ICH408I   USER (userid) GROUP (group-name) NAME (user-name) --or-- JOB (jobname) STEP (stepname) [SUBMITTER (userid)] [PRIMARY USER (userid)] [resource-name] [CL(class-name)] --or-- [VOL(volume-id)] [FID(file-identifier)] [ID(IPC-identifier)] --or-- [FROM generic-profile-name (G)] [ACCESS INTENT(intent) ACCESS ALLOWED(allowed)] [EFFECTIVE UID (nnnnnnnnnn] [EFFECTIVE GID (nnnnnnnnnn]

ユーザーまたはジョブが、許可されていない要求 (違反) を行って、RACF® がこれを検出すると、 このメッセージが出されます。ICH408I メッセージの先頭行に示されているユーザーおよびグループは、 ジョブを実行する予定であった実行ユーザー ID および実行グループ ID です。

メッセージがユーザー、グループ、および名前ではなくジョブと ステップを示している場合、RACF はユーザー、グループ、および 名前の情報を含む有効な ACEE を検出 できませんでした。 これは、開始済みプロシージャー・テーブルの項目に誤った RACF グループが指定されている場合、またはユーザーの ACEE が破壊されている場合に、RACF 開始済みプロシージャー・テーブル (ICHRIN03) で定義されていない開始タスクについて起こることがあります。 実行依頼をしているユーザー ID が実行ユーザー ID と同じでない場合は、 実行依頼をしているユーザー ID、グループ、およびノードを含む行がメッセージに 追加されています。

メッセージが、ネストされた ACEE を使用する委任されたリソースへのアクセス障害を報告している場合は、PRIMARY USER が表示されます。 ネストされた ACEE はクライアントの ACEE で、作業単位を作成したサーバーまたはデーモンを識別します。クライアントのユーザー ID は 1 次ユーザーとして表示されます。 リソースは、このメッセージの最初の行に示されているサーバーまたはデーモンのためにアクセスされています。 デーモンは、クライアントに対してでなく、リソースに対して許可する必要があります。 委任されるリソースおよびネストされた ACEE については、「z/OS Security Server RACF セキュリティー管理者のガイド」を参照してください。 セットアップ要件については、リソース名に応じた該当のアプリケーション用資料を調べてください。

メッセージが z/OS UNIX IPC キーへのアクセス障害が発生していると報告している場合、 リソース名 はカーネル syscall に指定された IPC キー名です。 このキー名は 16 進数で 8 桁の固有の ID として示されます。ID (IPC ID) は、10 進数の固有なリソース ID です。 このリソース ID はカーネルで動的に割り振られていますが、監査の際に役立つ場合があるので、追加情報として提供されています。このリソース ID は 0 から 4294967295 までの数値です。

VOL フィールドに示されるボリューム通し番号の意味は、場合によって異なります。非 VSAM データ・セットを示している場合は、データ・セットが 存在するボリュームを意味しています。VSAM データ・セットを 示している場合は、データ・セット項目を含むカタログ が存在するボリュームを意味しています。

このメッセージに関する詳しい情報を得たい場合は、 どんな要求があったかを示しているメッセージ行をチェックしてください。 この情報は通常 2 行目または 3 行目にあります。 例えば、このメッセージ行は INSUFFICIENT ACCESS AUTHORITY となります。メッセージ ICH408I に関するメッセージ行を、 後述の説明の中で見つけ (アルファベット順に並んでいる)、 そのメッセージ行の説明を読んでください。

保護されているリソースを使用しようとした場合、 メッセージはアクセスの試みがあったということ (ACCESS INTENT 句)、 および RACF (ACCESS ALLOWED 句) を 示します。メッセージが z/OS UNIX ファイルまたは IPC キーにアクセスがあったことを報告している場合、ACCESS INTENT (intent) に「RWX」が指定されます。これは読み取り、書き込み、または検索/実行許可の要求を示しています。一度に 2 つ以上の許可を要求できます。 許可が要求されていない場合は、文字ではなく、 ダッシュ「-」が指定されます。ACCESS ALLOWED (allowed) には「{OWNER/GROUP/OTHER/ACL USER/ACL GROUP/NO/RESTRICTED/FSACCESS/FSEXEC} RWX」が指定されます。 OWNER は所有者許可ビットが使用されたことを示します。 GROUP はグループ許可ビットが使用されたことを示します。 OTHER は他の許可ビットが使用されたことを示します。 ACL USER は特定のアクセス制御リスト (ACL) エントリーが使用されたことを示します。 ACL GROUP は特定グループ ACL エントリーが使用されたことを示します。 NO は許可ビットが使用されなかったことを示します。 RESTRICTED は OTHER ビットが RESTRICTED ユーザーに対して使用されなかったことを示します。 FSACCESS は FSACCESS クラスのプロファイルが使用されたことを示します。 FSEXEC は FSEXEC クラスのプロファイルが使用されたことを示します。 「RWX」は検査された許可ビットの設定を示します。 ACCESS ALLOWED (NO --X) は、スーパーユーザーが OWNER、GROUP、 ACL、または OTHER 実行許可がない ファイルを実行しようとした場合に起こります。 ACCESS ALLOWED (RESTRICTED –––) は、RESTRICTED ユーザーがファイル・アクセスを取得する手段が OTHER ビットのみである場合に、UNIXPRIV クラス内の RESTRICTED.FILESYS.ACCESS プロファイルによってファイル・アクセスが禁止されていると発生します。ACCESS ALLOWED (FSACCESS –––) は、リソースを含むファイル・システムを保護する FSACCESS プロファイルにユーザーがアクセスできない場合に発生します。ACCESS ALLOWED (FSEXEC –––) は、リソースを含むファイル・システムを保護する FSEXEC プロファイルにユーザーがアクセスできない場合に発生します。

処理 GID、またはそれを補足する GID の 1 つがファイル・オーナーの GID と一致した場合は、グル ープ・アクセスを検査している間は、グループ許可ビットは単純にもう 1 つの GID ACL 項目として 処理されます。いくつかのグループ記入項目は実際に検査されて、それらのどれかが要求された許可を指定している場合には、アクセスが認可されることになります。しかしながら、項目のどれもが要 求されたアクセスを認可しない場合には、認可されたアクセスを定義する単一記入項目はありません。 規則により、最初に検出された該当するグループ項目に関連した許可がメッセージに表示されます。 ファイルまたはディレクトリーに関して ACL が存在する場合のアクセスを判別するために使用されるアルゴリズムについては、「z/OS Security Server RACF セキュリティー管理者のガイド」に記載されている z/OS® UNIX の情報を参照してください。

UNIX システム・サービス環境で発生した違反に関しては、そのユーザーの 有効 UID と有効 GID がメッセージに表示されます。これらの ID が、目的とする操作のためのユーザー特権を決定するのに使用されました。これらの ID は、 関係のある RACF USER/GROUP プロファイルで定義されている ID と常に一致するとは限りません。 理由は、他の ID が想定される可能性のある方法が UNIX System Services で提供されるためです。