z/OSMF のセキュリティー構造

z/OSMF で必要なクラス活動化

SETROPTS CLASSACT(ACCTNUM)

SETROPTS CLASSACT(APPL)
SETROPTS RACLIST(APPL) GENERIC(APPL)

SETROPTS CLASSACT(EJBROLE)
SETROPTS RACLIST(EJBROLE) GENERIC(EJBROLE)

SETROPTS CLASSACT(FACILITY)
SETROPTS RACLIST(FACILITY) GENERIC(FACILITY)

SETROPTS CLASSACT(JESSPOOL)                   
SETROPTS RACLIST(JESSPOOL)

SETROPTS CLASSACT(LOGSTRM)                                     
SETROPTS RACLIST(LOGSTRM)

SETROPTS CLASSACT(OPERCMDS)
SETROPTS RACLIST(OPERCMDS)

SETROPTS CLASSACT(SERVAUTH)
SETROPTS RACLIST(SERVAUTH) GENERIC(SERVAUTH)

SETROPTS CLASSACT(SERVER)
SETROPTS RACLIST(SERVER) GENERIC(SERVER)

SETROPTS CLASSACT(STARTED)
SETROPTS RACLIST(STARTED) GENERIC(STARTED)

SETROPTS CLASSACT(TSOAUTH)
SETROPTS RACLIST(TSOAUTH)

SETROPTS CLASSACT(TSOPROC)

SETROPTS CLASSACT(ZMFAPLA)
SETROPTS RACLIST(ZMFAPLA) GENERIC(ZMFAPLA)

SETROPTS CLASSACT(ZMFCLOUD) GENERIC(ZMFCLOUD)
RACLIST(ZMFCLOUD)

ご使用のシステムで RACF 以外の外部セキュリティー・マネージャーを使用する場合は、ご使用の環境用に同等のコマンドを作成するようにセキュリティー管理者に依頼してください。

z/OSMF リソースの SAF プロファイル・プレフィックス

構成プロセス中に、セキュリティー管理者は z/OSMF リソースに対して IZUxxSEC ジョブを実行します。 これらのジョブでは、ご使用のシステムで、 z/OSMF リソースの命名に使われるシステム許可機能 (SAF) プロファイル接頭部を指定します。 SAF プレフィックスは z/OSMF リソース・プロファイルの名前の前に付加され、IZUxxSEC ジョブに含まれている一部の RACF コマンドで使用されます。

本書の例では、 SAF接頭部が<SAF-prefix>として表示されています。デフォルトでは、SAF 接頭部は IZUDFLTです。 ご使用のシステムで別の値を使用することを選択した場合は、例の値を置き換えてください。

構成時に z/OSMF が作成するユーザー ID

構成時に z/OSMF が作成するセキュリティー・グループ

IZUSECジョブは、z/OSMF構成のセキュリティー・グループの基本セットを作成します。 これらのグループは、z/OSMF および z/OS システム・リソースへの適切なアクセス・レベルをユーザーに提供するのに必要です。

セキュリティー・チームは、既存のグループ名が優先されるかを確認することができます。 その場合は、提供されるz/OSMFデフォルト・グループ名の代わりに既存グループ名を使用できます。 例えば、管理者と連携したグループがすでにある場合があります。その場合は、管理者の z/OSMF デフォルト・グループ IZUADMIN の代わりに、そのグループを使用できます。

セキュリティー構成アシスタント・サービスのリソース許可

1. 機能、タスク、およびリンクに対するユーザー許可は 、System Authorization Facility (SAF) プロファイル・プレフィックスによって制御されます。 デフォルトで、SAF プレフィックスは IZUDFLT です。
2. ユーザーが z/OSMFで作業するには、少なくともプロファイル<SAF-prefix>.ZOSMFへのREADアクセスが必要です。 この許可なしでは、ユーザーは認証されたゲストとして扱われます。 つまり、ユーザーは z/OSMF にログインして、 ようこそページを表示できますが、z/OSMF機能とタスクにアクセスすることはできません。

