[harden-mac:0320] 10.2.4 アップデートでのAFPの変更

[vm_converter <vm_converter@xxxxxxx>]

石川です。

このML的に気になる10.2.4アップデートに関して、投げてみます。

○Mac OS X: Mac OS X 10.2.4 Update について
http://til.info.apple.co.jp/cgi-bin/WebObjects/TechInfo.woa/wa/showTIL?id=107362

によれば、「ネットワーキング、モデム、インターネット関連の機能向上」の
部分に以下の項目があります。

・管理者ユーザパスワードを使って、AFP サーバにログインする機能を
　使用／使用停止に設定することができます。

これは、古暮さんによるSAの翻訳版（[harden-mac:0319]）の、
----------
・AFP: CAN-2003-0049「システム管理者に対する AFP ログイン権限」の
修正。システム管理者パスワードによる認証でシステム管理者が利用者とし
てログイン出来るかどうかを設定するオプションの提供。以前は管理者は，
彼等の管理者パスワードで認証を行い，常に利用者としてログイン出来てい
ました。
----------
に当たり、

○[harden-mac 0065] 管理者パスワードで他のユーザーとしてファイル
　共有が可能な仕様
http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/harden-mac/2002.09/msg00010.html

に関係があるんじゃないかと思います。

つまり、AFPマウント時の認証ウィンドウ内で、
　・ユーザ名＝一般アカウント、
　・パスワード＝管理者アカウント
とした場合に10.2.3までは一般ユーザとして認証を通って一般ユーザの領域を
マウントすることが可能だったわけですが、これが変わったんだろうと。

ですが、その「オプション」とやらが何処にあるのか解りません。

と一回メールを書いたんですが、解りました（笑

NetInfoの/config/AppleFileServerの情報を、10.2の頃と10.2.4のものとを
# niutil -read . /config/AppleFileServer
で表示させて比較してみると、

attempt_admin_auth: 1

という項目があります。この値をNetInfo Managerで 0 にしてみたところ、
　・ユーザ名＝一般アカウント
　・パスワード＝管理者アカウント
ではログインできなくなりました。つまり、ユーザ名もパスワードも
ログインしたいユーザのものでないといけなくなります。

ですので、AFPサーバの管理者が、一般ユーザ名＋自分の管理者パスワードで
一般ユーザの領域を管理したい場合には、attempt_admin_auth: 1 で、
管理しない or したくない場合には、attempt_admin_auth: 0 で
運用すれば良いという事なのでしょう。


# 要望が通ったのかどうか本当のことは解らないけど、とりあえず。
# おめでとう。＞太洋さん


-- 
石川 泰久／vm_converter
vm_converter@xxxxxxx

--[PR]------------------------------------------------------------------
【 FreeML ユーザー登録してますか？】
　　・メールアドレスとパスワードのカンタン登録！
　　・ニックネームもつけられるし、WEBメールも使える！
　　・MLだってカンタンに作れちゃう！
▼ いますぐ登録！ => http://click.freeml.com/ad.php?id=121394
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp