# Compaq OpenVMS
システム管理者マニュアル

前へ | 次へ | 目次 | 索引

### 20.6.2.7 機密保護アラーム・メッセージ

アラーム・メッセージは，選択したイベントが発生したときに機密保護オペレータ・ターミナルに送信されます。機密保護アラーム・メッセージをターミナルで受信できるようにするための方法については， 第 20.7.6 項 を参照してください。

例

次の例は，JTQUOTA に変更した後の機密保護アラーム OPCOM メッセージを表しています。

    %%%%%%%%%%%  OPCOM   6-JAN-2000 10:41:21.10  %%%%%%%%%%%
    Message from user AUDIT$SERVER on BISCO
    Security alarm (SECURITY) and security audit (SECURITY) on BISCO, system id:
    20353
    Auditable event:          System UAF record modification
    Event time:               6-JAN-2000 10:41:20.69
    PID:                      00600123
    Process name:             SYSTEM
    Username:                 SYSTEM
    Process owner:            [SYSTEM]
    Terminal name:            RTA1:
    Image name:               BISCO$DUA0:[SYS0.SYSCOMMON.][SYSEXE]AUTHORIZE.EXE
    Object class name:        FILE
    Object name:              SYS$SYSTEM:SYSUAF.DAT;4
    User record:              NEWPORT
    JTQUOTA:                  New:           2048
                              Original:      1024

### 20.6.2.8 オペレータ・ログ・ファイルの内容

例 20-6 に，オペレータ・ログ・ファイルに記録される代表的なメッセージの一部を示します。

例 20-6 オペレータ・ログ・ファイルの例 (SYS$MANAGER:OPERATOR.LOG)
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:26:07.90  %%%%%%%%%%%
     Device DMA0: is offline. (1)
     Mount verification in progress.
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:26:20.22  %%%%%%%%%%%
     Mount verification completed for device DMA0:
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:33:54.07  %%%%%%%%%%%
     Operator '_ZEUS$VT333:' has been disabled, user JONES (2)
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:34:15.47  %%%%%%%%%%%
     Operator '_ZEUS$VT333:' has been enabled, user SMITH
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:34:15.57  %%%%%%%%%%%
     operator status for '_ZEUS$VT333:'
     PRINTER, TAPES, DISKS, DEVICES
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:38:53.21  %%%%%%%%%%%
     request 1, from user PUBLIC (3)
     Please mount volume KLATU in device MTA0:
     The tape is in cabinet A
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:39:54.37  %%%%%%%%%%%
     request 1 was satisfied.
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:40:23.54  %%%%%%%%%%%
     message from user SYSTEM (4)
     Volume "KLATU       " mounted, on physical device MTA0:
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:40:38.02  %%%%%%%%%%%
     request 2, from user PUBLIC
     MOUNT new relative volume 2 () on MTA0:
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:41:07.54  %%%%%%%%%%%
     message from user SYSTEM
     Volume "KLATU       " dismounted, on physical device MTA0:
     15-APR-2000 22:42:14.81, request 2 completed by operator OPA0
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:46:47.96  %%%%%%%%%%%
     request 4, from user PUBLIC
     _TTB5:, This is a sample user request with reply expected.
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:47:38.50  %%%%%%%%%%%
     request 4 was canceled
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:48:21.15  %%%%%%%%%%%
     message from user PUBLIC
     _TTB5:, This is a sample user request without a reply expected.
     %%%%%%%%%%%  OPCOM, 19-APR-2000 22:49:37.64  %%%%%%%%%%%
     Device DMA0: has been write locked.
     Mount verification in progress.
     %%%%%%%%%%%  OPCOM, 19-APR-2000 23:33:54.07  %%%%%%%%%%%
     message from user NETACP
     DECnet shutting down

各メッセージの種類は次のとおりです。

1. 装置状態メッセージ

2. ターミナルが使用可能または使用不能になったことを示すメッセージ

3. ユーザからの要求とオペレータの応答を示すメッセージ

4. ボリュームがマウントまたはディスマウントされたことを示すメッセージ

## 20.6.3 オペレータ・ログ・ファイルの設定

通常，オペレータ・ログ・ファイルはシステム・ディスクの [SYSMGR] というディレクトリに格納されます。 しかし，論理名 OPC$LOGFILE_NAME を定義することによって，ログ・ファイルを別の場所に格納することもできます。

