SAF による TCP/IP リソースへのローカル・ユーザーのアクセス制御

System Authorization Facility (SAF) を使用して、どの z/OS® ユーザーが特定の TCP/IP リソースにアクセスできるかをコントロールできます。この機能により、これらのリソースを無許可ユーザーのアクセスから保護します。

SERVAUTH クラスの SAF リソース・プロファイルを定義して、TCP/IP リソースへのアクセスを制御します。SAF リソース・プロファイルを定義すると、ローカル・ユーザーのユーザー ID が少なくともリソースの READ アクセスを持っている場合、関連する TCP/IP リソースにアクセスできます。

z/OS Communication Server のプログラムは、SAF を呼び出してどのユーザーが保護リソースへのアクセス権があるかを確認します。ユーザーの資格情報、リソース名、アクセスの要求レベル (READ,UPDATE など) が SAF に提供されます。 SAF には定義された 3 つの戻りコードがあります。

0
許可
4
決定なし
8
否認

以下のシチュエーションでは SAF が決定なしの戻りコードを返す可能性があります。

SAF が決定なしの戻りコードを返す場合は、リソース・マネージャーがアクセスを許可するかどうかの決定をします。 表 1 の「SAF の決定なし」列は、リソース・マネージャーが各リソースに対して取るアクションを示しています。

表 1 には、TCP/IP によって使用される SERVAUTH リソース名が要約されています。

表 1. TCP/IP が使用する SERVAUTH リソース名
機能 説明 SAF の決定なし SERVAUTH リソース名
変更の始まりSAF ロギングにおける LOGSTR (RACF® の場合は SMF タイプ 80 レコード)変更の終わり
ブロードキャスト・アクセス制御 ブロードキャスト・データグラムを送信するために必要な SO_BROADCAST ソケット・オプ ションを設定することを、アプリケーションに許可するかどうかを制御する能力を提供します。 許可 EZB.SOCKOPT.sysname.tcpname.SO_BROADCAST
変更の始まりTCPIP SOCKOPT ACCESS CHECK変更の終わり
CIM プロバイダー・アクセス制御 CIM データへのアクセスを制限する能力を提供します。 否認 EZB.CIMPROV.sysname.tcpname
変更の始まりTCPIP CIM PROVIDER CHECK変更の終わり
DCAS サーバー・アクセス制御 TLS 認証 X.509 クライアント証明書に関連した SAF ユーザー ID に基づいて、DCAS サーバーにアクセスできるかどうかを制御します。 許可 EZA.DCAS.cvtsysname

変更の始まりDCAS SAFCERT CHECK FOR USER certuser変更の終わり

変更の始まりまたは変更の終わり

変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZA.DCAS.cvtsysname変更の終わり
高速応答キャッシュ・アクセラレーター (FRCA) アクセス制御 FRCA キャッシュを作成するユーザー能力を提供します (FRCA は、スタック内での静的 Web ページのキャッシング用に Web サーバーにより使用されます)。 否認、結果 1 を参照 EZB.FRCAACCESS.sysname.tcpname
変更の始まりTCPIP FRCA ACCESS CHECK変更の終わり
FTP サーバー・アクセス制御 ログインに使用される SAF ユーザー ID を基に、FTP サーバーにアクセスできるかどうかを制御します。 許可 EZB.FTP.sysname.変更の始まりftpdaemonname変更の終わり.PORTxxxxx
変更の始まり(なし)変更の終わり
FTP SITE コマンド制御 SITE DUMP および DEBUG コマンド (大量の出力を生成するコマンド) の使用を制限する能力を提供します。 許可 EZB.FTP.sysname.変更の始まりftpdaemonname変更の終わり.SITE.DUMP

EZB.FTP.sysname.ftpdaemonname.SITE.DEBUG
変更の始まり(なし)変更の終わり
FTP z/OS UNIX ファイル・システム・アクセス制御 z/OS UNIX ファイル・システムへの FTP ユーザー・アクセスを全般的に制限する能力を提供します。 許可 EZB.FTP.sysname.ftpdaemonname.ACCESS.HFS
変更の始まり(なし)変更の終わり
ipsec コマンド・アクセス制御 ipsec コマンドの使用を制御する能力を提供します。 否認 EZB.IPSECCMD.sysname.tcpname.command_type

EZB.IPSECCMD.sysname.DMD_GLOBAL.command_type

変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.IPSECCMD.sysname.tcpname.command_type変更の終わり

