JES セキュリティのリソースクラス

次の表は、Enterprise Server で JES セキュリティのために使用される各デフォルトリソースクラスの名前、その説明、そのクラスに含まれるリソースエンティティのタイプ、およびユーザーがエンティティに対して必要とする最小限の権限を示しています。

DATASET

JES 関連	エンティティ	アクセスレベル
データセットの使用を制御します。ユーザーがデータセットへのアクセス権を持っていることを確認します。	ファイル	None、Read、Update、Alter
ESMAC のデータセットのリストへのアクセス以下の「DATASET 使用上の注意事項」セクションを参照してください。	nodename.userid	NONE アクセスは許可されません。 READ ユーザーはデータセットリストを表示できます。 UPDATE \| CONTROL \| ALTER ユーザーはデータセットを表示、削除、および作成できます。

JESINPUT

JES 関連	エンティティ	アクセスレベル
JES 入力デバイスを介してシステムに入力されたコマンドまたはジョブに対する条件付きアクセスのサポート。	INTRDR = JCL を実行した結果として内部読み取りプログラムを介してサブミットされたジョブ。 STCINRDR = CICS または IMS トランザクションの実行の結果として内部読み取りプログラムを介してサブミットされたジョブ。 TSUINRDR = ESMAC の JES の [Control] ページまたは cassub コマンドラインインターフェイス、あるいはその両方を介してサブミットされたジョブ。	None、Read

JES 関連

エンティティ

アクセスレベル

JES 入力デバイスを介してシステムに入力されたコマンドまたはジョブに対する条件付きアクセスのサポート。

INTRDR = JCL を実行した結果として内部読み取りプログラムを介してサブミットされたジョブ。

STCINRDR = CICS または IMS トランザクションの実行の結果として内部読み取りプログラムを介してサブミットされたジョブ。

TSUINRDR = ESMAC の JES の [Control] ページまたは cassub コマンドラインインターフェイス、あるいはその両方を介してサブミットされたジョブ。

None、Read

JESJOBS

JES 関連	エンティティ	アクセスレベル
ジョブ名によるジョブのサブミットおよびキャンセルの制御。	CANCEL `localnodeid.userid.jobname` (ジョブのキャンセル権限の場合) SUBMIT `localnodeid.jobname.userid` (ジョブのサブミットの場合) `localnodeid` は、エンタープライズサーバーの名前です。これらのルールは、一般的には使用されませんが、特殊な要件を持つ環境に対して細かな制御を提供します。	NONE アクセスは許可されません。 READ ユーザーはジョブをサブミットできます。 UPDATE READ と同等です。 CONTROL UPDATE と同等です。 ALTER ジョブをキャンセルできます。

JES 関連

エンティティ

アクセスレベル

ジョブ名によるジョブのサブミットおよびキャンセルの制御。

CANCEL: localnodeid.userid.jobname (ジョブのキャンセル権限の場合)
SUBMIT: localnodeid.jobname.userid (ジョブのサブミットの場合)

localnodeid は、エンタープライズサーバーの名前です。

これらのルールは、一般的には使用されませんが、特殊な要件を持つ環境に対して細かな制御を提供します。

NONE: アクセスは許可されません。
READ: ユーザーはジョブをサブミットできます。
UPDATE: READ と同等です。
CONTROL: UPDATE と同等です。
ALTER: ジョブをキャンセルできます。

JESSPOOL

JES 関連	エンティティ	アクセスレベル
JES スプール上のジョブデータセットへのアクセスの制御 (Joblog、SYSOUT、およびメッセージ)。	`localnodeid.userid.jobname.jobid.dsnumber.name` 詳細は次のとおりです。 localnodeid エンタープライズサーバーの名前 dsnumber ジョブの相対データセット番号 (001 など) name dd 名これらのルールは、一般的には使用されませんが、特殊な要件を持つ環境に対して細かな制御を提供します。	NONE アクセスは許可されません。 READ ユーザーはスプールデータセットを表示できますが、属性を変更することはできません。たとえば、OUTPUT コマンドで次のキーワードを使用できません。NOKEEP、NOHOLD、DELETE、NEWCLASS、および DEST。 UPDATE スプールデータセットを更新できます。 CONTROL UPDATE と同等です。 ALTER 削除や印刷を含む、TSO OUTPUT コマンドで指定された作用対象を使用できます。また、個別のプロファイルに対して指定する場合、ユーザーはプロファイル自体を変更できます。

