CSSMTP のセキュリティー

CSSMTP については、以下の追加のセキュリティー尺度を考慮してください。

NJE ノードからのスプール・ファイルについては、スプール・ファイルに関連付けられているユーザー ID が、SAF で定義されていなければなりません。SYSOUT データ・セットの保護の詳細については、以下のトピックを参照してください。

インストールにおいてリソースの JESSPOOL クラスへのアクセスが保護されている場合は、スプール・ファイルの読み取りおよび削除が可能なように、ALTER アクセス権を CSSMTP ユーザー ID に付与します。JESSPOOL 定義の例を以下に示します。

//CSSMTP   EXEC PGM=IKJEFT01
//SYSTSPRT DD  SYSOUT=*
//* The PERMIT for CLASS(JESSPOOL) is needed only if it has already
//*   been activated.
//SYSTSIN  DD  *
    SETROPTS CLASSACT(STARTED)
    SETROPTS RACLIST(STARTED)
    SETROPTS GENERIC(STARTED)
    ADDUSER  CSSMTP  DFLTGRP(OMVSGRP) OMVS(UID(nn) HOME('/'))           -
             NOPASSWORD NAME('Simple Mail Transfer') OWNER(OMVSGRP)
    RDEFINE  STARTED OWNER(SYS1) CSSMTP.* STDATA(USER(CSSMTP))
    RDEFINE  JESSPOOL  localnodeid.** UACC(READ)
    PERMIT   localnodeid.**                                            -
             CLASS(JESSPOOL) ID(CSSMTP) ACCESS(ALTER)
    SETROPTS GENERIC(JESSPOOL) REFRESH
    SETROPTS RACLIST(STARTED) REFRESH
    SETROPTS GENERIC(STARTED) REFRESH

CSSMTP がゼロ以外の UID 値を指定して定義されていると、Delete Operator Message (DOM) メッセージには、メッセージ BPXM023I が接頭部として付けられます。接頭部を削除するには、CSSMTP プロシージャーのユーザー ID に UNIX システム・サービス・コンソール・サービスの使用を許可する必要があります。以下のコマンドを入力して、CSSMTP がコンソール・サービスを使用するのを許可することができます。
```
RDEFINE FACILITY BPX.CONSOLE UACC(NONE) 
PERMIT BPX.CONSOLE - 
CLASS(FACILITY) ID(CSSMTP) ACCESS(READ) 
SETROPTS RACLIST(FACILITY) REFRESH
```
SERVAUTH クラスで 1 つ以上のリソース・プロファイルを作成することによって、CSSMTP が特定ユーザーによって作成されたスプール・ファイルの読み取りおよび処理を行えるかどうかを制御することができます。
SERVAUTH プロファイル名の形式は EZB.CSSMTP.sysname.writername.originJESnode です。ここで sysname はシスプレックス内で定義されたシステム名、writername は CSSMTP の構成済み外部書き出しプログラム名、originJESnode は元のスプール・ファイルの JES ノードです。このプロファイルが UACC(NONE) で作成されている場合は、リソースへの許可があるユーザー ID のみが、CSSMTP によって処理されたスプール・ファイルを所有することができます。

リソース・プロファイル定義の例については、データ・セット SEZAINST 内の EZARACF サンプルを参照してください。ExtWrtName ステートメントを使用した外部書き出しプログラム名の構成については、「z/OS Communications Server: IP 構成解説書」を参照してください。
ヒント:
- 以下の例で示すように、プロファイル名のセグメントにワイルドカードを指定することができます。
```
SETR GENERIC(SERVAUTH) GENCMDS(SERVAUTH)
SETR CLASSACT(SERVAUTH)
RDEFINE  SERVAUTH EZB.CSSMTP.sysname.writername.originJESnode          -
    UACC(NONE)                                                     
 PERMIT EZB.CSSMTP.sysname.writername.originJESnode                    -
    CLASS(SERVAUTH) ID(userid) ACCESS(READ)
                                                                   
 PERMIT EZB.CSSMTP.sysname.writername.*                                - 
    CLASS(SERVAUTH) ID(userid) ACCESS(READ)
                                                                   
 SETROPTS RACLIST(SERVAUTH) REFRESH
```
- 複数のプロファイルを定義することができます。例えば、この CSSMTP インスタンスがローカル・ジョブまたはリモート・システムからスプール・ファイルを処理する場合、ローカル・システム用、およびスプール・ファイルを作成する各 JES ノード用のプロファイルを定義することができます。スプール・ファイルは、最も具体的な RACF プロファイルと突き合わせられ、その後、そのスプール・ファイルに関連付けられたユーザー ID がそのプロファイルに対して検証されます。
結果: プロファイルが UACC(NONE) でアクティブになっている場合に、スプール・ファイルが JES スプール・データ・セット上で受信されると、CSSMTP はプロファイルがその起点ノードまたは任意の起点ノード (*) 用に定義されているかどうかを判断するために検査し、次に、スプール・ファイルを作成したジョブに関連付けられたユーザー ID にそのプロファイルへの許可があるかどうかを検査します。
- ユーザー ID に許可がある場合は、スプール・ファイルが CSSMTP によって処理されます。
- ユーザー ID に許可がない場合、スプール・ファイルは不正なスプール・ファイルであると見なされ、BadSpoolDisp ステートメントで指定されているアクションに従います。BadSpoolDisp ステートメントについて詳しくは、「z/OS Communications Server: IP 構成解説書」を参照してください。
プロファイルが定義されていない場合は、スプール・ファイルは、ユーザー ID に許可がある場合と同様に処理されます。
ターゲット・サーバーへ送信される前に、CSSMTP ユーザー出口を書き込むことや、既存の SMTPD ユーザー出口を使用してメールを検査することができます。
例えば、出口を作成して、アウトバウンド・メール上の MAIL FROM: ストリングを検査することができます。メールの発信元、受信者、およびその他の情報を出口によって検査することや、JES ジョブ全体または単一のメール・メッセージを破棄することができます。

UserExit ステートメントと共に使用されるユーザー出口を制御することができます。
- CSSMTP 用に書き込んだユーザー出口を使用したい場合は、UserExit ステートメントで Version3 を指定します。JES スプール・データ・セットからの読み取りおよび処理に RFC 821 コマンドと RFC 2821 コマンドの両方を使用したい場合は、このバージョンを使用する必要があります。CSSMTP 出口について詳しくは、「z/OS Communications Server: IP 構成解説書」を参照してください。
- SMTPD ユーザー出口の使用を継続し、RFC821 コマンドのみを使用したい場合は、UserExit ステートメントで Version2 を指定します。SMTP サーバー出口の使用について詳しくは、「z/OS Communications Server: IP 構成解説書」を参照してください。
UserExit ステートメントについて詳しくは、「z/OS Communications Server: IP 構成解説書」を参照してください。
RFC 3207「SMTP Service Extension for Secure SMTP over Transport Layer Security」を使用してインターネット上で専用の認証付き通信を提供するために、SMTP サーバーおよびクライアントにトランスポート層セキュリティー (TLS) の使用を可能にすることができます。詳しくは、CSSMTP にトランスポート層セキュリティーを使用するためのステップを参照してください。