FTP サーバーへのユーザー・アクセスを制御するためのステップ

FTP サーバーにログインするすべてのユーザーには、そのサーバーへのアクセス権が必要です。 サーバーへのユーザー・アクセスを提供および制御するには、以下のステップを実行します。

FTP サーバーへのユーザー・アクセスを制御するには、以下のステップを実行します。

1. FTP サーバーにログインする各ユーザーに、z/OS® UNIX UID を提供します。 ユーザーに UID を提供することもできますし、ユーザーはデフォルトの UNIX UID を使用することもできます。
2. IP ネットワークが指定されたセキュリティー・ゾーンを使用するように構成されている場合、定義されている各セキュリティー・ゾーンには、EZB.NETACCESS.sysname.tcpname.zonename という名前のリソース用の SERVAUTH プロファイルがあります。クライアント IP アドレスがネットワーク・アクセス・セキュリティー・ゾーンにマップされている場合は、それぞれのログイン・ユーザー ID にそのセキュリティー・ゾーンに対応する SERVAUTH プロファイルへの READ アクセスを許可します。 セキュリティー・ゾーンについて詳しくは、ネットワーク・アクセス制御を参照してください。
3. 特定のユーザーだけに FTP サーバーへのログインを許可するには、次のうち 1 つ以上の項目を実行します。
   • ユーザー ID を基にユーザーにアクセスを許可または拒否するための FTCHKPWD ユーザー出口ルーチンをコーディングします。

     ユーザー出口について詳しくは、「z/OS Communications Server: IP 構成解説書」の中の『FTP サーバーのユーザー出口』とオプションの FTP ユーザー出口の構成を参照してください。

   • どのユーザーが FTP にログインできるかを制御するには、FTP が TLS レベル 3 認証に使用する SERVAUTH リソース・プロファイルを使用します。
     1. SERVAUTH クラスに FTP ポート用のプロファイルを定義します。
     2. FTP へのログインを許可したいユーザーに、少なくともプロファイルへの READ アクセスを許可します。
        例えば、使用しているセキュリティー製品が RACF であり、FTP ポートがポート 21 であり、定義されているプロファイルが EZB.FTP.*.*.PORT21 である場合、ユーザー ID FTPUSER にプロファイルへのアクセス権を許可するには、次のコマンドを発行します。

        PERMIT EZB.FTP.*.*.PORT21 CL(SERVAUTH) ID(FTPUSER)

        詳しくは、「z/OS Security Server RACF コマンド言語 解説書」、「z/OS Security Server RACF セキュリティー管理者のガイド」またはご使用の SAF 準拠のセキュリティー製品の資料を参照してください。

     3. サーバーの FTP.DATA ファイルに VERIFYUSER TRUE をコーディングします。

        FTP は、そのセッションが保護されているかどうかに関係なく、どのセッションに対してもプロファイルへのユーザー・アクセス権限を検査します。レベル 3 認証が要求されていない場合でも、TLS 保護のセッションも検査されます。

4. (オプション) FTP サーバーに対して Transport Layer Security (TLS) サポートまたは Kerberos サポートをセットアップします。 FTP サーバーは TLS をサポートしています。TLS は、FTP 制御およびデータ接続を使用して送受信されるデータに対して、データ・プライバシー、メッセージ認証、およびメッセージ保全性のサービスを提供することにより、安全なファイル転送を可能にします。FTP サーバーに対する TLS サポートのセットアップについて詳しくは、トランスポート・レイヤー・セキュリティーおよび Kerberos セキュリティーのカスタマイズを参照してください。

   FTP クライアントを FTP サーバーに認証するためには、Generic Security Service Application Programming Interface (GSSAPI) を使用することができます。FTP サーバーに対する GSS サポートのセットアップについて詳しくは、トランスポート・レイヤー・セキュリティーおよび Kerberos セキュリティーのカスタマイズを参照してください。