JES 関連

エンティティ

アクセスレベル

JES スプール上のジョブデータセットへのアクセスの制御 (Joblog、SYSOUT、およびメッセージ)。

localnodeid.userid.jobname.jobid.dsnumber.name

詳細は次のとおりです。

localnodeid: エンタープライズサーバーの名前
dsnumber: ジョブの相対データセット番号 (001 など)
name: dd 名

これらのルールは、一般的には使用されませんが、特殊な要件を持つ環境に対して細かな制御を提供します。

NONE: アクセスは許可されません。
READ: ユーザーはスプールデータセットを表示できますが、属性を変更することはできません。たとえば、OUTPUT コマンドで次のキーワードを使用できません。NOKEEP、NOHOLD、DELETE、NEWCLASS、および DEST。
UPDATE: スプールデータセットを更新できます。
CONTROL: UPDATE と同等です。
ALTER: 削除や印刷を含む、TSO OUTPUT コマンドで指定された作用対象を使用できます。また、個別のプロファイルに対して指定する場合、ユーザーはプロファイル自体を変更できます。

PHYSFILE

JES 関連	エンティティ	アクセスレベル
物理ファイルの作成を制御します。以下の「PHYSFILE 使用上の注意事項」セクションを参照してください。	物理ファイル	None、Alter

SURROGAT

JES 関連	エンティティ	アクセスレベル
代理によるジョブのサブミットに対するアクセスを制御するための JES クラス。UserA がジョブをサブミットして UserB として実行するには、SURROGAT クラスの UserB.SUBMIT エンティティへの「Read」アクセス権が必要です。	`execution-userid` .SUBMIT たとえば、USERA が USERB の代理である場合、Enterprise Server では、USERA が SURROGAT クラスの USERB.SUBMIT エンティティに対する読み取りアクセス権を持っているかどうかをチェックします。	None、Read

DATASET 使用上の注意事項

データセット内のファイルへのアクセス権は、メインフレーム方言のコンパイラ指令が設定されている場合に適用されます。メインフレーム方言を使用していない場合にもセキュリティが適用されるようにするには、FCDCAT および ASSIGN"EXTERNAL" コンパイラ指令を設定し、SELECT 文でファイルが動的または静的に割り当てられていないことを確認します。

カタログを表示するには、ログオンしているユーザーが DATASET リソースへのアクセス権を持っている必要があります。これは、MSSDEMO.MyJESusr など、nodename.userid のリソース形式エントリで実現できます。

DATASET の LDIF 定義の例が es_default_ldap.ldf ファイルに含まれています。このファイルは、製品インストールディレクトリの bin (Windows) または etc (UNIX) ディレクトリにあります。

PHYSFILE 使用上の注意事項

PHYSFILE セキュリティクラスは、スプールファイルを含む、物理ファイルの作成を制御します。ファイルが作成または名前変更された際にチェックされます。PHYSFILE クラスが実装されている必要はなく、PHYSFILE クラスが存在しない場合はアクセスが許可されます。注意点として、この場合でも、アクセスチェックは行われますが (また、セキュリティ監査機能が有効になっている場合、セキュリティ構成で [Allow unknown resources] オプションが有効になっていない限り、アクセス拒否の監査レコードが生成されます)、JES エンジンでは、「リソースクラスが未定義のため拒否」というセキュリティ上の結果を「許可」という結果として処理します。

Micro Focus では、システムワーキングセット内の場所にのみデータセットが作成されるように、PHYSFILE ルールを実装してデータセットの作成場所を制限することを強くお勧めします。これにより、ユーザーは不適切な場所を指定できなくなります。

DATASET との関係

DATASET クラスは、データセットの読み取り、書き込み、作成、または削除といった特定の方法でユーザーがデータセットにアクセスできることを確認するために使用され、データセットにアクセスするたびにチェックされます。PHYSFILE クラスは、データセットの作成時にのみチェックされ、ユーザーがその場所にデータセットを作成できることを確認するために使用されます。

