| 前へ | 次へ | 目次 | 索引 |
ディスク・クォータは，個々のユーザが使用可能な，特定のボリュームのディスク空間量を制限します。 ディスク・ボリュームに対してディスク・クォータが設定されている場合は，SYSMAN ユーティリティの DISKQUOTA コマンドを使用して，新しい UIC にディスク・クォータ・エントリを追加します。
$ RUN SYS$SYSTEM:SYSMAN SYSMAN> SET ENVIRONMENT/NODE=LARRY SYSMAN> DISKQUOTA ADD [014,JONES]/DEVICE=DISK$USER/PERMQUOTA=2000/OVERDRAFT=500 SYSMAN> EXIT |
クォータと超過値の合計が，ユーザに割り当てられる絶対最大ブロック数です。この例では，2,500 ブロックが割り当てられています。SYSMAN とディスク・クォータについては，『Compaq OpenVMS システム管理ユーティリティ・リファレンス・マニュアル』を参照してください。
7.5.2.4 会話型アカウントに対するユーザの省略時の装置の設定
会話型アカウントの場合，DCL の CREATE/DIRECTORY コマンドによって，それぞれに最上位 (省略時の設定) ディレクトリを作成します。このディレクトリには，ログイン・ファイル，ログイン・ファイルのテンプレート，またはログアウト・ファイルなどを適宜格納します。会話型ユーザは，このディレクトリの中で，ファイルやサブディレクトリを作成または管理することができます。また，このディレクトリの所有者を新しいアカウントの UIC に設定します。通常，省略時のディレクトリの名前にも，アカウントの名前を使用します。
アカウント名を JONES，UIC を [014,1] にすると仮定します。このアカウントの省略時のディレクトリをボリューム DISK$USER に作成する場合は，次の DCL コマンドを使用します。
$ CREATE/DIRECTORY DISK$USER:[JONES]/OWNER_UIC=[014,1] |
どのボリュームにディレクトリを作成するかは，どの装置を会話型アカウントとして割り当てているか，および，どのくらいの領域が使用できるかによって決定します。
AUTHORIZE ユーティリティを実行したときに，新しいアカウントに指定する省略時のファイル指定は，DCL の CREATE/DIRECTORY コマンドで指定した装置の名前と最上位ディレクトリを使用してください。
7.5.2.5 機能別アカウントに対するユーザの省略時の装置の設定
会話型アカウントの場合，最上位 (省略時の設定) ディレクトリを作成するかどうかは，ユーザのシステムの性質によって決まります。ある特定のディレクトリを使用する場合は，そのディレクトリを省略時のディレクトリにしてください。たとえば，在庫システムが DISK$DATA:[INV]STOCK1.DAT と DISK$DATA:[INV]STOCK2.DAT というファイルを使用すると仮定します。この場合，省略時の装置指定は DISK$DATA に，省略時のディレクトリ指定は [INV] にしてください。
7.5.3 アカウントの機密保護に関する注意事項
アカウントの機密保護をどのレベルにするかは，アカウントの目的と，そのアカウントが複数のユーザまたはグループによって共用されるかどうかで決まります。会話型ユーザ・アカウントの場合，通常は省略時のUIC に基づく保護で十分です。
最上位ディレクトリの場合，省略時の保護は，通常のユーザのアクセスを禁止します。しかし，新しいユーザ・ディレクトリの省略時の保護を (w:e)にしておくと，他のユーザがこのディレクトリのファイルにアクセスするのを許可するために，ディレクトリの保護設定を変更する必要がありません。
DCL の SET SECURITY コマンドを使用すると，ファイルとサブディレクトリに対し個別に高い保護を設定できます。
プロジェクト・アカウントなど，もっと保護レベルを高める必要がある場合は，ACL (アクセス制御リスト) を使用します。ACL に基づく保護では，異なるグループまたは複数のグループに所属するメンバがプロジェクト・アカウントのようなアカウントに対するアクセス権を共用する場合など，より綿密なレベルの機密保護を実現することができます。 ACL は機密保護関連のオブジェクトに対するユーザのアクセスを認めたり否定したりする方法を提供します。
ACL に基づく保護機能を利用したプロジェクト・アカウントを設定する方法については， 第 7.9.2 項 を参照してください。 ACL の設定と編集方法については，『OpenVMS Guide to System Security』と『Compaq OpenVMS システム管理ユーティリティ・リファレンス・マニュアル』を参照してください。
ライト・データベース (RIGHTSLIST.DAT) は，システムのユーザとアクセス制御識別子とを対応させたファイルです。ユーザからのログインがあると，システムはユーザが所有する識別子がライト・データベースに存在するか調べます。システム管理者は AUTHORIZE ユーティリティを使って，ライト・データベースの識別子を必要に応じて追加または削除することができます。