変更の始まりまたは変更の終わり

変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.IPSECCMD.sysname.DMD_GLOBAL.command_type変更の終わり
コントロール要求に対する IPSec ネットワーク管理インターフェース (NMI) アクセス制御 (ローカル) ローカル TCP/IP スタックに関する IP フィルター操作および IPSec 機能 (例えば、活動化および非活動化要求) を管理するために、ユーザーがローカル IKE デーモンに NMI 制御要求を発行できるかどうかを制御します。 否認 EZB.NETMGMT.sysname.tcpname.IPSEC.CONTROL
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.tcpname.IPSEC.CONTROL変更の終わり
表示要求に対する IPSec NMI アクセス制御 (ローカル) ローカル TCP/IP スタックに関する IP フィルター操作および IPSec モニター・データを検索するために、ユーザーがローカル IKE デーモンに NMI モニター要求を発行できるかどうかを制御します。 否認 EZB.NETMGMT.sysname.tcpname.IPSEC.DISPLAY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.tcpname.IPSEC.DISPLAY変更の終わり
IPSec NMI および ipsec コマンド・アクセス制御 ユーザーが以下のことを発行できるかどうかを制御します。
  • IKE デーモン NSS クライアント情報を表示するための NMI 要求
  • IKE デーモン NSS IPSec クライアント情報を表示するための、-w オプションを指定した ipsec コマンド
 否認 EZB.NETMGMT.sysname.sysname.IKED.DISPLAY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.sysname.IKED.DISPLAY変更の終わり
コントロール要求に対する IPSec NMI および ipsec コマンド・アクセス制御 (リモート) ユーザーが以下のことを発行できるかどうかを制御します。
  • NSS サーバーに対する NSS クライアントに関連した NMI 管理要求 (例えば、活動化および非活動化の要求)
  • NSS IPSec クライアントへの管理アクションを実行するための、-z オプションを指定した ipsec コマンド (例えば、活動化および非活動化オプション)
 否認 EZB.NETMGMT.sysname.clientname.IPSEC.CONTROL
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.clientname.IPSEC.CONTROL変更の終わり
表示要求に対する IPSec NMI および ipsec コマンド・アクセス制御 (リモート) ユーザーが以下のことを発行できるかどうかを制御します。
  • NSS サーバーに対する NSS クライアントに関連した NMI モニター要求 (つまり get 要求)
  • NSS IPSec クライアントのオプションを表示するための、-z オプションを指定した ipsec コマンド
 否認 EZB.NETMGMT.sysname.clientname.IPSEC.DISPLAY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.clientname.IPSEC.DISPLAY変更の終わり
IPv6 拡張ソケット API アクセス制御 IPv6 拡張ソケット API オプションを設定することをアプリケーションに許可するかどうかを制御する能力を提供します。

