マルチレベル・セキュア構成の特定の部分に変更を加えるときは、十分に計画を立てる必要があります。 PROFILE.TCPIP 内の NETACCESS ステートメント、TCPIP 開始タスクへ関連付けられているセキュリティー・ラベル、SERVAUTH クラス内の EZB.STACKACCESS または EZB.NETACCESS プロファイルへ関連付けられているセキュリティー・ラベル、または SECLABEL クラス内のプロファイルの定義などを変更すると、IP アドレスが別のセキュリティー・ラベルへ関連付けられる結果になる場合があります。 それらの変更は、対応する変更が実装され、影響を受けるシステムのセキュリティー管理に影響を及ぼすことを暗黙に意味します。 強制アクセス制御ポリシーの適用をサポートするシステムの場合、 それらのポリシーも同時に更新する必要があります。 強制アクセス制御ポリシーの適用をサポートしないシステムの場合、 物理的なユーザー・アクセス手順、システム・データの内容、 ファイアウォール構成、およびルーター構成も同時に更新する必要があります。
強制アクセス制御ポリシーの変更を制御する 最も安全な方法は、RACF® オプションの MLSTABLE と MLQUIET を使用することです。 RACF オプションが MLACTIVE、MLSTABLE、 および NOMLQUIET に設定されている場合、TCP/IP では、 既存の NETACCESS 構成を VARY TCPIP,,OBEYFILE コマンドで変更することはできません。 RACF オプション MLQUIET が設定されている場合、RACF では、VARY TCPIP,,OBEYFILE コマンドによって参照されるデータ・セットを開くには、TCP/IP ジョブ・ユーザー ID が RACF SPECIAL でなければなりません。これらのオプションの設定と使用方法についての詳細は「z/OS Security Server RACF セキュリティー管理者のガイド」を参照してください。
MLSTABLE 環境では、MLQUIET 環境に入る前に、データへのユーザーおよびアプリケーション・アクセスをすべて停止してください。 すべてのネットワーク・アクセスを停止するには、すべての TCP/IP スタックを停止します。 セキュリティー管理者が TN3270E Telnet サーバー (Telnet) を通じてシステムにアクセスする必要がある場合は、セキュリティー管理者用の Telnet だけを持つ制限付きスタックを実行することを検討してください。 Telnet NACUSERID またはプロシージャーのユーザー ID に、このスタック用の EZB.STACKACCESS プロファイルに対する許可を与えます。 それ以外のすべての TCP/IP スタックを停止してください。 ローカル・ポリシーの変更と、それに整合する他のシステムへの変更がすべて済んだ後、NOMLQUIET を設定し、実動の TCP/IP スタックとネットワーク・サーバーを再始動します。
RACF オプション MLACTIVE を指定したシステムで実行する スタックはいずれも、いくつかの PROFILE.TCPIP ステートメントと その関連 SERVAUTH プロファイルについて、内部整合性検査を行います。 この整合性検査は、初期プロファイル処理の終了時、VARY TCPIP,,OBEYFILE コマンドが プロファイルを変更した後、および SERVAUTH または SECLABEL クラスに RACLIST が 発行されたときは必ず、実行されます。 OMPROUTE などのアプリケーションによっては、 内部で VARY TCPIP,,OBEYFILE コマンドと同等のコマンドを出すので、 整合性検査を引き起こすものもあります。 TCP/IP は、 スタックを経由して流れる情報のセキュリティーを侵害する可能性がある不整合を検出するつど、 メッセージをジョブ・ログに書き込みます。 不整合が検出されると、 検出された問題の数を要約した最終メッセージ (EZD1217I) が システム・コンソールに書き込まれます。
デフォルトでは、スタックは不整合が検出されるまで実行を継続します。 実動ワークロードの開始前に、PROFILE.TCPIP、 あるいは VARY TCPIP,,OBEYFILE コマンドが参照するデータ・セット に、GLOBALCONFIG MLSCHKTERMINATE を指定して、 このデフォルトをオーバーライドすることをお勧めします。 セキュリティー関連の構成変更を行う前に、 まずすべての実動ワークロードを停止することをお勧めします。 これで、PROFILE.TCPIP または、VARY TCPIP,,OBEYFILE コマンドが参照するデータ・セットに、GLOBALCONFIG NOMLSCHKTERMINATE を指定できます。 このパラメーターは、RACF オプションの NOMLSTABLE が設定されているとき、または MLSTABLE と MLQUIET の両方が設定されているときに、MLSCHKTERMINATE から NOMLSCHKTERMINATE のみに変更できます。
スタックは、次の整合性検査を実行します。
スタックが行わない整合性検査がいくつかあります。 これらは、依然としてシステム・セキュリティー管理者の責任です。
整合性エラーが報告されなくなるまで、PROFILE.TCPIP ステートメントまたは RACF プロファイルのいずれかに対する変更を続けてください。 その後、PROFILE.TCPIP、または VARY TCPIP,,OBEYFILE コマンドによって 参照されるデータ・セットに、GLOBALCONFIG MLSCHKTERMINATE を指定します。 この時点では、NOMLQUIET の設定および実動ワークロードの再始動は安全に行われます。