接続制限対象の登録は，DBA権限保持者がします。

接続制限対象の登録は，CREATE CONNECTION SECURITY FOR CONSTRAINT文を実行します。登録時に指定する項目を次の表に示します。

表25-5　登録情報

情報	内容
接続制約名	接続制限の条件を一意に示す名称を設定します。
接続可否	接続の許可，又は拒否の判定種別を設定します。
IPアドレス	接続制限の対象となるIPアドレスを設定します。 個別のIPアドレス指定のほか，アドレスプレフィックス指定，及びアスタリスク文字("*")を使用したワイルドカード指定ができます。

最大登録数は10,000です。

構文規則についてはマニュアル「HiRDB Version 9 SQLリファレンス」のCREATE CONNECTION SECURITYを参照してください。

登録情報は，ディクショナリ表（SQL_ACCESS_SECURITY）に格納し，DBA権限保持者，又は監査人が参照できます。ディクショナリ表の詳細については「HiRDB Version 9 UAP開発ガイド」のSQL_ACCESS_ SECURITY表の内容を参照してください。

DBA権限保持者がDROP CONNECTION SECURITY FOR CONSTRAINT文を実行して削除します。構文規則についてはマニュアル「HiRDB Version 9 SQLリファレンス」のDROP CONNECTION SECURITY文 を参照してください。

• 拒否設定をする場合は，必ず拒否登録を行う以外のIPアドレスに対して先に許可登録をするようにしてください。接続の拒否，及び許可に関係なく，1つでも接続制約を定義した場合，許可の接続制約を定義していないIPアドレスからは接続できません。
• 許可と拒否に同じIPアドレスが含まれる場合は，拒否を優先します。拒否を範囲指定し，その中の一部を許可登録しても，すべて拒否とします。
• 1つのHiRDBクライアントマシンに複数のIPアドレスが存在する場合は，割り当てているすべてのIPアドレスについて同じ接続可否設定をしてください。
• この機能はユティリティも対象になります。HiRDBサーバを構成するネットワークで使用しているマシンのIPアドレスを許可登録してください。ただし，例外事項について次に記載します。
  
  1. FES又はSDSのあるユニットのマシンからの自マシンに対するローカル接続は，接続制約の登録内容に関わらず許可します。
  2. システム定義pd_security_host_groupオペランドの指定がある場合は，指定されたホスト情報に対応するIPアドレス^※については接続許可対象とします。しかし，そのホスト情報に該当するIPアドレスについて，CREATE CONNECTION SECURITY FOR CONSTRAINT文で拒否の登録をしていた場合は，拒否を優先します。
     注※　HiRDB起動時に名称解決したものを使用します。起動中にホスト名とIPアドレスの関係が変更された場合は，その変更を反映しません。
     

接続不可となるIPアドレスについては，CREATE CONNECTION SECURITY FOR CONSTRAINTでの登録後，CONNECT時に接続不可（KFPA19632-Eメッセージ出力）となります。すでに接続中のものは，DISCONNECTするまではその接続が保持され，次回CONNECT時に接続不可となります。

すでに接続されているものを排除したい場合は，「pdls -d prc」で接続中のUAPのIPアドレスを確認後，pdcancelコマンドでプロセスを終了してください。

pdcancelコマンドについてはマニュアル「HiRDB Version 9 SQLリファレンス」の運用コマンドpdcancel（UAP，ユティリティ処理の強制終了）を参照してください。

登録内容による接続可否を次の表に示します。

表25-6　接続可否の決定方法

登録数	SDS又はFESサーバのあるユニットからのローカル接続である	拒否登録との比較		許可登録との比較	pd_security_host_groupの設定値との比較	接続可否
		登録の有無	接続してきたIPアドレスとの一致/不一致	接続してきたIPアドレスとの一致/不一致
0	−	−	−	−	−	○
1以上	NO	あり	一致	−	−	×
			不一致	一致	−	○
				不一致又は登録なし	一致	○
					不一致又はオペランド指定なし	×
		なし	−	一致	−	○
				不一致	一致	○
					不一致又はオペランド指定なし	×
	YES	−	−	−	−	○

（凡例）

−：該当しない

○：接続可

×：接続不可