FM/Db2 が監査ログ・レコードを書き込むかどうかを判断する方法
特定の FM/Db2 機能および指定された TSO ログオン ID について、監査レコードを書き込むかどうかの判断は、以下の 3 ステップのプロセスに従って行われます。
- ステップ 1。
- 監査が parmlib によって制御される場合、FMN2PARM メンバーの FMNAUDIT 指定は次のように使用されます。
FMN2PARM メンバー (SYS1.PARMLIB または論理 parmlib 連結のその他のライブラリー) の FMAUDIT 指定設定が、SAF 規則で制御される監査の「メイン」のスイッチです。TSO ログオン ID ごとに異なる FMN2PARM メンバー設定を指定できる機能があることに注意してください。詳しくは、PARMLIB メンバーで指定されている File Manager オプションを参照してください。TSO ログオン ID ごとに、2 とおりの設定が可能です。
- SAF_CTRL=NO
- SAF 規則で制御される監査が有効ではありません。監査は、FMN2POPT モジュールの設定によって決まります。FM/Db2 監査機能のカスタマイズを参照してください。
- SAF_CTRL=YES
- SAF 規則で制御される監査が有効です。処理はステップ 2 に続きます。
- 論理 parmlib 連結にアクセスしない方法を使用して監査が制御される場合、TSO ログオン ID には SAF FACILITY 規則 FILEM.SAFAUDIT.DB2 への READ アクセス権限があります。処理はステップ 2 に続きます。
- 監査が parmlib によって制御される場合、FMN2PARM メンバーの FMNAUDIT 指定は次のように使用されます。
- ステップ 2.
ユーザーに、監査レコードを書き込むアクセス権限があるか。
これは、FM/Db2 監査 FACILITY クラス・リソース名 の規則 1 および 2 に対するユーザーのアクセス権限で判断されます。さまざまな結果を ユーザーが監査ログ・レコードを書き込めるかどうかの判断 にまとめます。表 1. ユーザーが監査ログ・レコードを書き込めるかどうかの判断 この表には 6 つの列があります。
TODSN アクセス1 TOSMF アクセス2 OPTION アクセス3 監査レコードを書き込めるか 要求ロギングか 監査証跡の作成オプション4 NONE NONE ANY なし なし 非表示 READ NONE NONE はい、データ・セットのみ なし 非表示 READ NONE READ はい、データ・セットのみ なし 表示可能 UPDATE NONE NONE はい、データ・セットのみ あり 非表示 UPDATE NONE READ はい、データ・セットのみ あり 表示可能 NONE READ NONE はい、SMF のみ なし 非表示 NONE READ READ はい、SMF のみ なし 表示可能 READ READ NONE はい、受け入れ先データ・セットおよび SMF なし 非表示 READ READ READ はい、受け入れ先データ・セットおよび SMF なし 表示可能 UPDATE READ NONE はい、受け入れ先データ・セットおよび SMF あり 非表示 UPDATE READ READ はい、受け入れ先データ・セットおよび SMF あり 表示可能 ユーザーが監査ログ・レコードを書き込めない場合、ステップ 3 の SAF リソース名の確認は行われません。
ステップ 2 の監査ログ・レコードを書き込むユーザーのアクセス権限は、監査が行われる可能性があることを示すだけです。最終的には、特定の FM/Db2 機能に適用される XFACILIT リソース名 (複数可) に対するユーザーのアクセス・レベルによって決定されます。
- ステップ 3.