OPERATOR.LOG ファイル (または論理 OPC$LOGFILE_NAME が指すファイル) のサイズとアクセスは，そのファイルが置かれているディスク装置のサイズとアクセスの制限を受けます。ディスク装置にログ・ファイルを書き込むだけの余裕がなかったり，他の方法での装置へのアクセスが制限されていたりすると，ログ・ファイルから記録が失われる可能性があります。

このファイルは ASCII 形式のため，プリントすることができます。ログ・ファイルの内容を定期的にプリントし，参考資料としてとっておきましょう。オペレータ・ログ・ファイルをプリントする手順については， 第 20.6.5 項 を参照してください。

システムが再ブートするたびに， OPERATOR.LOG の新しいバージョンが作成されます。ただし，OpenVMS Cluster 環境のワークステーションでは，通常ログ・ファイルをオープンしません。オペレータ・ログ・ファイルは各ノードに 1 つ存在し，しかも共用ファイルではないことに注意してください。

### 20.6.3.1 オペレータ・ログ・ファイルの新バージョンの作成

DCL の REPLY/LOG コマンドにより，ファイルの新しいバージョンをいつでも作成することができます。ログ・ファイルとして使用されるのは常に最新のバージョンで，このバージョンは他のユーザがアクセスすることはできません。省略時の設定では，すべてのオペレータ・クラスのメッセージがログ・ファイルに記録されます。

次に示すのは，REPLY/LOG コマンドを使用するときのガイドラインです。

- ログ・ファイルに含むオペレータ・クラスを指定するときには， REPLY/LOG/ENABLE=(キーワード) および REPLY/LOG/DISABLE=(キーワード) の 2 つのコマンドが使用できる。

- REPLY/ENABLE コマンドおよび REPLY/DISABLE コマンドで /LOG 修飾子を使用する場合，選択したクラスがターミナルで有効あるいは無効になるのではなく，ログ・ファイルへの記録が開始または停止される。

ログ・ファイルがすでにオープンしていると，クラス・リストが保持され，新しく作成されたログ・ファイルで有効になります。ログ・ファイルがオープンしていない場合には，論理名 OPC$ENABLE_LOGFILE_CLASSES の値が使用されます。この論理名が存在しなければ，新しいログ・ファイルですべてのクラスが有効になります。

詳細は，『Compaq OpenVMS DCL ディクショナリ』の REPLY/LOG，REPLY/ENABLE， REPLY/DISABLE の各コマンドの項目を参照してください。

例

ディスクおよびテープのマウントおよびディスマウント操作を記録するログ・ファイルをオープンします。

    $ REPLY/LOG/ENABLE=(DISKS,TAPES)

### 20.6.3.2 論理名の指定

コマンド・プロシージャ SYS$MANAGER:SYLOGICALS.COM に論理名を定義することによって，オペレータ・ログ・ファイルの省略時の状態を指定することができます。次の表に，そのような論理名とその働きをまとめます。 SYLOGICALS.COM についての詳細は， 第 5.2.5 項 を参照してください。

重要 論理名 OPC$ALLOW_INBOUND および OPC$ALLOW_OUTBOUND に FALSE を定義すると，すべての OPCOM は，指定された方向に転送されます。返されると想定されている状態メッセージだけでなく，すべての OPCOM メッセージが表示されません。