z/OSMF コア機能のリソース許可

表 5. z/OSMF コア機能のセキュリティー・セットアップ要件

リソース・クラス	リソース名	アクセス権限が必要な対象者	必要なアクセス権限のタイプ	理由
ACCTNUM	IZUACCT	IZUADMIN IZUUSER	READ	アカウント番号に呼び出し元がアクセスできるようにします。このアカウント番号は、z/OSMF REST インターフェースのためのプロシージャーに使用されます。
APPL	<SAF-prefix>	IZUADMIN IZUGUEST IZUUSER IZUSECAD	READ	z/OSMF アプリケーション・ドメインへのアクセスを許可します。 APPL クラスに一致するプロファイルがない場合、RACF はユーザーにアプリケーションへのアクセスを許可します。
CERT	デフォルトのzOSMFCert です。<SAF-prefix>	IZUSVR ユーザー ID によって所有	N/A	ブラウザーと z/OSMF サーバーのセキュア通信に必要とされます。
CERT	zOSMFCA	N/A	N/A	ブラウザーとz/OSMFサーバーのセキュア通信に必要な認証局。
CSFSERV	CSF* プロファイル	IZUSVR	READ	z/OS Integrated Cryptographic Service Facility (ICSF) の呼び出し可能サービス。インストールでICSFを使用したハードウェア暗号化を使用する場合は、ハードウェア暗号化に対する リソース許可に説明されるように、これらのサービスにz / OSMFサーバーのユーザーIDを許可する必要があります。
DATASET	your_stack_include_dataset	IZUSVR	ALTER	ネットワーク・リソースのプロビジョン時またはプロビジョン解除時に z/OSMF サーバーが構成済みの包含データ・セットに書き込むことができるようにします。 スタックごとに 1 つの包含データ・セットが IBM クラウド・プロビジョニングに定義されています。 この定義は、ご使用のシステムでデータ・セット・アクセスを保護するために個別プロファイルまたは総称プロファイルを使用している場合にのみ適用されます。
DATASET	your_stack_dynamic_update_dataset	IZUSVR	ALTER	ネットワーク・リソースのプロビジョン時またはプロビジョン解除時に z/OSMF サーバーが構成済みの動的更新データ・セットに書き込むことができるようにします。 スタックごとに 1 つの動的更新データ・セットが IBM クラウド・プロビジョニングに定義されています。 この定義は、ご使用のシステムでデータ・セット・アクセスを保護するために個別プロファイルまたは総称プロファイルを使用している場合にのみ適用されます。
EJBROLE	<SAF-prefix>.IzuManagementFacility.izuUsers	IZUADMIN IZUUSER	READ	ユーザーが z/OSMF にログオンし、ウェルカム・ページを表示できるようにします。
EJBROLE	<SAF-prefix>.IzuManagementFacilityHelpApp.izuUsers	IZUADMIN IZUUSER	READ	ユーザーが z/OSMF オンライン・ヘルプ・システムに接続できるようにします。
EJBROLE	<SAF-prefix>.IzuManagementFacilityImportUtility.izuUsers	IZUADMIN IZUUSER	READ	ユーザーが インポート・マネージャータスクを使って、サービス、イベント・タイプ、イベント・ハンドラーおよびリンクを z/OSMFにインポートすることを許可します。
EJBROLE	<SAF-prefix>.IzuManagementFacilityRestConsoles.izuUsers	IZUADMIN IZUUSER	READ	ユーザーがz/OS コンソール REST インターフェースに接続できるようにを許可します。
EJBROLE	<SAF-prefix>.IzuManagementFacilityRestFiles.izuUsers	IZUADMIN IZUUSER	READ	ユーザーがz/OS データ・セットおよびファイル REST インターフェースに接続できるようにを許可します。
EJBROLE	<SAF-prefix>.IzuManagementFacilityRestJobs.izuUsers	IZUADMIN IZUUSER	READ	ユーザーがz/OS ジョブ REST インターフェースに接続できるようにを許可します。
EJBROLE	<SAF-prefix>.IzuManagementFacilityTsoServices.izuUsers	IZUADMIN	READ	オペレーター・コンソール・タスクのユーザーに対して、シスプレックス内の他のシステム上のアドレス・スペースの開始または再接続を許可します。
EJBROLE	<SAF-prefix>.IzuManagementFacilityWorkflow.izuUsers	IZUADMIN IZUUSER IZUSECAD	READ	ユーザーが ワークフロー タスクに接続できるようにします。
EJBROLE	<SAF-prefix> .com.ibm.ws.management.security. resource.allAuthenticatedUsers	IZUADMIN IZUUSER	READ	ユーザーに対して、IBM Cloud Provisioning and Management for z/OS REST API に関する情報を表示することを許可します。 RESTサービスの詳細については、 IBM z/OS Management Facility Programming Guide.IBM z/OS Management Facility Programming Guideを参照してください。
FACILITY	BBG.SYNC.<SAF-prefix>	IZUSVR	CONTROL	z/OSMF サーバーが任意の RunAs ID を OS ID と同期できるようにします。
FACILITY	BPX.CONSOLE	IZUSVR	READ	ユーザーが z/OS UNIX メッセージをフィルターに掛けることができるようにします。 具体的には、この設定は、z/OSMFコンソールに書き込むすべてのオペレーターへの書き込み（WTO）メッセージからのBPXM023Iメッセージ接頭部を抑制します。
FACILITY	BPX.WLMSERVER	IZUSVR	READ	z/OSMF サーバーが WLM 機能を使用して作業要求を作成および管理できます。
FACILITY	HWI.APPLNAME.HWISERV	IZUADMIN	READ	管理者グループに対して、BCPii サービスへのアクセス権を付与します。
FACILITY	HWI.TARGET.<netid.nau>	IZUADMIN	READ	管理者に対して、CPC の BCPii 要求タイプへのアクセスを許可します。
FACILITY	HWI.TARGET.<netid.nau>.<imagename>	IZUADMIN	READ	管理者が LPAR の BCPii 要求タイプにアクセスできるようにします。
FACILITY	IRR.DIGTCERT.LISTRING	IZUSVR	READ	開始タスク・ユーザー ID が証明書鍵リングをリストし、取得できるようにします。
FACILITY	IRR.RUSERMAP	IZUSVR	READ	開始タスク・ユーザー ID が R_usermap サービスを使用できるようにします。 この許可は、z/OSMF 通知機能に必要です。 z/OSMF サーバーは、R_usermap サービスを使用して、RACF ユーザー ID に関連付けられているアプリケーション・ユーザー ID を判別したり、アプリケーション・ユーザー ID またはデジタル証明書に関連付けられている RACF ユーザー ID を判別したりします。
KEYRING	IZUKeyring.<SAF-prefix>	IZUSVR	N/A	セキュア通信に必要です。
OPERCMDS	MVS.MCSOPER.IZU@*	IZUADMIN IZUUSER	READ	ユーザーが拡張 MCS コンソールを操作できるようにします。