ユーザーに、現行機能の監査レコードを書き込むアクセス権限があるか。
FM/Db2 で、監査レコードを書き込むかどうかの判断に使用される XFACILIT リソース名は、実行中の FM/Db2 機能に依存します。
各 FM/Db2 機能で発行できる SQL ステートメントおよび Db2® コマンドのタイプをDb2 機能で発行される SQL (および FM/Db2) ステートメント に示します。
さまざまな SQL ステートメントまたは Db2® コマンドと XFACILIT リソース名との関係をSQL ステートメント・タイプと SAF リソース名との関係に示します。
| FM/Db2 機能 | オプション番号 | SQL/DB2 ステートメント |
|---|---|---|
| ブラウズ | B | SELECT |
| 表示 | 1 | SELECT |
| 編集 | 2 | SELECT、DELETE、INSERT、UPDATE |
| 印刷 | 3.1 | SELECT |
| Db2® オブジェクト | 3.2 | CREATE、DROP |
| コピー | 3.3 | SELECT (ソース・オブジェクト) |
| オブジェクト・リスト | 3.4 | DROP、GRANT、REVOKE、FREE、BIND、REBIND |
| オブジェクト特権 | 3.5 | GRANT、REVOKE |
| インポート | 3.6 | DELETE、INSERT、UPDATE |
| エクスポート | 3.7 | SELECT |
| 作成 | 3.8 | INSERT |
| 基本選択プロトタイピング | 4.1 | SELECT (任意のエディター・モード)、DELETE、INSERT、および UPDATE (「Arbitrary SQL Select Statements (任意 SQL SELECT ステートメント)」のエディター・オプションが編集用に設定されている場合のみ) |
| 拡張選択プロトタイピング | 4.2 | SELECT (任意のエディター・モード)、DELETE、INSERT、および UPDATE (「Arbitrary SQL Select Statements (任意 SQL SELECT ステートメント)」のエディター・オプションが編集用に設定されている場合のみ) |
| SQL の入力、実行、説明 | 4.3 | SELECT ステートメントについては、「基本選択プロトタイピング」に準じる。発行可能なその他の任意の SQL ステートメント |
| SQL の編集/実行 (データ・セット) | 4.4 | SELECT ステートメントについては、「基本選択プロトタイピング」に準じる。発行可能なその他の任意の SQL ステートメント |
| Db2® コマンド | 6 | -ACCESS |
| SQL ステートメント・タイプ | 監査リソース名接尾部5 |
|---|---|
| ALTER | DDL.<object_type>6 |
| COMMENT | OTHER.ADHOCSQL |
| COMMIT | OTHER.ADHOCSQL |
| 作成 | DDL.<object_type>6 |
| DELETE | UPDATE.ADHOCSQL |
| DROP | DDL.<object_type>6 |
| EXCHANGE | OTHER.ADHOCSQL |
| EXPLAIN | OTHER.ADHOCSQL |
| GRANT | AUTH.<auth_type>7 |
| INSERT | UPDATE.ADHOCSQL |
| LABEL | OTHER.ADHOCSQL |
| ロック | OTHER.ADHOCSQL |
| MERGE | OTHER.ADHOCSQL |
| REFRESH | OTHER.ADHOCSQL |
| RENAME | DDL.<object_type>6 |
| 消去 | AUTH.<auth_type>7 |
| ROLLBACK | OTHER.ADHOCSQL |
| SELECT |
READ.<object>8 |
| SET | OTHER.ADHOCSQL |
| TRUNCATE | UPDATE.ADHOCSQL |
| UPDATE | UPDATE.ADHOCSQL |
一部の FM/Db2 機能では、監査ログ・レコードを書き込むかどうかを判断するために、検査する必要がある SAF XFACILIT 規則が 1 つだけです。例えば、単一の Db2® オブジェクトを READ または UPDATE モードで処理する FM/Db2 エディターが当てはまります。
その他の FM/Db2 機能では、複数の SAF XFACILIT 規則が検査されます。
例 1: FM/Db2 コピー・ユーティリティー
- READ アクセスの監査レコードをソース Db2® オブジェクトに書き込むためのアクセス権限が検査されます。
- UPDATE アクセスの監査レコードをターゲット Db2® オブジェクトに書き込むためのアクセス権限が検査されます。
Example 2: FM/Db2 SQL の編集/実行 (データ・セット) ユーティリティー
このユーティリティーを使用して、データ・セットにコーディングされている SQL ステートメントを実行できます。FM/Db2 は、データ・セットの各 SQL ステートメントが実行されるときに、監査レコードを書き込むためのアクセス権限を検査し、監査レコードは適切に書き込まれます (または書き込まれません)。