HP OpenVMS Systems Documentation |
| 前へ | 次へ | 目次 | 索引 |
ソース・オブジェクトのオブジェクト・クラスが,ターゲット・オブジェクトの省略時の設定のクラスになります。 /CLASS 修飾子が指定されない場合,CLASS キーワードは FILE になります。
PROFILE キーワードは機密クラスオブジェクトに適用され,どのテンプレートをコピーし変更するかを指定します。 /PROFILE 修飾子を参照してください。
オブジェクトの所有者を変更します。標準形式の UIC か一般識別子を指定します。通常特権が必要となります。詳細は『OpenVMS システム・セキュリティ・ガイド』を参照してください。
オブジェクトの保護コードを修正します。保護コードは,ユーザのアクセスが許可されるタイプをオブジェクトの所有者への関係に基づいて定義します。
所有者 パラメータを,システム(S),オーナ(O),グループ(G),またはワールド (W) として指定します。
アクセス・タイプはクラス固有です。詳細は説明セクションの記述を参照してください。 アクセス には,アクセス名の最初の文字を指定します。保護コードの指定例は,例セクションを参照してください。
時刻指定の詳細は,『OpenVMS ユーザーズ・マニュアル』,またはオンライン・ヘルプのトピック Date を参照してください。
この修飾子のキーワードは CONDENSED および EXPANDED です。意味は次の表のとおりです。
| キーワード | 説明 |
|---|---|
| CONDENSED
(省略時の設定) |
ファイル名を 255 文字長の文字列に適合するように表示します。このファイル名の場合,ファイル指定に DID あるいは FID 短縮形を含むことが可能です。 |
| EXPANDED | ファイル名をディスクに格納されているとおりに表示します。このファイル名の場合,ファイル指定に DID あるいは FID 短縮形は含みません。 |
キーワード CONDENSED と EXPANDED を同時に指定することはできません。この修飾子は,確認が要求された場合に,出力メッセージに表示されるファイル名の書式を指定します。
EXPANDED キーワードが指定されていない場合,ファイル・エラーは CONDENSED ファイル指定で表示されます。
詳細は『OpenVMS システム管理者マニュアル (上巻)』を参照してください。
| #1 |
|---|
$ SHOW SECURITY LNM$GROUP /CLASS=LOGICAL_NAME_TABLE
LNM$GROUP object of class LOGICAL_NAME_TABLE
Owner: [SYSTEM]
Protection: (System: RWCD, Owner: R, Group: R, World: R)
Access Control List:
(IDENTIFIER=[USER,VARANESE],ACCESS=CONTROL)
$ SET SECURITY LNM$GROUP /CLASS=LOGICAL_NAME_TABLE -
_$ /ACL=((IDENTIFIER=CHEKOV,ACCESS=CONTROL), -
_$ (IDENTIFIER=WU,ACCESS=READ+WRITE)) -
_$ /DELETE=ALL -
_$ /PROTECTION=(S:RWCD, O:RWCD, G:R, W:R)
$ SHOW SECURITY LNM$GROUP /CLASS=LOGICAL_NAME_TABLE
LNM$GROUP object of class LOGICAL_NAME_TABLE
Owner: [SYSTEM]
Protection: (System: RWCD, Owner: RWCD, Group: R, World: R)
Access Control List:
(IDENTIFIER=[USER,CHEKOV],ACCESS=CONTROL)
(IDENTIFIER=[USER,WU],ACCESS=READ+WRITE)
|
この例は,直接オブジェクトの機密保護要素を変更する方法を示しています。最初の SHOW SECURITY コマンドで論理名テーブル LNM$GROUP の設定を確認し,次の SET SECURITY コマンドでユーザ Chekov に制御アクセス権を与え,ユーザ Wu に読み取り/書き込みアクセス権を与えています。 /DELETE=ALL 修飾子を指定しない場合は,これらの ACE は既存のものを置き換えるのではなく追加されるので注意してください。また,保護コードも所有者に読み込み,書き込み,作成,削除の各アクセスを許可するよう変更しています。最後のコマンドで変更を確認しています。
| #2 |
|---|
$ SHOW SECURITY LNM$GROUP /CLASS=LOGICAL_NAME_TABLE
LNM$GROUP object of class LOGICAL_NAME_TABLE
Owner: [SYSTEM]
Protection: (System: RWCD, Owner: R, Group: R, World: R)
Access Control List:
(IDENTIFIER=[USER,FERNANDEZ],ACCESS=CONTROL)