OPERCMDS	MVS.VARY.TCPIP.OBEYFILE	IZUSVR	CONTROL	z/OSMF サーバーが IBM クラウド・プロビジョニングに対して VARY TCPIP OBEYFILE コマンドを発行できるようにします。 この定義は、ご使用のシステムで VARY TCPIP OBEYFILE コマンドへのアクセスを制限するために OPERCMDS クラスを使用している場合にのみ適用されます。
OPERCMDS	MVS.MCSOPER.ZCDPLM*	IZUSVR	READ	z/OSMF サーバーが IBM クラウド・プロビジョニングに対して各種のオペレーター・コマンドを発行できるようにします。 この拡張 MCS コンソールのコンソール名は、テキスト・ストリング ZCDPLM に z/OSMF インスタンスのシステムの MVS sysclone 値が付加されたものです。
OPERCMDS	MVS.DISPLAY.XCF	IZUSVR	READ	z/OSMF サーバーが IBM クラウド・プロビジョニングに対して DISPLAY XCF オペレーター・コマンドを発行できるようにします。 この定義は、ご使用のシステムで DISPLAY XCF オペレーター・コマンドへのアクセスを制限するために OPERCMDS クラスを使用している場合にのみ適用されます。
OPERCMDS	MVS.ROUTE.CMD<sysname>	IZUSVR	READ	z/OSMFサーバーがIBM Cloud z/OSのプロビジョニングと管理のROUTEオペレーターコマンドを発行できるようにします。 この定義は、ご使用のシステムで ROUTE コマンドの使用を制限するためにこのプロファイルを使用している場合にのみ適用されます。
SERVAUTH	CEA.CEATSO.TSOREQUEST	IZUADMIN IZUUSER	READ	z/OS システム上の HTTP クライアント・ アプリケーションが TSO/E アドレス・スペースの起動と管理を行えるようにします。
SERVAUTH	CEA.CEATSO.TSOREQUEST	IZUSVR	READ	z/OSMF サーバー が TSO/E アドレス・スペース・サービスの起動と管理を行えるようにします。
SERVAUTH	CEA.SIGNAL.ENF83	IZUSVR	READ	z/OSMF サーバーがシスプレックス内の他のシステムにその状況を通知するために ENF83 を使用できるようにします。
SERVAUTH	EZB.INITSTACK.sysname.tcpname	IZUSVR	READ	z/OSMF サーバーが TCP/IP 初期化中に TCP/IP スタックにアクセスできます。 この許可は、TCP/IP プロファイルが Application Transparent Transport Layer Security (AT-TLS) を活動化する場合に必要です。
SERVAUTH	EZB.NETWORKUTILS.CLOUD.mvsname	IZUSVR	READ	z / OSMF開始タスクのユーザーIDがIBMCloudProvisioningのオペレーター・コマンドを発行できるようにします。 mvsnameは、z / OSMFサーバーが実行されているシステムの名前です。
SERVAUTH	EZB.NETSTAT.<mvsname>.<tcpname>	IZUSVR	READ	z/OSMF 開始タスク・ユーザー ID が NETSTAT コマンドを発行できるようにします。 そうでない場合、z/OSMF サーバーの初期設定は失敗します。 この定義は、ご使用のシステムで AT-TLS ポリシーを構成している場合にのみ適用されます。
SERVAUTH	EZB.NETSTAT.<mvsname>.<tcpprocname>.CONFIG	IZUSVR		Network Configuration Assistant タスクがコマンド NETSTAT CONFIGを発行できるようにします。 この定義は、ご使用のシステムで NETSTAT コマンドの使用を制限するために SERVAUTH クラスを使用している場合にのみ適用されます。 この定義が適用可能な場合、IZUSVRは、IBM Cloud z/OSのプロビジョニングと管理に対して定義されたスタックごとに許可しなければなりません。
SERVAUTH	EZB.NETSTAT.<mvsname>.<tcpprocname>.VIPADCFG	IZUSVR	READ	z/OSMF 開始タスク・ユーザー ID が NETSTAT VIPADCFG コマンドを発行できるようにします。 この定義は、ご使用のシステムで NETSTAT コマンドの使用を制限するために SERVAUTH クラスを使用している場合にのみ適用されます。 この定義が適用される場合、z/OSMF 開始タスクユーザー ID は、IBM クラウド・プロビジョニングに定義されている各スタックに対して許可されている必要があります。
SERVER	BBG.ANGEL	IZUSVR	READ	z/OSMF サーバーがエンジェル・プロセスにアクセスできるようにします。
SERVER	BBG.ANGEL.IZUANG1	IZUSVR	READ	z/OSMF サーバーに対して、z/OSMF 名前付きエンジェル・プロセスへのアクセスを許可します。
SERVER	BBG.ANGEL.proc-name	IZUSVR	READ	z/OSMF サーバーが z/OS 許可サービスを使用できます。
SERVER	BBG.AUTHMOD.BBGZSAFM	IZUSVR	READ	z/OSMF サーバーが SAF 許可レジストリーにアクセスできるようにします。
SERVER	BBG.AUTHMOD.BBGZSAFM.SAFCRED	IZUSVR	READ	z/OSMF サーバーが SAF 許可サービスにアクセスできるようにします。
SERVER	BBG.AUTHMOD.BBGZSAFM.TXRRS	IZUSVR	READ	z/OSMF サーバーがトランザクション・サービスにアクセスできるようにします。
SERVER	BBG.AUTHMOD.BBGZSAFM.ZOSDUMP	IZUSVR	READ	z/OSMF サーバーが SVC ダンプ・サービスにアクセスできるようにします。
SERVER	BBG.AUTHMOD.BBGZSAFM.ZOSWLM	IZUSVR	READ	z/OSMF サーバーが WLM サービスにアクセスできるようにします。
SERVER	BBG.SECCLASS.ZMFAPLA	IZUSVR	READ	z/OSMF サーバーが ZMFAPLA クラスの検査を許可できるようにします。
SERVER	BBG.SECPFX.<SAF-prefix>	IZUSVR	READ	z/OSMF サーバーが APPL-ID に対して認証呼び出しを行うことができるようにします。
STARTED	IZUINSTP.IZUINSTP	IZUADMIN	N/A	z/OSMF 従属アドレス・スペースの開始タスクを定義します。このタスクは、z/OS UNIX および TCP/IP が使用可能かどうかの判別に使用されます。 ジョブ名は IZUINSTP です。 これが行われない場合、z/OSMF 従属アドレス・スペースは z/OSMF 自動始動処理中に初期化されません。
STARTED	IZUSVR1.jobname	IZUADMIN	N/A	z/OSMF サーバー・プロセスの開始タスクを定義します。
STARTED	IZUANG1.jobname	IZUADMIN	N/A	z/OSMFエンジェルプロセスの開始タスクを定義します。
TSOAUTH	CONSOLE	IZUADMIN IZUUSER	READ	ユーザーが拡張 MCS コンソールを活動化するために TSO/E CONSOLE コマンドを発行できるようにします。