IPv6_NEXTHOP

IPv6_TCLASS

IPv6_RTHDR

IPV6_HOPOPTS

IPV6_DSPOPTS

IPV6_RTHDRDSTOPT

IPV6_PKTINFO

IPV6_HOPLIMIT

 否認、結果 2 を参照 EZB.SOCKOPT.sysname.tcpname.IPV6_NEXTHOP

EZB.SOCKOPT.sysname.tcpname.IPV6_TCLASS

EZB.SOCKOPT.sysname.tcpname.IPV6_RTHDR

EZB.SOCKOPT.sysname.tcpname.IPV6_HOPOPTS

EZB.SOCKOPT.sysname.tcpname.IPV6_DSTOPTS

EZB.SOCKOPT.sysname.tcpname.IPV6_RTHDRDSTOPTS

EZB.SOCKOPT.sysname.tcpname.IPV6_PKTINFO

EZB.SOCKOPT.sysname.tcpname.IPV6_HOPLIMIT
変更の始まりTCPIP SOCKOPT ACCESS CHECK変更の終わり
Netstat コマンド・アクセス制御 Netstat の使用を制限する能力を提供します。 許可、結果 3 を参照 EZB.NETSTAT.sysname.tcpname.netstat_option
変更の始まりTCPIP EZACDNET AUTH CHECK FOR EZB.NETSTAT.sysname.tcpname.netstat_option変更の終わり
ネットワーク・セキュリティー・サービス (NSS) NMI およびコマンド・アクセス制御 ユーザーが以下のことを発行できるかどうかを制御します。
  • NSS サーバーとの接続を表示する NMI 要求
  • NSS サーバーへの NSS IPSec クライアント接続を表示するための、-x オプションを指定した ipsec コマンド
  • NSS サーバーへの NSS クライアント接続を表示するための nssctl コマンド
 否認 EZB.NETMGMT.sysname.sysname.NSS.DISPLAY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NETMGMT.sysname.sysname.NSS.DISPLAY変更の終わり
NSS サーバー・アクセス制御 NSS IPSec 証明書サービスのために、NSS IPSec クライアントを NSS サーバーに登録できるかどうかを制御します。 否認 EZB.NSS.sysname.clientname.IPSEC.CERT
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSS.sysname.clientname.IPSEC.CERT変更の終わり
NSS サーバー・アクセス制御 NSS IPSec リモート管理サービスのために、NSS IPSec クライアントを NSS サーバーに登録できるかどうかを制御します。 否認 EZB.NSS.sysname.clientname.IPSEC.NETMGMT
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSS.sysname.clientname.IPSEC.NETMGMT変更の終わり
NSS サーバー・アクセス制御 XMLAppliance SAFAccess サービスのために、NSS XMLAppliance クライアントを NSS サーバーに登録できるかどうかを制御します。 否認 EZB.NSS.sysname.clientname.XMLAPPLIANCE.SAFACCESS
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSS.sysname.clientname.XMLAPPLIANCE.SAFACCESS変更の終わり
NSS サーバー・アクセス制御 XMLAppliance 証明書サービスのために、NSS XMLAppliance クライアントを NSS サーバーに登録できるかどうかを制御します。 否認 EZB.NSS.sysname.clientname.XMLAPPLIANCE.CERT
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSS.sysname.clientname.XMLAPPLIANCE.CERT変更の終わり
NSS サーバー・アクセス制御 XMLAppliance 秘密鍵サービスのために、NSS XMLAppliance クライアントを NSS サーバーに登録できるかどうかを制御します。 否認 EZB.NSS.sysname.clientname.XMLAPPLIANCE.PRIVKEY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSS.sysname.clientname.XMLAPPLIANCE.PRIVKEY変更の終わり
NSS サーバー証明書アクセス制御 NSS クライアントが、NSS サーバーの鍵リング上の CERTAUTH 証明書にアクセスできるかどうかを制御します。 否認 EZB.NSSCERT.sysname.mappedlabelname.CERTAUTH
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSSCERT.sysname.mappedlabelname.CERTAUTH変更の終わり
NSS サーバー証明書アクセス制御 NSS クライアントが、NSS サーバーの鍵リング上の PERSONAL 証明書または SITE 証明書にアクセスできるかどうかを制御します。 否認 EZB.NSSCERT.sysname.mappedlabelname.HOST
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSSCERT.sysname.mappedlabelname.HOST変更の終わり
NSS サーバー秘密鍵アクセス制御 NSS XMLAppliance クライアントが、NSS サーバーの鍵リング上の証明書用秘密鍵にアクセスできるかどうかを制御します。 否認 EZB.NSSCERT.sysname.mappedlabelname.PRIVKEY