$ SHOW SECURITY LNM$JOB /CLASS=LOGICAL_NAME_TABLE
LNM$JOB object of class LOGICAL_NAME_TABLE
Owner: [USER,WEISS]
Protection: (System: RWCD, Owner: RWCD, Group, World)
Access Control List: <empty>
$ SET SECURITY LNM$JOB /CLASS=LOGICAL_NAME_TABLE -
_$ /LIKE=(NAME=LNM$GROUP, CLASS=LOGICAL_NAME_TABLE) -
_$ /COPY_ATTRIBUTES=PROTECTION
$ SET SECURITY LNM$JOB /CLASS=LOGICAL_NAME_TABLE -
_$ /ACL=(IDENTIFIER=FERNANDEZ, ACCESS=READ)
$ SHOW SECURITY LNM$JOB /CLASS=LOGICAL_NAME_TABLE
LNM$JOB object of class LOGICAL_NAME_TABLE
Owner: [USER,WEISS]
Protection: (System: RWCD, Owner: R, Group: R, World: R)
Access Control List:
(IDENTIFIER=[USER,FERNANDEZ],ACCESS=READ)
|
この例は,機密アクセス情報をコピーすると同時に,明示的に機密保護要素を設定する方法を示しています。最初の SHOW SECURITY コマンドで論理名テーブル LNM$GROUP と LNM$JOB の設定を確認しています。次の SET SECURITY コマンドで保護コードを LNM$GROUP から LNM$JOB へコピーし,一人のユーザに読み込みアクセス権を与える ACE を追加しています。最後のコマンドで変更を確認しています。
| #3 |
|---|
$ SHOW SECURITY SECURITY_CLASS /CLASS=SECURITY_CLASS
SECURITY_CLASS object of class SECURITY_CLASS
Owner: [SYSTEM]
Protection: (System: RWED, Owner: RWED, Group: R, World: R)
Access Control List: <empty>
Template: DEFAULT
Owner: [SYSTEM]
Protection: (System: RWED, Owner: RWED, Group, World: RE)
Access Control List: <empty>
$ SET SECURITY SECURITY_CLASS /CLASS=SECURITY_CLASS -
_$ /PROFILE=TEMPLATE=DEFAULT -
_$ /PROTECTION=(S:RWE, O:RWE, G:RE)
$ SHOW SECURITY SECURITY_CLASS /CLASS=SECURITY_CLASS
SECURITY_CLASS object of class SECURITY_CLASS
Owner: [SYSTEM]
Protection: (System: RWED, Owner: RWED, Group: R, World: R)
Access Control List: <empty>
Template: DEFAULT
Owner: [SYSTEM]
Protection: (System: RWE, Owner: RWE, Group: RE, World: RE)
Access Control List: <empty>
|
この例は,機密クラス・オブジェクトのテンプレートを変更する方法を示しています。最初のコマンドで SECURITY_CLASS オブジェクトの設定を確認しています。次のコマンドで「 DEFAULT 」テンプレートの保護コードを (S:RWE, O:RWE, G:RE) に変更しています。最後のコマンドで変更を確認しています。 World:RE の保護コードは変更されていません。
| #4 |
|---|
$ DIRECTORY/SECURITY Directory DKA200:[DATA] FILE001.DAT;1 [SYSTEM] (RWED,RWED,RE,) Total of 1 file. $ SET SECURITY/CLASS=FILE/PROTECTION=(WORLD:RE)/LOG FILE001.DAT %SET-I-MODIFIED, DKA200:[DATA]FILE001.DAT;1 modified $ DIRECTORY/SECURITY Directory DKA200:[DATA] FILE001.DAT;1 [SYSTEM] (RWED,RWED,RE,RE) Total of 1 file. $ |
この例は,オブジェクトに UIC ベースの保護コードを設定する方法を示しています。最初の DIRECTORY コマンドで,FILE001.DAT ファイルの現在の保護設定を表示します。 SET SECURITY コマンドで,そのファイルの保護コードを変更して,すべてのユーザに対して読み込みおよび実行アクセスを可能としています。最後のコマンドで,変更結果を表示します。