TSOPROC	IZUFPROC	IZUADMIN IZUUSER	READ	呼び出し元が、z/OSMF REST インターフェースのためのプロシージャーにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF	IZUADMIN IZUGUEST IZUUSER IZUSECAD	READ	認証されていないゲストユーザーではなく、ユーザーをz/OSMFユーザーとして指定します。 この権限は、ユーザーが z/OSMF にログインし、ようこそページを表示できるようにするための最小要件です。 この許可なしでは 、ログインしたユーザーは認証されたゲストとして扱われます。 この表で後に示す他の ZMFAPLA リソース名を使用して、コア機能とタスクごとに特定のコントロールを作成します。 表の注 1 および 2 を参照してください。
ZMFAPLA	<SAF-prefix>.ZOSMF.GENERAL.SETTINGS	IZUADMIN	READ	ユーザーが タスクの設定 タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.APPLINKING	IZUADMIN	READ	ユーザーが アプリケーション・リンク・マネージャー タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.DIAGNOSTIC_ASSISTANT	IZUADMIN	READ	ユーザーが z/OSMF 診断アシスタント タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.IMPORTMANAGER	IZUADMIN	READ	ユーザーが インポート・マネージャー タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.LINKSTASK	IZUADMIN	READ	ユーザーが リンク タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.LOGGER	IZUADMIN	READ	ユーザーが、 z/OSMF ログの動作と内容を制御する設定を管理できるようにします。 この機能は、サービス状態でのみ使用されます。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.UI_LOG _MANAGEMENT	IZUADMIN	READ	ユーザーが z/OSMF ロギングのユーザー・インターフェース (UI) 部分の動作を制御する設定を管理できるようにします。 この機能は、サービス状態でのみ使用されます。
ZMFAPLA	<SAF-prefix>.ZOSMF.ADMINTASKS.USAGESTATISTICS	IZUADMIN	READ	ユーザーが z/OSMFに関する使用統計を収集できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.linkName	IZUADMIN IZUUSER	READ	ユーザーがインストール・システムで指定されるリンクを表示できるようにします。 表の注 3 と 4 を参照してください。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.SHOPZSERIES	IZUADMIN IZUUSER	READ	ユーザーが ShopzSeries Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.SUPPORT_FOR_Z_OS	IZUADMIN IZUUSER	READ	ユーザーが Support for z/OS Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.SYSTEM_Z_REDBOOKS	IZUADMIN IZUUSER	READ	ユーザーが IBM Redbooks® Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.WSC_FLASHES _TECHDOCS	IZUADMIN IZUUSER	READ	ユーザーが WSC Flashes および Techdocs Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.Z_OS_BASICS _INFORMATION_CENTER	IZUADMIN IZUUSER	READ	ユーザーが z/OS Basic Skills Information Center Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.Z_OS_HOME_PAGE	IZUADMIN IZUUSER	READ	ユーザーが z/OS ホーム・ページ Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.LINK.Z_OS_INTERNET_LIBRARY	IZUADMIN IZUUSER	READ	ユーザーが z/OS ライブラリー Web サイトのリンクを表示できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.NOTIFICATION.MODIFY	IZUADMIN IZUUSER	READ	ユーザーが通知を構成できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.NOTIFICATION.SETTINGS	IZUADMIN IZUUSER	READ	ユーザーが z/OSMFからの通知を受信するためのメール・アカウントを定義できるようにします。 このアクションは、 z/OSMFの 通知設定 タスクによって実行されます。
ZMFAPLA	<SAF-prefix>.ZOSMF.NOTIFICATION.SETTINGS.ADMIN	IZUADMIN	READ	ユーザーに次のタスクへz/OSMFの 通知設定アクセスを許可します。
ZMFAPLA	<SAF-prefix>.ZOSMF.SEND.IBM.FEEDBACK	IZUADMIN IZUUSER	READ	z/OSMFデスクトップのIBMフィードバックの提供オプションを使って、ユーザーがフィードバック・データをIBMに送信できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.FTP_SERVERS	IZUADMIN IZUUSER	READ	ユーザーが FTP サーバー タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.FTP_SERVERS.VIEW	IZUADMIN IZUUSER	READ	ユーザーが FTP サーバー タスク ビュー 機能にアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.FTP_SERVERS.MODIFY	IZUADMIN	READ	ユーザーによるz/OSMF タスクの設定 タスク変更 機能へのアクセスを許可します。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.SYSTEMS	IZUADMIN IZUUSER	READ	ユーザーが システム タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.SYSTEMS.VIEW	IZUADMIN IZUUSER	READ	ユーザーが システム タスク ビュー 機能にアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SETTINGS.SYSTEMS.MODIFY	IZUADMIN	READ	ユーザーによるz/OSMF タスクの設定 タスク変更 機能へのアクセスを許可します。
ZMFAPLA	<SAF-prefix>.ZOSMF.VARIABLES.SYSTEM.ADMIN	IZUADMIN	READ	ユーザーが「Systems」タスク内のシステム変数にアクセスできます。
ZMFAPLA	<SAF-prefix>.ZOSMF.WORKFLOW.ADMIN	IZUADMIN	READ	ユーザーが、割り当てられているワークフロー所有者を変更できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.WORKFLOW.WORKFLOWS	IZUADMIN IZUSECAD IZUUSER	READ	ユーザーが z/OSMF ワークフロー タスクにアクセスできるようにします。 表の注 5 を参照してください。

