを押すか、左下の［送信］ボタンをクリックすると、メッセージが相手に送信される。また、絵文字を送信することもできる。 メッセージを交換している画面。青が自分で、相手は赤。［アカウント編集］ウィンドウの［Alias名］に入力した名前がウィンドウ上に表示されている 組み込みLinux業界動向 携帯電話や情報家電市場の活況で、組み込み分野が面白くなっている。その中でLinuxはどのような存在なのだろうか？ 組み込みソフトウェアの開発は、PC用とは異なる要素や手順が必要となる。今回は開発を始める前に、組み込み開発の全体像を説明する 組み込み分野では、リアルタイム性の保証が重要なテーマの1つとなる。Linuxでも、それを実現するための取り組みが行われている 実測！ 物理マシンと仮想マシンの性能差は？ （2007/11/22） 物理マシンと仮想マシンの性能差はどのくらい？ 仮想化環境構築の際に必ず突き当たるこの疑問に答えます Heartbeatの特徴とユニークな機能 （2007/11/13） オープンソースソフトウェアの「Heartbeat」をご存じでしょうか？ これを使い、Linux上でHAクラスタを構成する方法を紹介します 日米大手銀行がLinuxを採用したそれぞれのワケ （2007/11/6） 日米を代表する大手銀行は、なぜ、どのように、Linuxとその上で動作するオープンソースソフトウェアを導入したのか ホワイトペーパー利用者に「Amazonギフト券」を抽選で100名様にプレゼント！――TechTargetジャパン リニューアル・キャンペーン ＠ITトップ｜Linux Squareフォーラム トップ｜会議室｜利用規約｜プライバシーポリシー｜サイトマップ |
[ 52] ＠IT：インスタントメッセージングを行うには
[引用サイト] http://www.atmarkit.co.jp/flinux/rensai/linuxtips/378useim.html
|
このことから教会が教会であるためには霊的な善が、すなわち、真理の善が存在しなくてはならないのであり、決して真理のみであってはならないことを認めることができよう、が、真理のみから現今では教会は教会と呼ばれており、教会は互いに他から区別されているのである。だれでもその者自身の中に、真理が生命[生活]を目的としないなら、それに何の意味があるか否かを考えてみられよ。 その目的がないなら教義的なものは何であろうか。十誡の教えはそれに従った生活がなくては何であろうか。なぜならもしたれかがその教えとその意味の凡てを完全に知っているにしても、それに反した生活を送るなら、それに何の益があろうか。それに一体何の効果があろうか。 私の弟子たちの助けを借りて、知って信じるだけでなく、私の教えたことを実行しなさい。そうすれば永遠の命を得るでしょう。 すべてこの世の完全には、必ず不完全な所があり、すべて私たちの悟りにはいくぶんあいまいな所があるのを免れない。 だからけんそんに自分のどういう者であるかを認めることは、学問を深く究めるよりも神に至るいっそうたしかな道である。 しかし学問や、ある物事についての単純な知識は、それだけでは本来よいことで、かつ神に定められたものであるから、別にとがむべきではない。ただ潔白な良心と善徳の生涯とは、さらにそれよりすぐれているというだけである。 ところが多くの人々は、善徳の生涯を送るよりも、知識を得ることに力を入れるから、しばしばまちがった道にふみこんで、効果が少しも得られなかったり、得たとしても言うに足りないほどであったりするのである。 ああ、人々がもし知識上のことを問題にするほど熱心に、悪を去り善を行うのに努めたならば、世間にはこれほど多くの罪悪（つみ）や醜聞（いやなこと）も起らず、また修道院内にもこれほど多くの不規律はなかったろうに。 まことに、審判の日に私たちが尋ねられるのは、なにを読んだかということではなく、なにをしたかということであり、いかに雄弁を揮ったかということではなくいかに信仰厚く生活（くら）したかということである。 こうしたものが、またそれに似たものが誤謬化された信仰の諸真理であることは極めて明白である、なぜなら人間を霊的なものにするものは信仰の生活であって信仰ではないことを―それが生命の中に植えつけられていないかぎり、そうした信仰ではないことを―正当に考えて、知らない者があろうか。人間の生命はかれの愛であり、かれはその欲するものを欲し、意図し、またその欲し、意図するものを行うのである。これは人間の存在ではあるが、かれが知りもし、考えもするが、欲しはしないものはその存在ではない。この人間の存在は調停と救いとについて考えることによっては他の存在に変化することはできないで、新たに再生することにより変化することができるのであり、それもかれの生涯の大部分にわたって行われるのである。