sendmail デーモンに関する考慮事項

メールは、同等のセキュリティー・ラベル間でのみ交換できるように構成する必要があります。 原則として、 複数の独立したメール・ネットワークをセットアップする必要があります。 マルチレベル・セキュア・システムでサポートされるセキュリティー・ラベルごとに、 メール・サポートを構成する必要はありません。 z/OS® システムでは、ユーザーを SYSMULTI セキュリティー・ラベルでログオンする場合、sendmail 用に構成しないでください。

複数の独立したメール・ネットワークを完成するための最も簡単な方法は、 サポートされるセキュリティー・ラベルごとに異なるドメインを定義することです。 単一レベルのセキュリティー・システムは、 そのセキュリティー・ラベルを対象としたドメインに、そのホスト名と IP アドレスを定義しています。 マルチレベル・セキュア・システムは、 サポートするセキュリティー・ラベルのいずれかを対象としたドメイン・ネームごとに 同じホスト名を定義することができます。 マルチレベル・セキュア・システムのドメインごとに、 制限付きスタック上の該当する IP アドレス、 または制限なしスタック上の VIPA が使用されます。 ユーザーがマルチレベル・セキュア・システムにログオンすると、 そのメール・アドレスが、セキュリティー・ラベル固有のドメイン内の そのホスト名でのユーザーのユーザー ID になります。 ユーザーは、 そのドメインをサポートするユーザーのシステム上の sendmail デーモンのみを使用します。 ユーザーが別のマルチレベル・セキュア・ホスト名のユーザー ID にメールを送ると、そのメールは、デフォルトで、同じセキュリティー・ラベル固有のドメインをサポートしているそのホスト上の sendmail デーモンに送信されます。

単一ドメイン環境のマルチレベル・セキュア・システムでは、 メール・サポート付きの各セキュリティー・ラベルには異なるホスト名が付いています。 ユーザーがログオンすると、 そのメール・アドレスは、共通ドメイン内のセキュリティー・ラベル固有のホスト名での ユーザーのユーザー ID になります。 ユーザーは、 そのホスト名をサポートするユーザーのシステム上の sendmail デーモンのみを使用します。 ユーザーは、同等のセキュリティー・ラベルのネットワーク・セキュリティー・ゾーンにある ホスト名を承知している必要があります。

勿論、ユーザーは、任意のホスト名およびドメイン・ネームの別のユーザー宛てに メールを出すことができます。 ただし、その sendmail デーモンが接続できるのは、同等のセキュリティー・ラベルのネットワーク・セキュリティー・ゾーンの IP アドレスにある、他のメール・サーバーのみです。 同等ではないセキュリティー・ラベルのセキュリティー・ゾーンにあるホストに送信されたメールは、タイムアウトになります。z/OS sendmail デーモンによって受信され、 定義されてはいても、sendmail デーモンのセキュリティー・ラベルには許可されていない ローカル・ユーザー ID にあてられたメールは、 不明ユーザー・エラー・メッセージで戻されます。

sendmail デーモンは、TCP クライアントまたは その他のメール・サーバーからメール・ファイルを受信します。 このデーモンは、これらのメール・ファイルをほかのメール・サーバーに転送するか、 メールを後でほかのメール・サーバーに伝送するためにキューに入れるか、あるいは メールを tsmail (または別のローカル・デリバリー・エージェント) に渡して、 ローカル・デリバリーを完了します。 マルチレベル・セキュア環境では、 セキュリティー・ラベルごとに sendmail デーモンの個別のインスタンスを 実行する必要があります。 sendmail デーモンは、SYSMULTI セキュリティー・ラベルのもとでは 実行しないでください。 場合によっては、sendmail デーモンがメールをデリバリー用キューに入れます。 sendmail デーモンがキューを処理できる、 いくつかの異なる構成オプションがあります。 各メール・キューには、sendmail デーモンのセキュリティー・ラベルと 一致するセキュリティー・ラベルがなければなりません。

各 sendmail デーモンを、該当するセキュリティー・ラベルの ユーザー ID に割り当てられた異なるジョブ名のもとで実行してください。 マルチレベル・セキュア環境においては、さまざまなセキュリティー・ラベルのもとで 実行する複数の sendmail デーモンをサポートするのに必要な、 構成に関する特殊な考慮事項および変更があります。 それらの考慮事項および変更は、次のとおりです。

• 同じ制限なしスタックで複数の sendmail デーモンを 実行すること (複数のネットワーク・セキュリティー・ゾーンを使用して) もできれば、 制限付きスタックごとに 1 つの sendmail デーモンを実行することもできます。
• CINET がアクティブで、複数の制限付きスタックが使用される場合、 各 sendmail デーモンは、_BPX_SETIBMOPT_TRANSPORT 環境変数を用いて スタック・アフィニティーを確立し、IPv4 INADDR_ANY アドレス、または IPv6 無指定アドレス (in6addr_any) にバインドすることができます。 それ以外では、sendmail デーモンごとの該当するセキュリティー・ラベルのネットワーク・セキュリティー・ゾーンに、VIPA を定義する必要があります。

  CINET または INET	制限付きスタック	制限なしスタック
  単一スタックの CINET	VIPA はオプションです。	同じ SECLABEL の VIPA が必要です。
  複数のスタックを使用した CINET	VIPA またはスタック・アフィニティーを使用します。	同じ SECLABEL の VIPA が必要です。
  INET	VIPA はオプションです。	同じ SECLABEL の VIPA が必要です。

• sendmail クライアントが許可される接続先は、 同等のセキュリティー・ラベルの sendmail デーモンのみです。 NETACCESS 構成では、sendmail デーモン (Mail Transmission Agent、つまり MTA) が アウトバウンドで接続できる対象は、同等のセキュリティー・ラベルの他の MTA のみであり、 クライアントおよび同等のセキュリティー・ラベルの他の MTA からのみ インバウンド接続を受け入れることができます。 sendmail 構成では、sendmail クライアントに 後続の接続を試みるよう指示します。
• Mail Submission Agent (MSA) または MTA が特定の IP アドレスにバインド されている場合、セキュリティー・ラベル固有のドメインの同じホスト名を使用するのであれば、 共用 sendmail.cf を使用できます。 別のホスト名を使用する場合、 セキュリティー・ラベルごとに個別の sendmail.cf を指定する必要があります。
• sendmail デーモン (MTA) が特定の IP アドレスにバインドされているときは、 常に同じ IP アドレスを指定したジョブ固有のソース IP アドレッシングの使用を お勧めします。 こうすれば、ピア MTA によるネーム解決は、必ず意図されたホスト名およびドメイン・ネームになります。