1. 機能、タスク、およびリンクに対するユーザー許可は 、System Authorization Facility (SAF) プロファイル・プレフィックスによって制御されます。 デフォルトで、SAF プレフィックスは IZUDFLT です。
2. ユーザーが z/OSMFで作業するには、少なくともプロファイル<SAF-prefix>.ZOSMFへのREADアクセスが必要です。 この許可なしでは、ユーザーは認証されたゲストとして扱われます。 つまり、ユーザーは z/OSMF にログインして「ようこそ」ページを表示できますが、 z/OSMFz/OSMF の機能とタスクにアクセスできません。
3. デフォルトのz / OSMF構成では、すべてのユーザーに、ワイルドカード・プロファイルを介したすべてのリンクへの権限が付与されます： <SAF-prefix>.ZOSMF.LINK.* *
4. z/OSMFに追加するリンクには、SAF リソース名の接頭部を指定しなければなりません。 リンクに固有のリソース名を指定して、例えば、リンク名をリソース名の一部として組み込むことによって、特定のリンクへのアクセスを制御できます。 例えば、IZUDFLT.ZOSMF.LINK.mylink です。

   z/OSMFへのリンクの定義については、 z/OSMF へのリンクの追加を参照してください。

5. ワークフロータスクにアクセスできるユーザーは、ワークフロータスクに表示されているすべてのワークフローにアクセスできます。 デフォルトでは、 z/OSMF 定義のセキュリティー・グループ IZUADMIN、 IZUSECAD および IZUUSER には、 ワークフロー タスクへのアクセス権限があります。
6. インストールでz/OS統合暗号化サービス機能（ICSF）を使用したハードウェア暗号化を使用する場合、CSFRNGL、CSFDSV、CSFOWH、CSFIQFなどのサービスは、 RACFのような外部セキュリティー・マネージャーに確立されたプロファイルに保護される可能性があることに注意してください。 一部のケースでは、z/OSMF がこれらのサービスを使用します。このため、z/OSMF 開始タスクのユーザー ID に、これらのプロファイルに対する許可を与える必要があります。 詳しくは、ハードウェア暗号化に対する リソース許可を参照してください。
7. すべての z/OSMF ユーザーに対して、ご使用のシステム環境のセキュリティー・データベースで TSO セグメントが定義されている必要があります。 TSO セグメントを使わないと、一部の z/OSMF 機能が機能しなくなります。

