Mac OS X はさまざまな環境で使用できるマルチユーザシステムで、それぞれの環境では互いに大きく異なる認証要件を使用できます。たとえば、叔父さんの家に設置されている iMac は完全にオープンなシステムである一方で、大学の研究室に設置されている iMac はきわめて厳しい制約が課されているという具合です。

アプリケーションデベロッパの皆さまは、認証に関して、それらの環境すべてに適した決定を下すことはできません。むしろ、そのような決定はシステム管理者に任せるべきです。また、安全かつ標準的な方法で認証を行う認証サービスを利用することもできます。

このテクニカルノートは、Mac OS X アプリケーションデベロッパの方を対象にしています。とりわけ、これまで認証サービスを利用したことがないデベロッパの方は注目です。従来のお客さまに対して、手間をかけずにそのまま利用できるという利便性を損なわずに、認証サポートをアプリケーションに追加する方法を説明します。

[2003 年 10 月 9 日]

リスト 1 権限名の定義

const char kAlphaRightName[] = "com.apple.dts.AuthForAll.Alpha";

リスト 2 権限の取得

extern OSStatus AcquireRight(const char *rightName)
    // このルーチンは認証サービスを呼び出して、
    // 指定した権限を取得する。
{
    OSStatus                         err;
    static const AuthorizationFlags  kFlags = 
                  kAuthorizationFlagInteractionAllowed 
                | kAuthorizationFlagExtendRights;
    AuthorizationItem   kActionRight = { rightName, 0, 0, 0 };
    AuthorizationRights kRights      = { 1, &kActionRight };

    assert(gAuthorization != NULL);

    // アプリケーション固有の権限を要求する。

    err = AuthorizationCopyRights(
        gAuthorization,         // 認証
        &kRights,               // 権限
        NULL,                   // 環境
        kFlags,                 // フラグ
        NULL                    // 認証された権限
    );

    return err;
}

リスト 3 ポリシーデータベースの抜粋

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC [...]>
<plist version="1.0">
<dict>
    [...]
    <key>rights</key>
    <dict>
        <key>system.device.dvd.setregion.initial</key>
        <dict>
            <key>class</key>
            <string>user</string>
            <key>comment</key>
            <string>Used by the dvd player to set the 
regioncode the first time.Note that changed the region code 
after it has been set requires a different right 
(system.device.dvd.setregion.change) Credentials remain valid 
indefinitely after they've been obtained.An acquired 
credential is shared amongst all clients.</string>
            <key>group</key>
            <string>admin</string>
            <key>mechanisms</key>
            <array>
                <string>builtin:authenticate</string>
            </array>
            <key>shared</key>
            <true/>
        </dict>
        [...]
        <key>config.add.</key>
        <dict>
            <key>class</key>
            <string>allow</string>
            <key>comment</key>
            <string>wildcard right for adding rights.Anyone 
is allowed to add any (non-wildcard) rights</string>
        </dict>
        [...]
        <key></key>
        <dict>
            <key>class</key>
            <string>rule</string>
            <key>comment</key>
            <string>All other rights will be matched by this rule.
Credentials remain valid 5 minutes after they've been obtained.
An acquired credential is shared amongst all clients.
            </string>
            <key>rule</key>
            <string>default</string>
        </dict>
        [...]
    </dict>
    <key>rules</key>
    <dict>
        [...]
    </dict>
</dict>
</plist>

注：
お気づきかもしれませんが、リスト 2 のコードで必ずしもパスワードダイアログが表示されるとは限りません。これは、認証資格情報の共有方法によるものです。詳細については、DTS Q&A 1277 Security Credentials を参照してください。

リスト 4 リスト 1 の権限取得を「いつも許可する」権限指定

        [...]
        <key>com.apple.dts.AuthForAll.Alpha</key>
        <dict>
            <key>rule</key>
            <string>allow</string>
        </dict>
        [...]

注：
ポリシーデータベースファイルは、root ユーザのみが書き込み可能です。Terminal で sudo を実行してテキストエディタを使用するか、特権ファイルを保存しようとすると管理者パスワードを要求する GUI テキストエディタ（最新の BBEdit など）を使用して編集することができます。

リスト 5 プログラムによる権限の追加

static OSStatus SetupRight(
    AuthorizationRef    authRef, 
    const char *        rightName, 
    CFStringRef         rightRule, 
    CFStringRef         rightPrompt
)
    // 権限が認証データベースに存在するか確認し、
    // 存在しなければ、権限を作成し、初期値を設定する。
{
    OSStatus err;

    // 権限がすでに定義されているか確認する。

    err = AuthorizationRightGet(rightName, NULL);
    if (err == noErr) {

        // 権限がすでに存在する。システム管理者によって
        // すでに設定されているか、初めての実行ではない
        // 可能性がある。いずれにせよ、ここで行うことは
        // ほかに何もない。

} else if (err == errAuthorizationDenied) {

        // 権限がまだ定義されていない。
        // （rightRule パラメータによって）
        // 呼び出し側が指定したルールに基づいて、
        // 権限定義を作成する。パラメータの値
        // としては kAuthorizationRuleClassAllow
        // （任意のユーザが権限を取得できる）、
        // kAuthorizationRuleAuthenticateAsAdmin
        // （管理ユーザとしての認証を必要とする）、
        // または「AuthorizationDB.h」のほかの値が可能。
        // システム管理者は、この権限を必要に応じて変更できる。

        err = AuthorizationRightSet(
            authRef,                // authRef
            rightName,              // rightName
            rightRule,              // rightDefinition
            rightPrompt,            // descriptionKey
            NULL,                   // bundle, NULL はメインを示す
            NULL                    // localeTableName, NULL は
        );                          // "Localizable.strings" を示す 
                                    

