最小限の特権、ユーザー アカウント制御、および setuid

ユーザー アカウント制御は Windows 7 が備えるセキュリティ機能の 1 つで、Windows Vista から導入されたものです。

ユーザー アカウント制御の主な目的は、すべてのユーザーに標準のユーザー モードでの実行を要求し、承認されたプロセスへの管理者レベルのアクセスを制限することで、Windows 7 オペレーティング システムが危険にさらされる可能性や攻撃される可能性を抑えることです。この制限によって、コンピューターを不安定にしたり、コンピューターが感染したが検出されていない悪意のあるソフトウェアによってネットワークがウイルスにさらされたりする可能性のある変更を、ユーザーが行う権限が最小化されます。

既定では、現在のユーザーが Administrators グループのメンバーとしてログオンしている場合でも、Windows 7 ではすべてのアプリケーションが標準ユーザーとして実行されます。また Windows 7 では、管理者のアクセス許可が必要であるとマークされたアプリケーションをユーザーが起動しようとすると、実行の確認を求めるメッセージが表示されます。管理者特権によって実行されているアプリケーションのみがシステム全体の設定と動作を変更できます。

ユーザー アカウント制御の詳細については、Microsoft の Web サイトで、Windows Vista のユーザー アカウント制御に関する説明と構成方法のページ (英語の可能性あり) (https://go.microsoft.com/fwlink/?LinkId=70242) を参照してください。

UNIX ベース アプリケーション用サブシステムのユーザーが Administrators グループのメンバーである場合、そのユーザーがアプリケーション、シェル、またはその他のタスクを起動すると、アプリケーションは標準ユーザーのセキュリティ コンテキストで実行されます。

次の例は、Administrators グループのメンバーであるユーザーが管理者特権を使用せずに管理タスクを実行するのを、ユーザー アカウント制御によって防ぐ方法を示しています。

ユーザー A は Administrators グループのメンバーであり、/ (ルート) ディレクトリに test という名前の新しいディレクトリを作成しようとしています。ルート ディレクトリに新しいディレクトリを作成できるのは、Administrators グループのメンバーのみです。ユーザー A は Administrators グループのメンバーですが、LUA の制限により、新しいディレクトリを作成することができません。ユーザー A が管理者特権で Korn シェルを開くと、ルートに test ディレクトリを作成できるようになります。

管理者特権でアプリケーションまたはタスクを実行するには、次の手順を参照してください。

Administrators グループのメンバーであるユーザーがアプリケーションに setuid 属性を付加しようとしても、管理セキュリティ コンテキストでアプリケーションとタスクを実行することをそのユーザーが許可されていないと、操作は成功しません。

例として、バイナリ ファイル /bin/regpwd にsetuid 属性を付加する場合の手順を次に示します。通常、このファイルにはこの属性が付加されています。

1. このトピック内で説明したように、管理者特権で Korn シェル (ksh) を開きます。
   
   
2. 「chmod +s /bin/regpwd」と入力し、Enter キーを押します。
   
   
3. 「exit」と入力し、ksh セッションを閉じます。