なぜならかれは新たにみごもり、生まれ、成長しなくてはならないのであり、そのことは考えたり、話したりすることによっては行われないで、欲し、行動することにより行われるからである。 それで、意志と行為とは一つのものであり、意志は愛の努力であるからには、必然的に以下のことが起こっている、すなわち、聖書においては『愛する』は、行う以外の意味を持たないし、かくて『主を愛し、隣人を愛する』は、主から発している愛から隣人にいくたの用を遂行することを意味している。それがそうであることを主御自身がヨハネ伝に教えられている― わたしの戒めを守り、それを行う者、その者がわたしを愛する者である、しかしわたしを愛さない者はわたしの言葉を守らない（１４・２１，２４）。 わたしの愛の中にとどまりなさい。もしあなたらがわたしの戒めを守っているなら、あなたらはわたしの愛の中にとどまるでしょう（１５・９，１０）。 かれらは主を愛することは用である善を行うこと以外の何かであるとは全く考えてはおらず、用は自分たちの許におられる主であられると言うのである。 用によりかれらは、祭司、統治者のみでなく、商人と工人における聖職、統治、職業を理解しており、かれらの職業に関係していない善い業をかれらは用とは呼ばないのであり、それらを施し、喜捨、心附けと呼んでいる。 なぜあなたらはわたしを主よ、主よと呼んで、わたしの言う事柄を行わないのですか。たれでもわたしのもとへ来て、わたしの言うことを聞いて、それを行う者は岩の上に家をたてて、土台をすえた人に似ています。しかし聞くが、行わない者は地面に土台もなしに家をたてた人間に似ている（ルカ６・４６−４９）。 『主の言われたこと』または『言葉を行う』者たちは隣人を愛し、主を愛する者たちである、なぜなら愛する者は、「行う」からである（ヨハネ１４・２０、２１，２３，２４、１５・９−１７）。 しかもこの自分に打ち勝ち、日々自分を支配する力を増し、日ごと善に進むことこそ、私たちの主要（おも）な務めなのである。 |
[ 53] 行う
[引用サイト] http://www5b.biglobe.ne.jp/~shinju/okonau.htm
|
第一条 この基準は、救急隊員の行う応急処置等の基準となるべき事項を定め、もつて救急業務の適正な運営に資することを目的とする。 第二条 この基準において救急隊員とは、消防法施行令（昭和三十六年政令第三十七号）第四十四条第三項又は第四十四条の二第三項に該当する者をいう。 第三条 救急隊員は、傷病者を医療機関その他の場所に収容し、又は救急現場に医師が到着し、傷病者が医師の管理下に置かれるまでの間において、傷病者の状態その他の条件から応急処置を施さなければその生命が危険であり、又はその症状が悪化する恐れがあると認められる場合に応急処置を行うものとする。 二 複雑な検査を必要とすることなく、消防庁長官が別に定める装備資器材を用いて行う処置であること。 第五条 救急隊員は、応急処置を行う前に、傷病者の症状に応じて、次の表の上欄に掲げる事項について下欄に掲げるところに従い傷病者の観察等を行うものとする。 皮膚や粘膜の色及び温度、付着物や吐物等の有無及び性状、創傷の有無及び性状、発汗の状態等を調べる。 ２ 消防庁長官、都道府県知事、市町村長又は消防庁長官が定める者が行う救急業務に関する講習の課程で、消防学校の教育訓練の基準（平成十五年消防庁告示第三号）別表第二６に掲げるもの又はこれと同等以上と認められる講習の課程を修了した救急隊員は、前項に掲げるもののほか、応急処置を行う前に、傷病者の症状に応じて、次の表の上欄に掲げる事項について下欄に掲げるところに従い傷病者の観察等を行うものとする。 ３ 救急隊員は、応急処置を行う前に、傷病者本人又は家族その他の関係者から主訴、原因、既往症を聴取するものとする。 第六条 救急隊員は、前条の観察等の結果に基づき、傷病者の症状に応じて、次の表の上欄に掲げる事項について下欄に掲げるところに従い応急処置を行うものとする。 ２ 前条第二項に規定する救急隊員は、前項に掲げるもののほか、前条の観察等の結果に基づき、傷病者の症状に応じて、次の表の上欄に掲げる事項について下欄に掲げるところに従い応急処置を行うものとする。 ３ 救急救命士（救急救命士法（平成三年法律第三十六号）第二条第二項に規定する救急救命士をいう。）の資格を有する救急隊員は、前二項に掲げるもののほか、救急救命士法の定めるところにより、応急処置を行うものとする。 第七条 傷病者が医師の管理下にある場合において医師の指示があるときは、救急隊員は前二条の規定によることなく医師の指示に従い応急処置を行うものとする。 |
[ 54] 救急隊員の行う応急処置等の基準
[引用サイト] http://www.fdma.go.jp/concern/law/kokuji/hen52/52050000020.htm
