24.4.1 セキュリティ監査機能に関するオペランドの指定
実行者 HiRDB管理者
セキュリティ監査機能を使用する場合は次の表に示すオペランドを指定します。
オペランド名 |
説明 |
---|---|
HiRDBの開始時から監査証跡を取得するかどうかを指定します。 Y:HiRDBの開始時から監査証跡を取得します。 N:HiRDBの開始時から監査証跡を取得しません。 このオペランドにNを指定しても,pdaudbeginコマンドを実行すると監査証跡を取得できます。 pd_auditオペランドにYを指定するか,又はpdaudbeginコマンドを実行した場合,次に示すイベントの監査証跡を無条件に取得します。
そのほかのイベントについては,CREATE AUDITで監査証跡を取得するかどうかを定義します。詳細については,「監査対象イベントの定義」を参照してください。 |
|
監査証跡ファイル用のHiRDBファイルシステム領域名を指定します。このHiRDBファイルシステム領域内にHiRDBが監査証跡ファイルを作成します。セキュリティ監査機能を使用する場合はこのオペランドを必ず指定してください。指定しないとセキュリティ監査機能を使用できません。 このオペランドを指定した場合,HiRDB(HiRDB/パラレルサーバの場合はユニット)の開始時に監査証跡ファイル用のHiRDBファイルシステム領域に対するアクセスエラーが発生すると,HiRDBを開始できません。 なお,HiRDB/パラレルサーバでセキュリティ監査機能を使用する場合,システム全体で監査証跡を取得することを推奨します。システム全体で監査証跡を取得するには,次のどちらかの指定をしてください。
ただし,同一サーバマシンで複数のユニットを稼働させるシステム構成の場合は,すべてのユニット制御情報定義でpd_aud_file_nameオペランドを指定する必要があります。 |
|
1監査証跡ファイルの最大容量を指定します。 |
|
監査証跡ファイル用のHiRDBファイルシステム領域内に作成する監査証跡ファイルの最大数(世代数)を指定します。 |
|
スワップ先にできる監査証跡ファイルがない場合,及び非同期出力用バッファのすべての面がフラッシュ待ちになった場合のHiRDBの処理方式を指定します。 forcewrite(省略値): スワップ先にできる監査証跡ファイルがない場合,データロード待ち(閉塞状態のファイルを除く)の監査証跡ファイルを強制的にスワップ先にして監査証跡の出力を続行します。監査証跡ファイルの状態については,「監査証跡ファイルの運用」を参照してください。 非同期出力用バッファのすべての面がフラッシュ待ちになってから180秒経過した場合,最初にフラッシュ待ちになった非同期出力用バッファを強制的に上書きして再利用することで,監査証跡の出力を続行します。上書きされた非同期出力用バッファの監査証跡は破棄されます。 down: スワップ先にできる監査証跡ファイルが残り一つになった場合,又は非同期出力用バッファのすべての面がフラッシュ待ちになってから180秒経過した場合,HiRDB(HiRDB/パラレルサーバの場合はユニット)を強制終了します。 |
|
監査証跡を非同期に出力する場合に使用するバッファ長を指定します。 |
|
監査証跡を非同期に出力する場合に使用するバッファ面数を指定します。 |
|
監査証跡を非同期に出力する場合に使用するバッファがすべて使用中のとき,未使用のバッファが確保できるまでバッファを監視する処理のリトライ間隔を指定します。 |
|
スワップ先にできない監査証跡ファイル数が警告値以上になったとき,警告メッセージを出力します。このオペランドには警告値を,pd_aud_max_generation_numオペランドに指定した監査証跡ファイルの最大数に対する比率で指定します。 |
|
監査証跡表の自動データロード機能を使用するかどうかを指定します。 Y:監査証跡表の自動データロード機能を使用します。この場合,監査証跡ファイルのスワップ(障害によるスワップは除く)を契機として,監査証跡表へデータロードする処理が自動で実行されます。 N:監査証跡表の自動データロード機能を使用しません。この場合,監査証跡表へのデータロード処理は自動で実行されません。監査人が手動で実行してください。 HiRDB/パラレルサーバでこのオペランドにYを指定する場合は,システムマネジャがあるユニットに,監査証跡ファイル用のHiRDBファイルシステム領域を作成し,pd_aud_file_nameオペランドを指定する必要があります。指定しないと,監査証跡表の自動データロード機能を使用できません。 |
|
監査証跡表の自動データロード機能を使用する場合で,運用方法が次のどれかの条件に該当するときは,pdaudloadでpdloadのオプションを変更します。pdaudloadについては,マニュアル「HiRDB システム定義」を参照してください。
|
- 注※
-
pd_aud_max_generation_numオペランドの値は次に示す条件を満たすように指定してください。
-
pd_aud_max_generation_numの値<pdfmkfsコマンドの-lオプションの値
-lオプションには,この後で説明する監査証跡ファイル用のHiRDBファイルシステム領域内の最大ファイル数を指定します。この条件を満たすようにオペランドの値を設定すると,スワップ先にできるファイルをすぐに準備できない場合,pd_aud_max_generation_numオペランドの値を大きくすることで対応できます。推奨する設定方法を次の図に示します。
図24‒4 推奨するpd_aud_max_generation_numの値と-lオプションの値の関係 -