Liberty for z/OS での z/OS 許可サービスの使用可能化

z/OS® 上の Liberty は、System Authorization Facility (SAF) 許可、ワークロード・マネージャー (WLM)、リソース・リカバリー・サービス (RRS)、および SVCDUMP の z/OS 許可サービスをアプリケーションが利用できるようにします。 アプリケーションでこれらのサービスが必要な場合は、 Liberty エンジェル・プロセスをセットアップし、これらのサービスを使用するためのアクセス権限を Liberty サーバーに付与します。

このタスクについて

z/OS 許可サービスを使用するために、 RACF®などの SAF セキュリティー製品を使用して、以下のタイプのプロファイルをセットアップできます。
  • SAF STARTED プロファイルは、 Liberty サーバーまたは Liberty エンジェル・プロセスを z/OS 開始タスクとして実行する予定の場合に必要です。 Liberty エンジェル・プロセスについて詳しくは、 z/OSを参照してください。
  • Liberty サーバーがアプリケーションのいずれかの z/OS 許可サービスにアクセスする予定の場合は、SAF SERVER プロファイルが必要です。 各サービスについての説明については、以下の内容をご覧ください。
注: Liberty サーバーを開始タスクとして実行する予定がなく、許可されたサービスのいずれも使用する予定がない場合は、 RACF をセットアップする必要はありません。

手順

  • ユーザー WLPUSER0 および WLPUSER1の STARTED プロファイルの作成
    • エンジェル・プロセスおよび Liberty サーバー・プロセスの PROC の STARTED プロファイルを作成します。 このアクションにより、エンジェルおよび Liberty サーバーを「開始済みタスク」として実行できるようになります。
      • エンジェルがユーザー ID WLPUSER0 で実行されるようにするには、以下のようにします。
        rdef started bbgzangl.* uacc(none) stdata(user(WLPUSER0) group(wasuser) privileged(no) trusted(no) trace(yes))
      • BBGZSRV というプロシージャー名で実行されるサーバーがユーザー ID WLPUSER1 で実行されるようにするには、以下のようにします。
        rdef started bbgzsrv.* uacc(none) stdata(user(WLPUSER1) group(wasuser) privileged(no) trusted(no) trace(yes))
    • エンジェル・プロセス用の SERVER プロファイルを作成し、プロファイルに対してユーザー ID WLPUSER1 を許可します。
      このアクションにより、エンジェル・プロセスへのアクセス権限が Liberty サーバーに付与されます。これは、 z/OS 許可サービスに必要です。 名前のないエンジェル・サーバー・プロファイルを作成し、WLPUSER1 として実行されているサーバーがそのエンジェル・サーバーに接続できるようにするには、次のコマンドを使用します。
      RDEF SERVER BBG.ANGEL UACC(NONE)
PERMIT BBG.ANGEL CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      名前付きのエンジェル・サーバー・プロファイルを作成し、WLPUSER1 として実行されているサーバーがそのエンジェル・サーバーに接続できるようにするには、次のコマンドを使用します。
      RDEF SERVER BBG.ANGEL.namedAngelName UACC(NONE)
PERMIT BBG.ANGEL.namedAngelName CLASS(SERVER) ACCESS(READ) ID(WLPUSER1)
      namedAngelName 変数に指定するプロファイル名は、新しいエンジェルの名前です。
      ヒント: BBG.ANGEL.* 1 つのユーザー ID に複数のエンジェルへのアクセス権限を付与します。
  • 許可されたモジュール BBGZSAFM 用の SERVER プロファイルを作成します。
    • 許可モジュール BBGZSAFM 用の SERVER プロファイルを作成し、そのプロファイルに対して Liberty サーバーの開始タスク・ユーザー ID を許可します。 このアクションにより、 Liberty サーバーで z/OS 許可サービスを使用できるようになります。 WLPUSER1 として実行されているサーバーが、許可されたモジュールにアクセスできるようにするには、次のようにします。
      RDEF SERVER BBG.AUTHMOD.BBGZSAFM UACC(NONE)
PERMIT BBG.AUTHMOD.BBGZSAFM CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
    • z/OS オペレーティング・システム用に提供されている個々の許可サービスの SERVER プロファイルを作成します。 これらのプロファイルにより、サーバーが、許可された個別のサービスを呼び出せるようになります。これらのサービスは、以下のように、機能別にグループ化されています。
      • SAF 許可ユーザー・レジストリー・サービスおよび SAF 許可サービス (SAFCRED) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.SAFCRED UACC(NONE)      
PERMIT BBG.AUTHMOD.BBGZSAFM.SAFCRED CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      • WLM サービス (ZOSWLM) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.ZOSWLM UACC(NONE)      
PERMIT BBG.AUTHMOD.BBGZSAFM.ZOSWLM CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      • RRS トランザクション・サービス (TXRRS) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.TXRRS UACC(NONE)      
PERMIT BBG.AUTHMOD.BBGZSAFM.TXRRS CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      • SVCDUMP サービス (ZOSDUMP) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.ZOSDUMP UACC(NONE)      
PERMIT BBG.AUTHMOD.BBGZSAFM.ZOSDUMP CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      • 最適化されたローカル・アダプター・サービスを使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.LOCALCOM UACC(NONE)
PERMIT BBG.AUTHMOD.BBGZSAFM.LOCALCOM CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
RDEF SERVER BBG.AUTHMOD.BBGZSAFM.WOLA UACC(NONE)
PERMIT BBG.AUTHMOD.BBGZSAFM.WOLA CLASS(SERVER)ACCESS(READ) ID(wlpuser1)
      • IFAUSAGE サービス (PRODMGR) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.PRODMGR UACC(NONE)      
PERMIT BBG.AUTHMOD.BBGZSAFM.PRODMGR CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      • AsyncIO サービス (ZOSAIO) を使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSAFM.ZOSAIO UACC(NONE) 
PERMIT BBG.AUTHMOD.BBGZSAFM.ZOSAIO CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
      注: サーバーの始動時に、Liberty はすべての許可サービスのアクセスを検査します。 エンジェル PROC で SAFLOG=Y JCL パラメーターを指定すると、サーバーでの使用が許可されていないすべての許可サービスに対して SAF エラー・メッセージが表示されます。
  • 許可されたクライアント・モジュール BBGZSCFM 用の SERVER プロファイルを作成します。
    • 許可されたクライアント・モジュール BBGZSCFM 用の SERVER プロファイルを作成し、 Liberty サーバーの開始タスク・ユーザー ID をそのプロファイルに対して許可します。 このアクションにより、 Liberty サーバーが z/OS 許可クライアント・サービスをロードできるようになります。
      WLPUSER1 として実行されているサーバーが、許可されたクライアント・モジュールにアクセスできるようにするには、次のようにします。
      RDEF SERVER BBG.AUTHMOD.BBGZSCFM UACC(NONE)
PERMIT BBG.AUTHMOD.BBGZSCFM CLASS(SERVER) ACCESS(READ) ID(wlpuser1)
    • z/OS オペレーティング・システム用に提供されている個々の許可クライアント・サービスの SERVER プロファイルを作成します。 これらのプロファイルにより、クライアントは、サーバーによって提供されている許可された個別のサービスを呼び出すことができます。
      これらのサービスは、以下のように、機能別にグループ化されています。
      • 最適化されたローカル・アダプター・サービスを使用可能にするには、次のようにします。
        RDEF SERVER BBG.AUTHMOD.BBGZSCFM.WOLA UACC(NONE)
PERMIT BBG.AUTHMOD.BBGZSCFM.WOLA CLASS(SERVER) ACCESS(READ) ID(wlpuser1)