RACF メッセージ ICH408I

RACF® メッセージ ICH408Iの詳細な説明については、「 z/OS Security Server RACF メッセージおよびコード」を参照してください。

メッセージ ICH408I の最初の行は、許可問題があったユーザーを識別しています。 メッセージの他の行は、ユーザーが出そうとしていた要求と失敗の理由を説明しています。

次の例を考えてみます。
ICH408I USER(JONES   ) GROUP(DEPT60  ) NAME(M.M.JONES           )
ICH408I   FLA32 CL(FCICSFCT)
ICH408I   INSUFFICIENT ACCESS AUTHORITY
ICH408I   FROM F%A* (G)
ICH408I   ACCESS INTENT(UPDATE )  ACCESS ALLOWED(READ   )
このメッセージは、次のように解釈できます。

名前が M.M.JONES で、グループ DEPT60 のメンバーである、ユーザー JONES が、クラス FCICSFCT 内のリソース FLA32 に対して INSUFFICIENT ACCESS AUTHORITY (アクセス権限が不十分) でした。

注: 表示されているクラスがリソース・グループ・クラスの場合、プロファイルは、表示されているクラスまたは関連するメンバー・クラスにある可能性があります。 例えば、GCICSTRN が表示されている場合は、TCICSTRN も確認します。 HCICSFCT が表示されている場合は、FCICSFCT も確認します。 すべての IBM®提供のクラス名のリストについては、 CICS リソース用のRACF クラスを参照してください。 インストール済み環境で使用されているインストール先定義のクラス名のリストについては、RACF システム・プログラマーに確認するか、SETROPTS LIST コマンドを発行してください。

リソースを保護している RACF プロファイルは、F%A* です。 (G) は、F%A* が総称プロファイルであることを示します。

ユーザー JONES が試みたアクセスは UPDATE でしたが、RACF によって許可されているアクセス権限は READ でした。 そのため、ユーザー JONES はアクセスを拒否されました。

このアクセスの試行に対して、以下のような DFHXS1111 メッセージも出されます。
DFHXS1111 26/09/95 15:34:01 CICSSYS1 Security violation by user JONES
          at netname D2D1 for resource FLA32 in class
          TCICSTRN. SAF codes are (X'00000008',X'00000000'). ESM codes
          are (X'00000008',X'00000000').

SAF と ESM のコードは、RACROUTE REQUEST=AUTH によって生じます。

この違反の原因を見つけるには、AUTHUSER を指定して RLIST コマンドを発行し、ICH408I メッセージに示されたプロファイルをリストします。 AUTHUSER オペランドは、 図 1に示すようにアクセス・リストを表示します。
図1: アクセス・リストの表示の要求
rlist fcicsfct f%a* authuser
CLASS      NAME
-----      ----
FCICSFCT   F%A* (G)
GROUP CLASS NAME
----- ----- ----
HCICSFCT
LEVEL  OWNER      UNIVERSAL ACCESS  YOUR ACCESS  WARNING
-----  --------   ----------------  -----------  -------
 00    CICSADM         NONE              ALTER    NO
                            .
                            .
                            .
                            .
USER      ACCESS
----      ------
DEPTA     UPDATE
JONES     READ
GROUPX    NONE
SYSPROG   ALTER

このプロファイルでは、ユーザー JONES は、アクセス・リスト内に明示的なエントリーがあります。 ユーザー ID 自体がアクセス・リストに表示されない場合は、JONES の接続グループのいずれかを確認します。 JONES の接続先のグループをリストするには、LISTUSER JONES を発行します。プロファイル内のその他の指定 (セキュリティー・レベルやセキュリティー・カテゴリーなど) が、アクセス拒否の原因になっている可能性があります。 詳細については、「 z/OS Security Server RACF セキュリティー管理者のガイド」を参照してください。

注: このプロファイルに NOTIFY (CICSADM) が指定されている場合、TSO ユーザー ID CICSADM は、プロファイルによって保護されているリソースへのアクセス試行の失敗の即時通知を受け取ります。