ACME サーバを制御します。SYSPRV 特権が必要です。
SET SERVER ACME_SERVER
SET SERVER ACME_SERVER コマンドは,システム管理者に ACME (Authentication and Credential Management Extension) サーバ・プロセス ACME_SERVER を管理するための手段を提供します。このコマンドを指定することによって, ACME サーバの起動,停止,および再起動を行うことができます。ACME_SERVER プロセスは,独立したカーネル・スレッド・サーバ・プロセスであり,ユーザ認証要求を処理します。これらの要求は,SYS$ACM システム・サービスを使用しているクライアント・プロセスから送られます。 1 つ以上の ACME エージェントが,これらの要求の処理を支援します。 ACME エージェントは, ACME_SERVER プロセス内で動的に起動される共有イメージです。
ACME_SERVER プロセスは,システム起動時に自動的に作成され, VMS ACME エージェントが構成され,有効になります。
省略時には, ACME_SERVER プロセスは SYSTEM アカウント・プロファイル ([1,4]) の下で実行され, IMPERSONATE,SYSNAM,PSWAPM,SHARE,TMPMBX, EXQUOTA,AUDIT,CMKRNL,WORLD,および SETPRV 特権を持ちます。
ACME_SERVER プロセスの作成時には,以下のクォータが割り当てられます。
ASTLM = 200 BIOLM = 200 BYTLM = 100000 DIOLM = 200 ENQLM = 1000 FILLM = 64 JTQUOTA = 4096 PGFLQUOTA = 200000 (Alpha) PGFLQUOTA = 300000 (I64) PRCLM = 4 TQELM = 64 WSQUOTA = 2048 WSDEFAULT = 1024 WSEXTENT = 4096
省略時の UIC,特権,およびクォータは,サーバの起動時に変更することができます。
プロセスが異常終了すると,サーバは自動的に再起動して, SYS$MANAGER:ACME$START.COM コマンド・プロシージャを実行します。このファイルは,エグゼクティブ・モードの論理名 ACMS$START を使って検索されます。
次のいずれかのコマンドの結果として,SYS$MANAGER:ACME$START.COM も実行されます。
- SET SERVER ACME/START=AUTO コマンドが実行された。
- SET SERVER ACME/RESTART コマンドが実行された。
SYS$MANAGER:ACME$START.LOG ファイルには,障害時の再起動中に生成された情報が記録されています。
ユーザは,SYS$MANAGER:ACME$START.COM ファイルを変更して,再起動中に構成するエージェントや,その他のサーバ構成オプションを定義することができます。このファイルは,システムのアップグレードの際には置き換えられません。弊社が用意したファイルは, SYS$MANAGER:ACME$START.TEMPLATE というファイルに入っています。
ACME_SERVER プロセスは, SYS$ERROR 出力を SYS$MANAGER:ACME_SERVER_ERROR.LOG ファイルに転送します。このファイルは,操作中に予期しないエラーが発生した場合にだけ作成されます。
サーバと ACME エージェントによって生成されたログ・ファイル・エントリは,特に指定しないと SYS$MANAGER:ACME$SERVER.LOG ファイルに書き込まれます。
SET SERVER ACME コマンドは,以下の操作を実行するために使用されます。
- ACME_SERVER プロセスの起動と停止
- ACME エージェントの構成 (動的なロード)
- ACME エージェントの (構成後の) 有効化と無効化
- 要求処理の一時中止と再開。(システム・バックアップ操作など,システム管理上の理由による場合, ACME エージェントは再び "initial" 状態になる。)
- ロギングとトレーシングの制御
SHOW SERVER ACM コマンドは,サーバおよびエージェント情報を表示するために使用されます。
以下のコマンド・シーケンスは,サーバを作成し,要求処理を可能にするために使用されます。
- SET SERVER ACME/START
このコマンドは,サーバ・プロセスを作成します。- SET SERVER ACME/CONFIGURE
このコマンドは,1 つ以上の ACME エージェントを構成します。- SET SERVER ACME/ENABLE
このコマンドは,ACME エージェントによる要求処理を可能にします。
詳細については,SHOW SERVER ACME コマンドと『Guide to VMS System Security』を参照してください。
SYS$ACM システム・サービスの詳細については,『OpenVMS System Services Reference Manual』を参照してください。
/ABORT