ハードウェア圧縮に対するリソース許可

XAT1 IZUSVRU  IZUSVR1 RACF ACCESS violation for IZUSVRU: 
(READ,NONE) on FACILITY FPZ.ACCELERATOR.COMPRESSION 

このメッセージは無視して構いません。

ハードウェア暗号化に対する リソース許可

共通情報モデルのリソース許可

ご使用の z/OSMF 構成に、ホスト z/OS システム上の共通情報モデル (CIM) サーバーを使用するタスクが含まれている場合は、プラグインのユーザーには、CIM サーバー・リソースへの適切なレベルのアクセス権限が必要です。

CIM には、これらの許可を作成するのに役立つ CFZSEC ジョブが組み込まれています。 「z/OS Common Information Model User's Guide」の CIM サーバーのクイック・セットアップおよび検査に関するトピックを参照してください。 IBM は SYS1.SAMPLIB で CFZSEC ジョブを提供します。 インストールでCFZSECジョブの実行予定がない場合、z/OSMFワークロード管理ユーザー、サービス構成時のz/OSMFサーバーユーザーIDが、WBEMクラスのCIMSERVプロファイルへのUPDATEアクセス権を持つように確保してください。 必要であれば、WBEM クラスをリフレッシュします。

CIM 許可要件については、 ご使用のシステム用の CIM サーバーの構成を参照してください。

セキュリティー管理者はオプション・サービスの選択に基づき、IZUAUTH ジョブを使用して CIM グループ の名前を指定することができます。 これらの値には、CIM 管理者グループの名前 (デフォルトで CFZADMGP) および CIM ユーザー・グループの名前 (デフォルトで CFZUSRGP) が含まれます。 IZUAUTH ジョブは、ユーザーをグループに接続するためのコマンドを含んでいるため、これらのグループが存在することが必要です。

キャパシティー・プロビジョニング・マネージャーのリソース許可

z/OSMF 構成に キャパシティー・プロビジョニング サービスが含まれる場合、サービスのユーザーが、プロビジョニング・マネージャーによってアクセスされるすべてのリソースに対して定義され、許可される必要があります。 IBM は SYS1.SAMPLIB に CPOSEC1 および CPOSEC2 ジョブを用意しているので、キャパシティー・プロビジョニング・ドメインのセットアップ時にこれらの許可を作成するのに役立ちます。 詳しくは、「z/OS MVS Capacity Provisioning User's Guide」でキャパシティー・プロビジョニング・ドメインのセットアップに関するトピックを参照してください。

セキュリティー管理者は、IZUCPSEC ジョブを使用して、セキュリティー・グループの名前を指定することができます。このセキュリティー・グループは、システム上のプロビジョニング・マネージャーに対する許可をユーザーに与えるために、ご使用のシステムで作成されたものです。 IZUAUTH ジョブは、ユーザーをグループに接続するためのコマンドを含んでいるため、これらのグループが存在することが必要です。

共通イベント・アダプター (CEA) のリソース許可

ご使用の z/OSMF 構成に、z/OS ホスト・システム上の共通イベント・アダプター (CEA) コンポーネントを使用するタスクが含まれている場合は、サービスのユーザーには、CEA リソースへの適切なレベルのアクセス権限が必要です。 IBM は SYS1.SAMPLIB に CEASEC ジョブを用意しているので、これらの許可の作成に役立ちます。

CEA には、異なる部分の処理を保護するために、SERVAUTH クラスのセキュリティー・プロファイルがあります。 IZUILSECジョブを実行するときは、z/OSMFグループにCEAリソースへの許可を与えます。

詳しくは、 z/OS インストール計画のCEA のカスタマイズに関するトピックを参照してください。

z/OS コンソール REST インターフェースのリソース認証

また、z/OSMF 開始タスク・ユーザー ID (デフォルトでは IZUSVR) に、SERVAUTH クラスのリソース CEA.CEATSO.TSOREQUEST に対する READ アクセス権限が必要です。

COMMON_TSO ACCT(IZUACCT) REGION(50000) PROC(IZUFPROC)

z/OS コンソール REST インターフェースを使用する前に、設定が構成されていることを確認してください。 そうしないと、デフォルト値 (ここに示されている値) が使用されます。

z/OSMF によって開始される EMCS コンソールの属性は、ユーザー・プロファイル <consolename>のOPERPARM 設定値に制御されます。 したがって、例えば、ユーザーが z/OS オペレーター・コンソールに console1という名前のコンソールを作成する必要がある場合は、 console1 という名前のユーザー・プロファイルが存在し、該当する設定を持つ OPERPARM セグメントを含めなければなりません。

