APPC ネットワークでのセキュリティーの要素

分散リレーショナルデータベースアーキテクチャ（DRDA）を使用する場合、DRDA環境内の各システムのデータリソースは保護されるべきである。

DRDA 環境の各システムのデータ・リソースを保護するには、以下のパラメーターによって制御される 3 つのグループのセキュリティー・エレメントを使用できます。

  • システム関連のセキュリティーまたはセッションの場合、クライアント・システムとサーバー・システムの間で拡張プログラム間通信 (APPC) セッションが最初に確立される場合には、 それらのシステム間で交換されるシステム検証パスワードを示すために、各システムで LOCPWD パラメーターが使用されます。 どちらのシステムも、セッションを開始する前に同じパスワードを交換する必要があります。 ( System/36では、このパスワードはロケーション・パスワードと呼ばれます。) APPC ネットワークでは、装置記述の作成 (APPC) (CRTDEVAPPC) コマンドの LOCPWD パラメーターは、このパスワードを指定します。 装置は APPN を使用して自動的に作成され、リモート・ロケーション・リストのロケーション・パスワードは、 身元を検査するために 2 つのロケーションで使用するパスワードを指定します。 構成リスト作成 (CRTCFGL) コマンドを使用して、リモート・ロケーション・リストのタイプ (*APPNRMT) を作成します。
  • ユーザー関連またはロケーション・セキュリティーの場合、 すでにクライアント・システムによってセキュリティーが確認された着信アクセス要求を (サーバー・システムとして) 受け入れるかどうか、 あるいはユーザー ID と暗号化されたパスワードが必要かどうかを示すため、各システムで SECURELOC パラメーターが使用されます。 APPC ネットワークでは、装置記述の作成 (APPC) (CRTDEVAPPC) コマンドの SECURELOC パラメーターによって、ローカル・システムがリモート・システムによるセキュリティーの検査を許可するかどうかを指定します。 装置は APPN を使用して自動的に作成され、APPN リモート構成リストのロケーション保護を使用して、 ローカル・システムがリモート・システムによるユーザー・セキュリティー情報の検査を許可するかどうかが決定されます。 SECURELOC 値は、リモート・ロケーションごとに、個別に指定できます。

    SECURELOC パラメーターは、以下のセキュリティー要素と共に使用されます。

    • クライアント・システムによって送信されたユーザー ID (このパラメーターで許可されている場合)。
    • ユーザー ID と暗号化されたパスワード (このパラメーターで許可されている場合)。
    • デフォルトユーザー・プロファイルを含む、サーバー・システムのユーザー・プロファイル。

    詳しくは、APPC ネットワークにおける DRDA サーバー・セキュリティーのトピックを参照してください。

  • オブジェクト関連のセキュリティでは、DDMACC パラメーターは、IBM i オペレーティング・システム上のファイルが別のシステムからまったくアクセスできないかどうか、アクセスできる場合はどのセキュリティ・レベルで着信要求がチェックされるかを示すために、Change Network Attributes (CHGNETA) コマンドで使用されます。
    • DDMACC パラメーターに *REJECT が指定された場合には, サーバー・システムによって受信されたすべての DRDA 要求は拒否されます。
    • DDMACC パラメーターに *OBJAUT が指定されている場合には、 通常のオブジェクト・レベルのセキュリティーがサーバー・システム上で使用されます。
    • DDMACC パラメーターで出口プログラム (またはアクセス制御プログラム) の名前が指定されると、 追加のセキュリティーのレベルが使用されます。 特定クライアント・システムの指定ユーザーが、サーバー・システムの特定のファイルを (規則的に) アクセスするのに特定のコマンドを使用できるかどうかを制御するために、 ユーザー出口プログラムを使用することができます。 (詳細は、『追加機密保護のための DDM サーバー・アクセス制御出口プログラム』を参照してください。)
    • DRDA を使用してサーバー・システム上にファイルが作成される時には, 指定されたライブラリー名にそのファイルが入っています。 DRDA 要求にライブラリー名が指定されていない場合には, 現行ライブラリー (*CURLIB) が使用されます。 デフォルトのファイル権限を使用すると、ファイルを作成したユーザーかサーバー・システムのセキュリティーの責任担当者だけがファイルにアクセスできます。

リモート・ファイル・アクセスを制限するためのほとんどのセキュリティー管理は、 サーバー・システムによって扱われます。 クライアント・システムによって指定されるユーザー ID を除き、 これらのすべての要素がサーバー・システム上で指定されて使用されます。 ただし、クライアント・システムは、クライアント・システム上の DRDA ファイルへのアクセスを制御し、必要に応じてユーザー ID をサーバー・システムに送信することによって、サーバー・システム・ファイルへのアクセスを制限します。