システム・データ・セットのセキュリティー

このトピックには、システム・データ・セットの UACC 値を定義するガイドラインが含まれています。

多くのシステム・データ・セットに割り当てる必要がある UACC 値を表 1 にリストします。 ただし、インストール先のセキュリティー・ポリシー上、UACC に NONE を要求するデータ・セットが ある場合があることに注意してください。例えば、セキュリティー管理者は、マクロ・ライブラリーを使用するプログラムを アセンブルまたはコンパイルする必要があるプログラマーに対して READ アクセス権を与える場合は、それらのライブラリーに関して UACC(NONE) を指定できます。システム・データ・セットの詳細については、DASD システム・データ・セットの保護を参照し てください。

マルチレベル・セキュア・システム上のシステム・データ・セットを割り当てるためのセキュリティー・ラベルのガイドラインについては、「z/OS マルチレベル・セキュリティーの計画および Common Criteria」を参照してください。

ADDSD 'SYS1.*' UACC(NONE) SECLABEL(SYSHIGH)

SYS1.* プロファイルに NONE の UACC を指定すると、新しいプロダクトに よってシステムに追加されるシステム・データ・セットがすべて保護されます。新しいシステム・データ・セットに、NONE または SYSLOW の SECLABEL より 高位の UACC が必要な場合は、それらに関してより特定のプロファイルを作成 してください。

さらに、表 1 の情報を用いて、特定のデータ・セット (ま たは SYS1.DUMPxx データ・セットなどのデータ・セットのグループ) に関して、特定のプロファイルを作成するようにしてください。

READ またはそれより高位の UACC で示されたデータ・セットには、グローバル・アクセス検査テーブル項目を作成することを検討する必要があります。詳しくは、グローバル・アクセス検査テーブルの設定を参照してください。

次の表で NONE より高い UACC を持つシステム・データ・セットに関しては、UACC(NONE) を指定して、ID(*) ACCESS (アクセス権限) のア クセス・リスト項目を作成することもできます。この項目により、 RACF® に対して定義されていないユーザーは、 そのデータ・セットにアクセスできなくなります。

制限されたユーザーは、RESTRICTED 属性で定義され、多くのユーザーが共用できるユーザー ID を使用してシステムにログインします。制限されたユーザーは、グローバル許可検査テーブル、UACC、またはアクセス・リストの ID(*) 項目を使用して保護リソースにアクセスすることを禁止されています。RESTRICTED 属性で定義されているユーザー ID は、アクセスが必要なすべての保護リソースのアクセス・リスト上で、十分な権限によって特別に許可される必要があります。 このために、制限されたユーザーが、表 1 で READ または それ以上の UACC でリストされているデータ・セットへアクセス可能にするには 、RESTRICTED 属性を持つ各ユーザー ID に対して、UACC 値で示されるレベルの アクセスを特別に許可する必要があります。