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.NSSCERT.sysname.mappedlabelname.PRIVKEY変更の終わり
OSM アクセス制御 OSM インターフェースを使用してイントラノード管理ネットワークにアクセスできるかどうかを制御します。 否認 EZB.OSM.sysname.tcpname
変更の始まりTCPIP OSM ACCESS CHECK変更の終わり
パートナー情報 ioctl アクセス制御 トラステッド TCP 接続を通したシスプレックスまたはサブプレックス内でパートナー・セキュリティー資格情報を取得するため、アプリケーションが SIOCGPARTNERINFO ioctl を使用できるかどうかを制御します。 否認 EZB.IOCTL.sysname.tcpprocname.PARTNERINFO
変更の始まりSIOCGPARTNERINFO変更の終わり
ポリシー・エージェント・コマンド制御 タイプ別に pasearch コマンド、IKE デーモン、ポリシー・クライアント、および nslapm2 の使用を制限する能力を提供します。 否認 EZB.PAGENT.sysname.image.ptype
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.PAGENT.sysname.image.変更の始まりptype変更の終わり変更の終わり
real-time application-controlled TCP/IP trace NMI アクセス制御 - オープン要求 トレースをオープンするためにアプリケーションが NMI を呼び出せるかどうかを制御します。これは、ネットワーク管理アプリケーションを対象とします。 否認 EZB.TRCCTL.sysname.tcpname.OPEN
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム・アプリケーション制御 TCP/IP トレース NMI アクセス制御 - フィルターの設定 アプリケーションがパケット・トレース用にフィルターを設定するために NMI を呼び出せるかどうかを制御します。これは、ネットワーク管理アプリケーションを対象とします。 否認 EZB.TRCCTL.sysname.tcpname.PKTTRACE
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム・アプリケーション制御 TCP/IP トレース NMI アクセス制御 - フィルターの設定 アプリケーションがパケット・トレース・フィルターについて IPSec 平文データを要求できるかどうかを制御します。 否認 EZB.TRCSEC.sysname.tcpname.IPSEC
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム・アプリケーション制御 TCP/IP トレース NMI アクセス制御 - フィルターの設定 アプリケーションがデータ・トレース用にフィルターを設定するために NMI を呼び出せるかどうかを制御します。これは、ネットワーク管理アプリケーションを対象とします。 否認 EZB.TRCCTL.sysname.tcpname.DATTRACE
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム・アプリケーション制御 TCP/IP トレース NMI アクセス制御 - フィルターの設定 アプリケーションがデータ・トレース・フィルターについて AT-TLS 平文データを要求できるかどうかを制御します。 否認 EZB.TRCSEC.sysname.tcpname.ATTLS
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム OSAENTA 情報サービスのアクセス制御 OSAENTA 情報サービスを使用してアクセス可能なリアルタイム OSAENTA パケット・トレース・レコードを選択するためのアクセスを制限する能力を提供します。これは、ネットワーク管理アプリケーションを対象とします。 否認、結果 4 を参照 EZB.NETMGMT.sysname.tcpname.SYSTCPOT
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム SMF 情報サービスのアクセス制御 SMF 情報サービスを使用してアクセス可能なリアルタイム SMF レコードを選択するためのアクセスを制限する能力を提供します。これは、ネットワーク管理アプリケーションを対象とします。 否認、結果 4 を参照 EZB.NETMGMT.sysname.tcpname.SYSTCPSM
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム TCP 接続情報サービスのアクセス制御 TCP 接続情報サービスを使用した TCP 接続情報へのアクセスを制限する能力を提供します。これは、ネットワーク管理アプリケーションを対象とします。 否認、結果 4 を参照 EZB.NETMGMT.sysname.tcpname.SYSTCPCN
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
リアルタイム TCP/IP パケット・トレース・サービスのアクセス制御 TCP/IP パケット・トレース・サービスを使用してアクセス可能なリアルタイム・パケット・トレース・レコードを選択するためのアクセスを制限する能力を提供します。これは、ネットワーク管理アプリケーションを対象とします。 否認、結果 4 を参照 EZB.NETMGMT.sysname.tcpname.SYSTCPDA
変更の始まりTCPIP NETWORK MANAGEMENT変更の終わり
変更の始まりrpcbind アクセス制御変更の終わり 変更の始まりアプリケーションがそのポートを rpcbind で登録または登録抹消することを許可するかどうかを制御する能力を提供します。変更の終わり 変更の始まり否認変更の終わり 変更の始まりEZB.RPCBIND.sysname.rpcbindname.REGISTRY変更の終わり
変更の始まり変更の始まり(なし)変更の終わり変更の終わり
SNMP エージェント制御 TCP 接続を使用して SNMP エージェントに接続する SNMP サブエージェントの使用を制御します。 許可 EZB.SNMPAGENT.sysname.tcpname
