セキュリティーに関する注意事項

ここでは、サポートされる接続と特権の要件について説明します。

サポートされる接続

Identity Manager は、SSL (Secure Sockets Layer) を使用して OS/400 アダプタと通信できます。その場合は、次の製品を実装してください。

• IBM iSeries Client Encryption ライセンスプログラム 5722-CE2 または 5722-CE3 の V5R1 以降のバージョンで提供される SSL オブジェクト。

このプログラムには、OS/400 リソース上の Java Toolbox を使用して Identity Manager から SSL 接続を行うのに必要な SSLight パッケージが含まれています。

必要な管理特権

このアダプタには、次の管理特権が必要です。

• CRT: OS/400 ユーザーを追加するために、管理者には、(1) *SECADM 特殊権限、(2) 初期プログラム、初期メニュー、ジョブ記述、メッセージキュー、出力キュー、およびアテンションキー処理プログラム (指定されている場合) に対する *USE 権限、(3) グループプロファイルと補足グループプロファイルが指定されている場合は、それらに対する *CHANGE 権限とオブジェクト管理権限が必要です。

• CHG: *SECADM 特殊権限、および変更されるユーザープロファイルに対する *OBJMGT 権限と *USE 権限が必要です。これらは、このコマンドを指定できます。現在のライブラリ、プログラム、メニュー、ジョブ記述、メッセージキュー、印刷デバイス、出力キュー、またはアテンションキー処理プログラムのパラメータを指定するには、これらに対する *USE 権限が必要です。

• DLT: ユーザーには、ユーザープロファイルに対する使用 (*USE) 権限とオブジェクト存在 (*OBJEXIST) 権限が必要です。ユーザーは、ユーザープロファイルに関連付けられ、所有されているメッセージキューを削除するために、存在、使用、および削除の権限を持っている必要があります。現在、ユーザーがユーザープロファイルに基づいて実行している場合や、ユーザープロファイルが何らかのオブジェクトを所有して OWNOBJOPT(*NODLT) が指定されている場合は、そのプロファイルを削除できません。あらかじめ、ユーザープロファイル内のすべてのオブジェクトを、オブジェクト所有者変更 (CHGOBJOWN) コマンドを使用して新しい所有者に転送するか、またはシステムから削除してください。OWNOBJOPT(*DLT) を指定してオブジェクトを削除する方法や、OWNOBJOPT(*CHGOWN user-profile-name) を指定して所有権を変更する方法もあります。ユーザーに許可された権限は、オブジェクト権限取り消し (RVKOBJAUT) コマンドによって明確に取り消す必要はありません。 ユーザープロファイルを削除したときに自動的に取り消されます。

• DSP: TYPE(*BASIC) と OUTPUT(*OUTFILE) を指定した場合にのみ、USRPRF(*ALL) または USRPRF(generic*-user-name) としてユーザー名を指定できます。