ほとんどのIBM Cloud z/OSのプロビジョニングと管理テンプレートは、defcn Console REST APIエンドポイントを使用します。これは、事前定義されたコンソール名を想定しています。 規則として、userid に「CN」を付加したものが使用されます。ここで、userid の値は、7 文字目以降は切り捨てられます。 例えば、ユーザー ID が IBMUSER の場合、defcn の値は IBMUSECN になります。

これらの属性の設定について詳しくは、SAMPLIB ジョブ IZUGCSEC および IZUPRSEC のコメント化されたセクションを参照してください。 ユーザー用の OPERPARM セグメントの作成については、「z/OS MVS 計画: 操作」を参照してください。

ローカル・システム (z/OSMF がインストールされているシステム) に加えて、ユーザーは、シスプレックス内の他のシステムでもシステム・コマンドを入力できます。 そのためには、ユーザーが OPERCMDS クラスのリソース MVS.ROUTE.CMD.<sysname>に対する READ アクセス権限を必要とします。

z/OS データ・セットおよびファイル REST インターフェースのリソース認証

z/OS データ・セットおよびファイル REST インターフェース サービスについては、 IBM z/OS Management Facility Programming Guideを参照してください。

z/OS ジョブ REST インターフェースのリソース認証

z/OS ジョブ REST インターフェース サービスについては、 IBM z/OS Management Facility Programming Guideを参照してください。

非同期で実行する場合、z/OS ジョブ REST インターフェースサービスでは、呼び出し元のユーザーIDがCIMサーバーに対して許可され、JES2-JES3JobsCIMプロバイダーに対して許可される必要もあります。 CIM は、セキュリティー許可およびファイル・システムのカスタマイズを含んだ CIM サーバーの構成で役立つジョブ (CFZSEC および CFZRCUST) を含んでいます。詳しくは、 z/OS Common Information Model User's GuideのCIM サーバーのクイック設定と検証に関するトピックを参照してください。 IBM は SYS1.SAMPLIB で CFZSEC ジョブを提供します。

キャパシティー・プロビジョニング サービスのリソース認証

Network Configuration Assistant サービスのリソース認証

インシデント・ログ サービスのリソース認証

ISPF サービスのリソース認証

リソース・モニター サービスのリソース認証

ソフトウェア・デプロイメント サービスのリソース認証

表 20. ソフトウェア・デプロイメント・サービスのセキュリティー・セットアップ要件

リソース・クラス	リソース名	アクセス権限が必要な対象者	必要なアクセス権限のタイプ	理由
EJBROLE	<SAF-prefix>.IzuManagementFacilitySoftwareDeployment.izuUsers	IZUADMIN IZUUSER	READ	ユーザーが ソフトウェア管理 タスクに接続できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SOFTWARE_DEPLOYMENT.SOFTWARE_ MANAGEMENT	IZUADMIN IZUUSER	READ	ユーザーが ソフトウェア管理 タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SOFTWARE_ DEPLOYMENT.DATA.objectType.objectSuffix objectType および objectSuffixに指定できる値については、「 ソフトウェア管理 タスクのアクセス制御の作成」を参照してください。	IZUADMIN IZUUSER	CONTROL	ユーザーが ソフトウェア管理 タスク・オブジェクトにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SOFTWARE_DEPLOYMENT.SOFTWARE_ MANAGEMENT.PRODUCT _INFO_FILE.RETRIEVE	IZUADMIN	READ	ユーザーが ソフトウェア管理 タスク 製品情報ファイルの取得 機能にアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SOFTWARE_DEPLOYMENT.SOFTWARE_ MANAGEMENT.CATEGORIES.MODIFY	IZUADMIN	READ	ユーザーが ソフトウェア管理 カテゴリーを追加、コピー、変更、削除できるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SOFTWARE_DEPLOYMENT.SOFTWARE_ MANAGEMENT.SWUPDATE	IZUADMIN IZUUSER	READ	ユーザーが ソフトウェアの更新 タスクにアクセスできるようにします。
UNIXPRIV	SUPERUSER.FILESYS.MOUNT	IZUADMIN IZUUSER	UPDATE	ユーザーに対して、現在マウントされていない UNIX ファイル・システムに存在するワークフロー定義ファイルから、ワークフロー・インスタンスを作成することを許可します。
UNIXPRIV	SUPERUSER.FILESYS.USERMOUNT	IZUADMIN, IZUUSER	READ	ユーザーが、デプロイメント Unzip ジョブとエクスポート・ジョブに作成、使用される一時ワークスペース UNIX ファイル・システム・データ・セットをマウントすることを許可します。 注: 以下に、 SUPERUSER.FILESYS.USERMOUNT (および SUPERUSER.FILESYS.MOUNT) リソースについての情報を表示できます。 https://www.ibm.com/docs/en/zos/2.4.0?topic=security-using-unixpriv-class-profiles
FACILITY	ステガミン .ADR.COPY.INCATステガティミン . アド・ド・ダンカト	IZUADMIN IZUUSER	READ	プログラム ADRDSSUのための COPY コマンドとDUMP コマンドへのユーザー・アクセスを許可します。 COPY コマンドとDUMP コマンドは、 ソフトウェア管理に生成されたデプロイメントとエクスポート JCL に使われます。 注: INCATは、ソースデータセットが現在アクティブなカタログ環境でカタログ化されていない場合にのみ使用されます。 これはありそうもないシナリオです。 表の注 1 を参照してください。

