FM/IMS 監査を制御するための代替手段

FM/IMS 監査はオプション機能です。この機能を実装することは必須ではありません。監査が実装されていなければ、FM/IMS が動作します。以下の事項を考慮する必要があります。

  • File Manager IMS™ コンポーネントを使用して IMS™ データベースにユーザーがアクセスするために監査が必要かどうか。
  • File Manager 監査ログ・レコードが提供できる情報。
  • File Manager 監査ログ・レコードが提供できない情報。その情報を得るために考えられる代替手段。
  • File Manager 監査を使用することにした場合に、大きな監査ログ・データ・セットに関する問題や追加 SMF レコードに関する問題を処理する方法。
  • File Manager 監査ログ・レコードにより提供された情報の使用方法。

ご使用のサイトで IMS™ データベースに対するユーザーの読み取りアクセスのレコードが必要な場合は、一部またはすべてのユーザーによるアクセスをログに記録するように RACF® などの外部セキュリティー製品を構成します。外部セキュリティー製品はよりよい代替手段と考えられます。

IMS™ データに対する読み取りアクセスの File Manager 監査では、セグメントが処理されるたびに監査ログ・レコードが作成されるのではなく、データベース名や処理セグメント数が監査ログに書き込まれます。

通常、IMS™ データに対する変更の File Manager 監査では、2 つのログ・レコード (変更前のセグメントと変更後のセグメント) が作成されます。多くの更新アクティビティーが実行される IMS™ データベースに対する変更をログに記録する予定の場合は、多くの監査ログ・レコードが作成されることでパフォーマンスに及ぼされる影響や、生成されることになる監査ログ・データ・セットのサイズを考慮する必要があります。

FM/IMS アクティビティーの監査を制御する方法について 2 つの選択肢があります。

FMN1POPT で制御される監査ロギングの使用
これは監査を制御するオリジナルの方式でした。この方式では、それ自体としては、限られた機能しか提供されません。

この方式で監査ロギングを制御するには、FM/IMS インストール・オプション・モジュールにおいて必要な監査設定を指定します。

FMN1POPT で制御される監査で使用可能な機能を要約した事項を以下に示します。

  • FM/IMS 編集機能は監査ロギング・サポートを提供しますが、その他の FM/IMS 機能は監査証跡を作成しません。
  • FM/IMS がアクセスする IMS™ サブシステムごとに異なる監査設定 (例えば、監査が必須であるかどうか) を指定できます。
  • いずれかの IMS™ サブシステムに指定された監査設定は、その IMS™ サブシステムにアクセスするすべての FM/IMS ユーザーに同じように適用されます。
  • いずれかの IMS™ サブシステムに指定された監査設定は、その IMS™ サブシステム内のすべてのデータベースに同じように適用されます。
  • 「Edit Entry (編集項目の入力)」パネルの「Create audit trail (監査証跡の作成)」オプションにより、ユーザーは監査ロギングが必須でないときに自分の編集セッションの監査ロギングを要求できます。
  • SMF またはユーザーの監査ログ・データ・セットへの監査ロギングを指定できますが、これはインストール済み環境全体の設定であるため、SMF へのロギングを指定して編集セッションの終了時に監査ログが印刷されるように要求した場合、ユーザーのログ・データ・セットと SMF の両方へのロギングのみを取得できます。
System Authorization Facility (SAF) で制御される監査ロギングの使用
この方法では、監査ロギングは、RACF® (または同等のセキュリティー製品) ならびにユーザーが定義する FACILITY および XFACILIT クラス・プロファイルによって制御されます。

SAF 規則で制御される監査で使用可能な機能を要約した事項を以下に示します。

  • IMS™ データベースにアクセスするすべての FM/IMS 機能は、監査ロギング・サポートを提供します。
  • FM/IMS がアクセスする IMS™ サブシステムごとに異なる監査設定 (例えば、監査が必須であるかどうか) を指定できます。
  • 別々の FM/IMS ユーザーに対して異なる監査設定を指定できます。
  • 別々のデータベースに対して異なる監査設定を指定できます。
  • FM/IMS 機能ごとに異なる監査設定を指定できます。
  • エントリーの編集で監査証跡を作成するオプションを使用するかどうかを制御できます。
    • 監査証跡が必須でないときに監査証跡を要求する。
    • 監査証跡が必須のときに作成中の監査証跡を停止する。
  • SMF への監査ロギング、ユーザーの監査ログ・データ・セットへの監査ロギング、または編集およびブラウズの場合に限り、セッションの終了時に監査ログの自動 (必須) 印刷を行うユーザーの監査ログ・データ・セットへの監査ロギングを指定できます。また、重複ロギング (ユーザーの監査ログ・データ・セットと SMF へのロギング) も指定できます。
考慮すべきその他の事項を以下に示します。
  • SMF への監査ロギングは追加のセットアップを必要としますが、ユーザーの監査ログ・データ・セットへの監査ロギングよりも信頼性が高く、安全な監査情報収集環境を提供します。
  • SMF またはユーザーのログ・データ・セットへの監査ログ・レコードの書き込みを試行して失敗した場合、FM/IMS 機能は終了します。
  • SAF 規則で制御される監査を実装する場合は、File Manager 監査を使用可能にする方法を決定する必要があります。これについて詳しくは、IMS コンポーネント用に File Manager 監査機能をカスタマイズを参照してください。代替手段は 2 つあります。その 1 つでは、監査を使用可能にする SAF 規則が必要であり、SYS1.PARMLIB に属するメンバーが存在していなければなりません。もう 1 つでは、監査を使用可能にする SAF 規則が必要ですが、SYS1.PARMLIB に属するメンバーは不要です。SYS1.PARMLIB に属するメンバーを使用する場合は、SYS1.PARMLIB を使用する必要がない代替手段に比べて追加機能を使用できます。その追加機能については、PARMLIB メンバーで指定されている File Manager オプションを参照してください。

ご使用のインストール済み環境に適した監査タイプを決定したら、IMS コンポーネント用に File Manager 監査機能をカスタマイズの関連手順に従います。