ACME_SERVER プロセスを強制終了します。 ACME エージェントのグレースフル・シャットダウンは行いません。保留中の要求はキャンセルされます。このコマンドは,ACME エージェントの誤動作によってグレースフル・シャットダウンができない場合に使用できます。
/CANCEL
保留中のダイアログ要求をキャンセルします。保留中のダイアログ要求とは, SYS$ACM 呼び出し側に対するダイアログ応答データの提供を求める未処理の要求です。 ACME_SERVER プロセスによって処理されているアクティブ要求は,正常に完了することができます。修飾子 /EXIT または /DISABLE と同時に指定した場合にだけ使用できます。
/CLUSTER
クラスタ内の各 ACME サーバに対して SET コマンドを発行します。/CONFIGURE=(NAME=name [,CREDENTIALS=credentials] [,FACILITY=facility] [,FILE=file] [,THREAD_MAX=n][,...])
ACME エージェントを動的にロードします。ACME エージェントは, ACME エージェント・プラグイン・インタフェース仕様に準拠した共有イメージです。省略時には,ACME サーバは prefix$name_ACMESHR.EXE という名前の ACME エージェント・ファイルを探します。 prefix は省略時には VMS であり, name は NAME キーワードによって指定された,大文字と小文字が区別されない文字列です。prefix は, FACILITY キーワードによって上書きすることができます。そうでない場合は, FILE キーワードで完全なファイル指定を指定することができます。
ACME エージェントが DOI (Domain-of-interpretation) エージェントであり,ユーザの認証と証明書の発行を行える場合は, CREDENTIALS キーワードを指定する必要があります。 CREDENTIALS キーワードでは,ACME エージェントに対応するペルソナ・エクステンションの名前を指定します (システム・サービス $PERSONA_EXTENSION_LOOKUP を参照)。証明書名は,ペルソナ・エクステンションを実装する実行可能なローダブル・イメージが登録した名前に一致する必要があります。 "VMS" 以外の証明書については,ACME エージェントと特定のペルソナ・エクステンションのドキュメントを参照してください。
最大 8 つの ACME エージェントを構成することができます。
ACME サーバのワーカースレッドは,認証要求を処理するスレッドです。ワーカースレッドの数により,ACME サーバが同時に処理できる認証要求の数が決まります。
ACME サーバは,進行中の各認証要求に対し,要求スロットを割り当てます。要求スロットの合計数により,ACME サーバに保留可能な要求の最大数が制限されます。
ACME サーバは,特権を持たない認証要求の処理数を要求スロットの合計数の半分までに制限します。
プロセスが $ACM を呼び出した時に要求スロットが空いていないと,要求スロットが空くまで,プロセスはリソース待ち状態のままになります。
ACME サーバのワーカースレッドの数は,1 〜 32 の範囲です。ほとんどのオペレーティング環境では,認証処理の時間の多くが入出力待ちに費やされるため,省略時の設定である 4 で充分です。しかし,たとえば通常より多くの CPU 時間を必要とする独自の ACME エージェントを使用する場合などは,ワーカースレッドの数を増やすことで,スループットを向上させることができます。
サーバを起動または再起動する前に,システム単位の論理名テーブルに内部モードの論理名 ACME$THREAD_MAXIMUM を定義することで, ACME サーバのワーカースレッドの最大数を設定することができます。以下に例を示します。
$ DEFINE/SYSTEM/EXECUTIVE_MODE ACME$THREAD_MAXIMUM 8
CONFIGURE 修飾子を指定して,ACME サーバを有効にする前に,サーバのワーカースレッドの最大数を設定することもできます。
$ SET SERVER ACME /CONFIGURE=THREAD_MAX=6
CONFIGURE 修飾子は,論理名 ACME$THREAD_MAXIMUM の値より優先されます。
ほとんどの認証処理は入出力に制約されるため,要求スロットの数の約 1/4 より多くのスレッドを定義しても,スループットは向上しません。
ACME サーバは,MAXPROCESSCNT の値と使用可能な CPU の数から,要求スロットの省略時の数を計算します。 ACME サーバを起動または再起動する前に,システム単位の論理名テーブルに内部モードの論理名 ACME$REQUEST_MAXIMUM を定義することで,計算された値より優先して使用させることができます。以下に例を示します。
$ DEFINE /SYSTEM /EXECUTIVE_MODE ACME$REQUEST_MAXIMUM 64 $ SET SERVER ACME /RESTART
/DISABLE
すべての ACME エージェントを無効にします (シャットダウンします)。追加の ACME エージェントを構成することができます。/ENABLE[=NAME=(name[,...])]