1. リソースプロファイルが定義されている場合、READアクセスが必要です。 リソース・プロファイルが定義されない場合、すべてのユーザーがそのリソースにアクセスできます。 具体的には、次のとおりです。
   • リソースのプロファイルが定義されない場合、ユーザーはそのリソースを使用できます。
   • リソースのプロファイルが定義され、ユーザーが少なくともREADアクセス権を持つ場合、ユーザーはそのリソースを使用できます。
   • リソースのプロファイルが定義され、そのユーザーが少なくともREADアクセス権を持たない場合、ユーザーはそのリソースを使用できません。

シスプレックス管理サービスのリソース許可

シスプレックス管理 サービスでは、z/OS システムのローカル・リソースへのアクセス権限が必要です。

表 21. シスプレックス管理 サービスの安全設定要件

リソース・クラス	リソース名	アクセス権限が必要な対象者	必要なアクセス権限のタイプ	理由
EJBROLE	<SAF-prefix>.IzuManagementFacilitySysplexManagement.izuUsers	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクに接続できるようにします。
FACILITY	MVSADMIN.XCF.CFRM	IZUADMIN	READ または UPDATE	ユーザーがCFRMポリシーエディターを使用してCFRMポリシーを編集できるようにします。 ポリシーを変更、維持する必要があるユーザーにUPDATEアクセス権限を割り当てます。 ポリシーを表示できるが、変更しないユーザーには、 READ アクセス権限を割り当てます。
SERVAUTH	CEA.XCF.CDS	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクのために結合データ・セットにアクセスできるようにします。
SERVAUTH	CEA.XCF.CF	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクのためにカップリング・ファシリティーにアクセスできるようにします。
SERVAUTH	CEA.XCF.FLOW.<sysname>	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクのためにリモート・システム上のシスプレックス・リソースにアクセスできるようにします。 sysplex内のシステムの8文字の<sysname>名に置き換えます。
SERVAUTH	CEA.XCF.STRUCTURE	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクのためにカップリング・ファシリティー構造にアクセスできるようにします。
SERVAUTH	CEA.XCF.SYSPLEX	IZUADMIN IZUUSER	READ	ユーザーがシスプレックス管理タスクのためにシスプレックスの一般情報とシステムにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SYSPLEX	IZUADMIN IZUUSER	READ	ユーザーが シスプレックス管理 タスクにアクセスできるようにします。
ZMFAPLA	<SAF-prefix>.ZOSMF.SYSPLEX.LOG	IZUADMIN または特定の z/OS ユーザー ID。	READ	ユーザーが シスプレックス管理 タスクを使ってコマンド・ログ・テーブルをクリーンアップし、クリーンアップ設定の指定を許可します。
ZMFAPLA	<SAF-prefix>.ZOSMF.SYSPLEX.MODIFY	IZUADMIN	READ	ユーザーが シスプレックス管理 タスクを使ってシスプレックス・リソースを変更できるようにします。 また、この許可により、ユーザーは、 CFRM ポリシー・エディターを使てシスプレックス CFRM 管理ポリシー情報を更新することもできます。

ワークロード管理 サービスのリソース認証

IBM zERT Network Analyzer サービスのリソース認証

IBM zERT Network Analyzer サービスは、機密ネットワーク・セキュリティー情報へのアクセスを提供します このデータの管理を許可されたユーザーのみがIBM zERT Network Analyzerサービスへのアクセスを許可されるべきです。 IZUNASEC ジョブには、グループ IZUZNA を作成するためのサンプル RACF コマンドが含まれます。 IZUZNA グループは、IBM zERT Network Analyzer サービスへのアクセスの制御に使う必要があります。

セキュリティー・チームは、既存のグループ名が優先されるかを確認することができます。 適切である場合は、指定された z/OSMF デフォルト・グループ名の代わりに既存のグループ名を使用できます。 たとえば、ネットワークセキュリティ管理者と連携しているグループがすでに存在した場合があります。 その場合、IBM zERT Network Analyzerサービスへのアクセスを有効にするデフォルトのグループであるIZUZNAの代わりに、そのグループを使用できます。

z/OS 管理サービス・カタログのリソース認証

z/OS管理サービス・カタログ のセキュリティー構成要件については、以下のセクションで説明しています。 これらのセクションでは、定義する必要のあるリソースと、リソースに許可する必要のあるグループについて説明します。 通常、これらの許可は、セキュリティー管理者が作成します。