        // 権限を追加する権限自体が、権限によって左右される。
        // この権限を取得できない場合には、
        // 上記のルーチンからエラーが返される。
        // エラーでアプリケーションが起動しないことは避けたいので、
        // エラーを飲み込む。

        if (err != noErr) {
            #if ! defined(NDEBUG)
                fprintf(
                    stderr, 
                    "Could not create default right (%ld)¥n", 
                    err
                );
            #endif
            err = noErr;
        }
    }

    return err;
}

extern OSStatus SetupAuthorization(void)
    // アプリケーションの起動時に呼び出される。
    // 認証サービスに接続して、権限（kActionRightName）が
    // 定義されているか確認する。
{
    OSStatus err;

    // 認証サービスへ接続する。

    err = AuthorizationCreate(NULL, NULL, 0, &gAuthorization);

    // 権限を設定する。

    if (err == noErr) {
        err = SetupRight(
            gAuthorization, 
            kAlphaRightName, 
            CFSTR(kAuthorizationRuleClassAllow), 
            CFSTR("YOU MUST BE AUTHORIZED TO DO ALPHA")
        );
    }
    [...]

    return err;
}

リスト 6 リスト 5 のコードによって追加された権限指定

        [...]
        <key>com.apple.dts.AuthForAll.Alpha</key>
        <dict>
            <key>default-prompt</key>
            <dict>
                <key></key>
                <string>YOU MUST BE AUTHORIZED TO DO ALPHA</string>
            </dict>
            <key>rule</key>
            <string>allow</string>
        </dict>
        [...] 
        

リスト 7 リスト 5 のコードによって追加されたローカライズされた権限指定

        [...]
        <key>com.apple.dts.AuthForAll.Alpha</key>
        <dict>
            <key>default-prompt</key>
            <dict>
            <key></key>
            <string>YOU MUST BE AUTHORIZED TO DO ALPHA</string>
            <key>en</key>
            <string>You must be authorized to do alpha.</string>
            <key>en_AU</key>
            <string>Strewth!You must be authorised to do 
alpha.</string>
        </dict>
        <key>rule</key>
        <string>allow</string>
        </dict>
        [...] 

重要：
リスト 7 に示した権限指定の場合は、ルールによって権限が必ず与えられるため、認証ダイアログは表示されません。認証ダイアログを表示するには、認証ポリシーデータベースを編集して、<string>allow</string> を <string>authenticate-admin</string> に変更します。

注：
英語よりオーストラリア英語のほうが好みであることをシステムに伝えるには、「システム環境設定」の「言語環境」パネルで項目を並べ替えます。「編集」ボタンをクリックすると表示されるダイアログで、まず Australian English を有効にする必要があります。

リスト 8 参照数バグの推奨回避策

static OSStatus AuthorizationRightSetWithWorkaround(
    AuthorizationRef    authRef,
    const char *        rightName,
    CFTypeRef           rightDefinition,
    CFStringRef         descriptionKey,
    CFBundleRef         bundle,
    CFStringRef         localeTableName
)
    // AuthorizationRightSet には、指定した bundle パラメータ
    // （NULL を指定した場合にはメインバンドル）を
    // 解放してしまうバグがある。
    // NULL を指定して、AuthorizationRightSet を何度も呼び出すと、
    // メインバンドルの参照数がゼロになり、クラッシュする。
    //
    // このルーチンは、バンドルに対してリテイン処理を
    // 行うことでバグを回避する。バグが修正された後でも、
    // 正しく動作するはずである。
    //
    // このテクニックは、スレッドセーフでないため、
    // スレッド環境が非常にシンプルな状態にある
    // アプリケーションの起動時に限定して、この
    // テクニックを使うと良い。
{
    OSStatus        err;
    CFBundleRef     clientBundle;
    CFIndex         originalRetainCount;

    // 有効なバンドルを取得する。

    if (bundle == NULL) {
        clientBundle = CFBundleGetMainBundle();
    } else {
        clientBundle = bundle;
    }
    assert(clientBundle != NULL);

    // 元の参照数を記憶し、リテイン処理を行う。
    // リテイン処理を行うのは、参照数が 1 のときに、
    // バグがまだ存在していたら、次の呼び出しによって
    // 参照数が 0 になり、オブジェクトが解放されるからだ。

    originalRetainCount = CFGetRetainCount(clientBundle);
    CFRetain(clientBundle);

    // そのまま認証サービスを呼び出す。

    err = AuthorizationRightSet(
        authRef, 
        rightName, 
        rightDefinition, 
        descriptionKey, 
        clientBundle, 
        localeTableName
    );

    // 参照数が魔法のように元の値に戻っている場合には、
    // バグに遭遇したということなので、メッセージを表示する。
    // それ以外の場合、バグは修正されているということなので、
    // リテイン処理に対する解放処理を実行して参照数を戻す。

    if ( CFGetRetainCount(clientBundle) == originalRetainCount ) {
        fprintf(
            stderr, 
            "AuthForAll: Working around <rdar://problems/3446163>¥n"
        );
    } else {
        CFRelease(clientBundle);
    }

    return err;
}