変更の始まりTCPIP EZACDRAU AUTH CHECK FOR EZB.SNMPAGENT.sysname.tcpname変更の終わり
TCP/IP ローカル・ポート・アクセス制御 ユーザーが非一時 TCP ポートまたは UDP ポートにバインドできるかどうかを制御します。 否認 EZB.PORTACCESS.sysname.tcpname.port_safname
変更の始まりTCPIP PORT ACCESS CHECK PORT portnum変更の終わり
TCP/IP netaccess アクセス制御 ネットワーク・リソースへのローカル・ユーザーのインバウンドおよびアウトバウンド・アクセス制御、およびローカル・インターフェースに明示的にバインドしている (またはジョブ固有または宛先固有のソース IP アドレスを使用している) 場合に、ローカル IP アドレスへのローカル・ユーザーのアクセス制御を行います。 否認 EZB.NETACCESS.sysname.tcpname.zonename
変更の始まりTCPIP NETWORK ACCESS CHECK ipaddress変更の終わり
TCP/IP スタック・アクセス制御 ユーザーがソケットをオープンし、ホスト名またはホスト ID を取得できるかどうかを制御します。 許可 EZB.STACKACCESS.sysname.tcpname
変更の始まりTCPIP STACK ACCESS CHECK変更の終わり
TCP/IP スタック初期化アクセス制御 TCP/IP スタックに AT-TLS ポリシーがロードされる前に、アプリケーションがソケットをオープンできるかどうかを制御します。 否認 EZB.INITSTACK.sysname.tcpname
変更の始まりTCPIP INIT STACK ACCESS CHECK変更の終わり
変更の始まりTN3270E Telnet サーバー・アクセス制御変更の終わり 変更の始まりTLS 認証 X.509 クライアント証明書と関連付けられた SAF ユーザー ID を基に、TN3270E Telnet サーバーにアクセスできるかどうかを制御します。変更の終わり 変更の始まり否認変更の終わり 変更の始まりEZB.TN3270.sysname.tn3270name.PORTxxxxx変更の終わり
変更の始まり変更の始まりTN3270 SAFCERT CHECK FOR USER userid PORT portnum ON tn3270name変更の終わり変更の終わり
VIPA 範囲に対する VIPARANGE アクセス制御 (バインド) 任意の VIPARANGE ステートメントによって指定された DVIPA をバインディングすることにより、アプリケーションが DVIPA を作成できるかどうかの制御 許可 EZB.BINDDVIPARANGE.sysname.tcpname
変更の始まりTCPIP BINDDVIPA ACCESS CHECK変更の終わり
VIPA 範囲に対する VIPARANGE アクセス制御 (MODDVIPA および ioctl) すべての VIPARANGE ステートメントにアクセス制御を提供し、ユーザーまたはアプリケーションが以下のタスクを実行可能かどうかを制御します。
  • SIOCSVIPA ioctl 呼び出し、SIOCSVIPA6 ioctl 呼び出し、または MODDVIPA ユーティリティーを使用して、任意の VIPARANGE ステートメントで指定されたダイナミック VIPA (DVIPA) を作成します。
  • このプロファイルと SIOCSVIPA ioctl 呼び出し、SIOCSVIPA6 ioctl 呼び出し、または MODDVIPA ユーティリティーを使用して作成された DVIPA を削除します。
否認、結果 5 を参照 EZB.MODDVIPA.sysname.tcpname
変更の始まりTCPIP MODDVIPA または SIOCSVIPA(6) ACCESS CHECK変更の終わり
特定の VIPA 範囲用 VIPARANGE アクセス制御 (バインド) resname と同じ値を持つ SAF パラメーターを含む VIPARANGE ステートメントによって指定された DVIPA にバインディングすることにより、アプリケーションがアプリケーション固有の DVIPA を作成できるかどうかを制御します。 否認 EZB.BINDDVIPARANGE.sysname.tcpname.resname
変更の始まりTCPIP BINDDVIPA SAF ACCESS CHECK変更の終わり
特定の VIPA 範囲に対する VIPARANGE アクセス制御 (MODDVIPA および ioctl) resname と同じ値を持つ SAF パラメーターを含む特定の VIPARANGE ステートメントにアクセス制御を提供し、ユーザーまたはアプリケーションが以下のタスクを実行可能かどうかを制御します。
  • SIOCSVIPA ioctl 呼び出し、SIOCSVIPA6 ioctl 呼び出し、または MODDVIPA ユーティリティーを使用して、特定の VIPARANGE ステートメントで指定されたアプリケーション固有の DVIPA を作成します。
  • このプロファイルと SIOCSVIPA ioctl 呼び出し、SIOCSVIPA6 ioctl 呼び出し、または MODDVIPA ユーティリティーを使用して作成された DVIPA を削除します。
否認 EZB.MODDVIPA.sysname.tcpname.resname
変更の始まりTCPIP MODDVIPA または SIOCSVIPA(6) SAF ACCESS CHECK変更の終わり
結果:
  1. 否認 (ユーザー ID が WLM ユーザーまたは UNIX System Services スーパーユーザーである場合を除く)。
  2. 否認 (ユーザー ID が APF 権限を持つか、または UNIX System Services スーパーユーザーである場合を除く)。
  3. 許可 (アクセスが拒否された場合の DROP オプションを除く)。
  4. 否認 (ユーザー ID が UNIX System Services スーパーユーザーか、BPX.SUPERUSER への READ アクセスを持つ場合を除く)。
  5. 否認 (ユーザー ID が APF 権限を持ち、しかも UNIX System Services スーパーユーザーである場合を除く)。
親トピック: TCP/IP リソースの保護