1 つ以上の ACME エージェントを指定された順序で有効にします。 ACME_SERVER は指定された順序で認証要求を処理するので, ACME エージェントの順序が重要です。 name 変数は,大文字小文字が区別されない文字列引数です。NAME キーワードを指定しなかった場合は,前に /ENABLE コマンドによって有効にされた ACME エージェントのリストが有効になります。以前に/ENABLE コマンドが発行されていなかった場合は,構成済みのすべての ACME エージェントが有効になります。
/EXIT
ACME エージェントのグレースフル・シャットダウンを要求します。 ACME_SERVER プロセスは,保留中の要求が完了した後,シャットダウンされます。/LOG
/NOLOG (省略時の設定)
新しいログ・ファイルを作成して,オープンします。ログ・ファイル名は,SYS$MANAGER:ACME$SERVER.LOG です。システム論理名 ACME$SERVER を定義することによってリダイレクトできます。/NODE=(ノード名[,...])
指定されたノード上の ACME サーバに対して,入力された順序で SET コマンドを発行します。ノード名は,現在のクラスタ内になければなりません。/RESTART
ACME エージェントのグレースフル・シャットダウンを要求します。 ACME_SERVER プロセスは,保留中の要求が完了した後,シャットダウンされます。ACME_SERVER が再起動され, SYS$MANAGER:ACME$START.COM スタートアップ・プロシージャが実行されます。
/RESUME
/SUSPEND 修飾子の使用後に,通常操作を再開します。/START[=AUTO]
/START は,/ABORT,/EXIT,または /RESTART 修飾子とともに指定することはできません。サーバ・プロセスを起動します。
オプションのキーワード AUTO を指定すると, SYS$MANAGER:ACME$START.COM プロシージャを使用して,サーバが自分自身を起動して構成します。省略時の設定では,サーバは, OpenVMS ACMS エージェントが構成されている場合だけ起動されます。以下のオプションが使用可能です。
省略時の特権を変更する:
/PRIVILEGES=(privilege[,...])
省略時の UIC を変更する:
/UIC=uic
省略時のクォータを変更する:
/AST_LIMIT=n /BUFFER_LIMIT=n /ENQUEUE_LIMIT=n /EXTENT=n /FILE_LIMIT=n /IO_BUFFERED=n /IO_DIRECT=n /JOB_TABLE_QUOTA=n /MAXIMUM_WORKING_SET=n /PAGE_FILE=n /QUEUE_LIMIT=n /SUBPROCESS_LIMIT=n /WORKING_SET=n
次の代替構文を使用してクォータとそれらの値のリストを指定することができます。
/QUOTAS=(quota=n[,...])
quota は,PQL 形式のクォータ名です (ASTLM,BIOLM など)。
PQL 形式のクォータ名と説明のリストについては,『OpenVMS System Services Reference Manual』の「$CREPRC システム・サービス」を参照してください。
イメージ・ダンプの設定を変更するには,次の修飾子を使用します。
/DUMP (省略時の設定) /NODUMP
プロセスの異常終了の際に強制的にプロセス・ダンプを行います。ダンプは,イメージ・ファイル名と .DMP 拡張子を使用して, SYS$MANAGER: に書き込まれます。
/SUSPEND
保留中の要求がすべて完了した後,操作を中断します。
前へ 次へ 目次 索引