論理名 | 働き
--- | ---
OPC$ALLOW_INBOUND | ノードに戻ってくる OPCOM トラフィックをオフまたはオンする。省略時の設定では，この論理名は，TRUE に定義されている。この論理名を FALSE に定義すると，ノードはクラスタ内の別のノードから OPCOM メッセージを受信しなくなる。
OPC$ALLOW_OUTBOUND | ノードから出て行く OPCOM トラフィックをオフまたはオンする。省略時の設定では，この論理名は，TRUE に定義されている。この論理名を FALSE に定義すると，ノードはクラスタ内の別のノードへ OPCOM メッセージを送信しなくなる。
OPC$LOGFILE_ENABLE | オペレータ・ログ・ファイルをオープンするかどうかを指定する。この論理名を TRUE に定義するとオペレータ・ログ・ファイルをオープンし， FALSE に定義するとオープンしない。省略時の設定では，OpenVMS Cluster 環境上のワークステーションを除くすべてのシステム上でログ・ファイルがオープンする。
OPC$LOGFILE_CLASSES | ログ・ファイルに記録するイベントのオペレータ・クラスを指定する。省略時の設定では，すべてのクラスのイベントを記録するものとしてログ・ファイルをオープンする。論理名は，適用するクラスの検索リスト，コンマで区切ったリスト，あるいはその両方の組み合わせで指定できる。 OPC$LOGFILE_ENABLE を定義しない場合でも OPC$LOGFILE_CLASSES を定義できる。その場合，指定したクラスは，オープンするすべてのログ・ファイルに使用される。しかし，各ログ・ファイルをオープンするかどうかは省略時の設定が適用される。
OPC$LOGFILE_NAME | ログ・ファイルの名前を指定する。この論理名の定義を省略すると，ログ・ファイルの名前は SYS$MANAGER:OPERATOR.LOG となる。システム・ディスク以外のディスクを指定する場合は，コマンド・プロシージャ SYLOGICALS.COM にそのディスクをマウントするコマンドを加える必要がある。
OPC$OPA0_ENABLE | クラスタ内のワークステーション用のシンボル値を上書きする。この論理名を TRUE と定義すると， OPA0 装置を BROADCAST (NOBROADCAST の省略時の設定を上書き) に設定する。クラスタ内のワークステーションではないシステムの場合，この論理名を FALSE と定義すると，OPA0 装置が NOBROADCAST に設定される。

注意 OPCOM の初期のスタートアップ以外でも使用される論理名は OPC$LOGFILE_NAME だけです。他の OPCOM 論理名は無視されます。たとえば，論理名 OPC$LOGFILE_ENABLE が FALSE に定義されていても， REPLY/LOG コマンドを実行すれば新しいオペレータ・ログ・ファイルがオープンします。 OPCOM のスタートアップ後にその状態とクラスを再設定するためには， REPLY/ENABLE コマンドまたは REPLY/DISABLE コマンドを使用します。

## 20.6.4 オペレータ・ログ・ファイルの管理

オペレータ・ログ・ファイルを定期的に管理するための計画をたててください。まず，毎日新しいログ・ファイルを起動し，前日に使用していたファイル (2 番目に新しいバージョン) をリネームするという方法があります (次の項の例を参照)。あるいは，古いファイルを削除することもできます。ただし，ログ・ファイルを削除する場合には，必ずそのバックアップをとるようにしてください。詳細は 第 5.2.7.9 項 を参照してください。

OPCOM を誤って削除してしまった場合は，次の手順に従って手動で起動します。

1. SYSTEM アカウントにログインして，この操作に必要な特権を入手する。

2. 次のコマンドを入力して，スタートアップ・コマンド・プロシージャ (STARTUP.COM) を実行し，コマンド・パラメータとして OPCOM を指定する。

       $ @SYS$SYSTEM:STARTUP OPCOM

## 20.6.5 オペレータ・ログ・ファイルのプリント

次に，オペレータ・ログ・ファイルの最新のバージョンをプリントする手順を示します。この作業を行うためには，OPER 特権が必要です。

1. ターミナルをオペレータ・ターミナルとして宣言 (使用可能に) する。

       $ REPLY/ENABLE

2. 現在のログ・ファイルをクローズし，新しいファイルをオープンする。

       $ REPLY/LOG

3. 省略時の値を SYS$MANAGER に設定し，次のコマンドによってファイルのすべてのバージョンを表示する。

       $ SET DEFAULT SYS$MANAGER
       $ DIRECTORY OPERATOR.LOG

4. 2 番目に新しいバージョンを OPERATOR.OLD にリネームする。

       $ RENAME OPERATOR.LOG;-1 OPERATOR.OLD

   バージョン番号 --1 は，このファイルの 2 番目に新しいバージョンを表す。なお，最も大きなバージョン番号は，現在使用中のオペレータ・ログ・ファイルである。

5. オペレータ・ログ・ファイルをプリントする。

       $ PRINT OPERATOR.OLD

例

    $ REPLY/ENABLE (1)
    $ REPLY/LOG (2)
    %%%%%%%%%%%  OPCOM, 19-APR-2000 12:28:20.11  %%%%%%%%%%%
    Logfile was closed by operator _MARS$VTA2: (3)
    Logfile was HOMER::SYS$MANAGER:[SYSMGT]OPERATOR.LOG;27
    %%%%%%%%%%%  OPCOM, 19-APR-2000 12:29:24.52  %%%%%%%%%%%
    Logfile has been initialized by operator _MARS$VTA2:
    Logfile is HOMER::SYS$MANAGER:[SYSMGT]OPERATOR.LOG;28
    $ SET DEFAULT SYS$MANAGER (4)
    $ DIRECTORY OPERATOR.LOG (5)
    Directory SYS$MANAGER:[SYSMGT]
    OPERATOR.LOG;28           OPERATOR.LOG;27
    Total of 2 files.
    $ RENAME OPERATOR.LOG;-1 OPERATOR.OLD (6)
    $ PRINT OPERATOR.OLD (7)