JESSPOOL との関係

スプールファイルもデータセットであり、その作成時に、JCL ジョブを実行しているユーザーが指定した場所にスプールファイルを作成できることを確認するために、PHYSFILE チェックが行われます。JESSPOOL セキュリティクラスは、ユーザーがジョブによって作成されたスプールファイルにアクセスできることを確認するために使用されます。

ジョブのサブミットおよび実行に使用されるユーザー ID には、ジョブログファイルを作成する権限が必要です。このファイルはスプールファイルの場所に作成されるスプールファイルであるため、この場所へのアクセスを許可する PHYSFILE ルールが必要になります。

PHYSFILE の LDIF 定義の例を次に示します。

Micro Focus では、すべてのユーザーが定義された領域にアクセスできるようにし、特定の領域を特定のユーザーに制限することを推奨しています。割り当てオーバーライドルールを PHYSFILE 設定と組み合わせて使用すると、カタログプロパティに基づいてデータセットが作成される場所、および作成する権限を持つユーザーを指定できます。

下の例では、すべてのデータセットが C:\WORKAREA というディスク上の領域に作成されると想定しています。特定の領域へのアクセスを許可するルールを定義すると、そのルールの対象とならない領域へのアクセスは暗黙的に拒否されることになります。

######################### 
# RACF Class = PHYSFILE # 
#########################
dn:CN=PHYSFILE, CN=PHYSFILE,CN=Enterprise Server Resources,CN=Micro Focus,CN=Program Data,DC=local
changetype: add
objectClass: top
objectClass: container 
description: JES Class for controlling access to physical files


################################### 
# ALLOW ALL USERS PERMISSION TO   #
# CREATE FILES IN THE DATA AREA   # 
###################################

dn:CN=C\3A\\WORKAREA\\DATA\\**,CN=PHYSFILE,CN=Enterprise Server Resources,CN=Micro Focus,CN=Program Data,DC=local
changetype: add
objectClass: microfocus-MFDS-Resource
microfocus-MFDS-Resource-Class: PHYSFILE
microfocus-MFDS-Resource-ACE: allow:*:alter
microfocus-MFDS-UID: no
description: Allow everyone permission to create a physical file in the DATA area

################################### 
# IF SPOOL FILES ARE HELD IN A    #
# DIFFERENT LOCATION ALLOW ALL    #
# USERS PERMISSION TO CREATE      #
# FILES IN THE SPOOL AREA         # 
###################################
dn:CN=C\3A\\WORKAREA\\SPOOL\\**,CN=PHYSFILE,CN=Enterprise Server Resources,CN=Micro Focus,CN=Program Data,DC=local
changetype: add
objectClass: microfocus-MFDS-Resource
microfocus-MFDS-Resource-Class: PHYSFILE
microfocus-MFDS-Resource-ACE: allow:*:alter
microfocus-MFDS-UID: no
description: Allow everyone permission to create job logs and spool fiels in the SPOOL area

#################################### 
# LIMIT ACCESS TO THE MFI01 FOLDER #
# TO AUTOUSER                         # 
####################################
dn:CN=C\3A\\WORKAREA\\MFI01\\**,CN=PHYSFILE,CN=Enterprise Server Resources,CN=Micro Focus,CN=Program Data,DC=local
changetype: add
objectClass: microfocus-MFDS-Resource
microfocus-MFDS-Resource-Class: PHYSFILE
microfocus-MFDS-Resource-ACE: allow:AUTOUSER:alter
microfocus-MFDS-UID: no
description: Allow AUTOUSER permission to create datasets in the MFI01 folder

##################################### 
# PHYSICAL FILES IN XYZ FOLDER      #
# THIS SHOWS RESTRICTING USE OF A   #
# FOLDER AND SUB-FOLDERS TO A GROUP #
#####################################
dn:CN=D\3A\\WORKAREA\\XYZ\\**,CN=PHYSFILE,CN=Enterprise Server Resources,CN=Micro Focus,CN=Program Data,DC=local
changetype: add
objectClass: microfocus-MFDS-Resource 
microfocus-MFDS-Resource-Class:PHYSFILE 
microfocus-MFDS-Resource-ACE: allow:ALLUSER group:alter
microfocus-MFDS-UID: mfuid

JES セキュリティのリソース クラス

DATASET 使用上の注意事項

PHYSFILE 使用上の注意事項

JES セキュリティのリソースクラス