別のユーザーとしてタスクの実行が許可されるユーザーのリストを定義
ジョブ実行中に偽装できるオペレーティングシステムユーザーを制御するには、RUN_AS_ALLOWLISTパラメーターを使用します。この許可リストにより、Talend JobServerは設定に明示的に記載されたユーザーにのみインパーソネーションを行うように制限されます。
このタスクについて
ジョブ実行リクエストで、インパーソネーション対象のオペレーティングシステムユーザーが指定されている場合:
- ユーザーが許可リストに含まれている場合: Talend JobServerはそのユーザーに代わってプロセスを作成し、そのユーザーのオペレーティングシステム権限でジョブを実行します。
- ユーザーが許可リスト含まれていない場合: Talend JobServerは実行要求を拒否し、承認エラーで失敗します。
このメカニズムにより、権限のない要求や悪意のある要求が、特権を持つオペレーティングシステムユーザー(ルートアカウントやその他のシステムアカウントなど)としてジョブを実行しようとするのを防止できます。
情報メモヒント:
許可リストが空の場合、インパーソネーションなしのジョブ実行のみが正常に機能します。ユーザーへのインパーソネーションの試みは、すべて拒否されます。RUN_AS_ALLOWLIST=anybodyを設定すると、すべてのオペレーティングシステムユーザーに対してインパーソネーションが許可されます。