番号が付いた各行の意味は次のとおりです。

1. REPLY/ENABLE コマンドにより，ターミナルをオペレータ・ターミナルとして宣言する。

2. REPLY/LOG コマンドにより，現在のログ・ファイルをクローズし，新しいファイルをオープンする。

3. 新しいログ・ファイルがオープンされたことを示す OPCOM からのメッセージ。

4. SET DEFAULT コマンドにより，オペレータの省略時のディスクとしてシステム・ディスクを使用するよう設定する。

5. DIRECTORY コマンドにより，システム・ディスク上の [SYSMGR] ディレクトリ内のファイルを表示する。

6. RENAME コマンドにより，オペレータ・ログ・ファイルの 2 番目に新しいバージョンを OPERATOR.OLD にリネームする。

7. PRINT コマンドにより，古いオペレータ・ログ・ファイル OPERATOR.OLD をプリントする。

# 20.7 機密保護監査機構の使用法

この節では，機密保護監査機構の働き，機密保護監査機構の起動，および機密保護監査ログ・ファイルを新しく作成する方法を説明します。機密保護監査ログ・ファイルについての詳細は，『OpenVMS Guide to System Security』を参照してください。

## 20.7.1 機密保護監査機構について

機密保護監査機構は，機密保護関係のイベントがシステム上で発生したときに，それを記録する機能です。機密保護関係のイベントは，イベント・クラス と呼ばれるカテゴリに分類されます。

省略時の設定では，システムを 表 20-7 に示すイベント用にインストールまたはアップグレードしたときに，機密保護監査機構が使用できるようになります。

表 20-7 省略時のイベント・クラス
クラス | 説明
--- | ---
ACL | 機密保護監査機構 ACE を持つ全オブジェクトへのアクセス。
AUDIT | SET AUDIT コマンドの全用途。このカテゴリは使用禁止にできない。
AUTHORIZATION | 登録データベースに加えたすべての変更。 システム利用者登録ファイル (SYSUAF) ネットワーク代理登録ファイル (NETPROXY および NET$PROXY) ライト・データベース (RIGHTSLIST)
BREAKIN | すべてのブレークインの試み。バッチ，独立，ダイアルアップ，ローカル，ネットワーク，遠隔。
LOGFAILURE | すべてのログイン障害。バッチ，ダイアルアップ，ローカル，遠隔，ネットワーク，サブプロセス，独立。

使用しているサイトにおける機密保護の必要条件が，その他の監査にも合う場合は， 第 20.7.4 項 で説明するように， DCL の SET AUDIT コマンドを使用して，別のイベント・クラスを使用可能にすることができます。

### 20.7.1.1 機密保護監査ログ・ファイル

監査サーバ・プロセスは，システム起動時に作成され，機密保護監査ログ・ファイル SYS$MANAGER:SECURITY.AUDIT$JOURNAL 中の特定のイベントを記録します (記録されるイベントについては， 表 20-7 を参照)。

定期的にファイルを検討するときの手順によって，機密保護監査ログ・ファイルの有用性は変わってきます。サイトの監査検討方針の一部として，たとえば次のような手順が考えられます。

1. 毎朝，機密保護管理ログ・ファイルの新しいバージョンを作成する。

2. 前日のログ・ファイルを見て，問題があると思われるシステム・アクティビティがないか，検討する。システムについて監査する機密保護イベントの数によっては，監査ログ・ファイルに書き込まれる監査レコードすべてを検討することは現実的ではない場合がある。そのようなときには，特定のレコード・セット (たとえば， Authorization レコードや Breakin レコード，あるいは通常の勤務時間外に作成された全イベント) をログ・ファイルから選択したい場合もある。

3. 検討中に，問題があると思われる機密保護イベントが見つかった場合は，機密保護監査ログ・ファイルをより詳細に調べる ( 『Security Guide』を参照)。

前へ | 次へ | 目次 | 索引