ユーザ・グループの全員に同じ識別子を与えることによって，UIC に基づく保護によって実現されるより，もっと複雑なグループ保護手段を実現することができます。
保護されたサブシステムにはデータへの条件付きアクセスがあります。保護されたサブシステムでは，通常のアクセス制御によって保護されたアプリケーションは，サブシステムに属するオブジェクトに対する門番のような役割を果たします。ユーザがそのアプリケーションを実行しているとき，ユーザのプロセス・ライト・リストには，サブシステムが所有するプロセスへのアクセス権をユーザに与える識別子が入っています。ユーザがそのアプリケーションを終了すると，これらの識別子と (その結果として) そのオブジェクトに対するユーザのアクセス権がただちに消滅します。詳細は『OpenVMS Guide to System Security』を参照してください。
7.6 ユーザ・アカウントの追加
以降の項ではユーザ・アカウントを追加する 2 つの方法を説明します。
7.6.1 AUTHORIZE ユーティリティによるユーザ・アカウントの追加
ユーザ・アカウントの目的を分析し，必要になる属性と資源を決定したら， AUTHORIZE ユーティリティを使ってアカウントを作成します。手順は次のとおりです。
$ SET PROCESS/PRIVILEGE=SYSPRV |
$ SET DEFAULT SYS$SYSTEM $ RUN AUTHORIZE UAF> |
UAF> ADD JONES/PASSWORD=LPB57WM/UIC=[014,1] - _UAF> /DEVICE=DISK$USER/DIRECTORY=[JONES] - _UAF> /LGICMD=DISK$USER:[NEWPROD]GRPLOGIN - _UAF> /OWNER="ROBERT JONES"/ACCOUNT=DOC |
この項では，AUTHORIZE によるアカウントの設定で使用可能な修飾子の一覧を示します。 表 7-6 は，影響を及ぼすアカウント属性別に修飾子をまとめたものです。各修飾子についての詳細は， 第 7.11.2 項 を参照してください。すべての AUTHORIZE 修飾子の一覧については，『Compaq OpenVMS システム管理ユーティリティ・リファレンス・マニュアル (上巻 ) 』を参照してください。
| 制限とクォータ1 | ||
|---|---|---|
| /ASTLM | /FILLM | /PRCLM |
| /BIOLM | /JTQUOTA | /TQELM |
| /BYTLM | /MAXACCTJOBS | /WSDEFAULT |
| /CPUTIME | /MAXDETACH | /WSEXTENT |
| /DIOLM | /MAXJOBS | /WSQUOTA |
| /ENQLM | /PGFLQUOTA | |
| 優先順位2 | ||
| /PRIORITY | ||
| 特権3 | ||
| /DEFPRIVILEGES | /PRIVILEGES | |
| ログイン・アクセス制御3 | ||
| /ACCESS | /FLAGS 4 | /PRIMEDAYS |
| /DIALUP | /INTERACTIVE | /REMOTE |
| /EXPIRATION | /LOCAL | |
AUTHORIZE ユーティリティを使わずに，コマンド・プロシージャを使ってユーザ・アカウントを作成することもできます。この場合は，SYS$EXAMPLES ディレクトリにある ADDUSER.COM を使用します。このコマンド・プロシージャには，新しいアカウントを作成するときに使用するプロンプトと省略時の値が含まれています。
ADDUSER.COM は，システムの必要に応じて変更することができます。 ADDUSER.COM を実行したい場合は，SYSTEM アカウントにログインして，次のコマンドを入力してください。
$ @SYS$EXAMPLES:ADDUSER.COM |
ADDUSER.COM は，UAF レコード・フィールドの値の入力を求めるプロンプトを複数回表示します。値を指定せずに単に Return が押されたときに ADDUSER が使用する省略時の値を次に示します。
| UAF フィールド | 省略時の値 |
|---|---|
| ユーザ名 | 省略時の値なし(必須) |
| 所有者 | 省略時の値なし(必須) |
| パスワード | 指定されたユーザ名 |
| UIC グループ番号 | 200 |
| UIC メンバ番号 | 省略時の値なし(必須) |
| アカウント名 | 任意 |
| 特権 | TMPMBX,NETMBX |
| ログイン・ディレクトリ | 指定されたユーザ名 |
| ログイン・デバイス | $DISK1 |
| ディスク・クォータ | 1000 |
| 超過値 | 100 |
UIC は，システム全体で一意である必要があります。たとえば， UIC グループ 200 のアカウントのすべてのメンバ番号を一意にする必要があります。 UIC メンバ番号プロンプトの後に疑問符 (?) を入力することによって，現在ユーザに割り当てられている UIC を，リスト表示することができます。アカウントは，プロシージャのすべての質問に対する応答を終えたときに作成されます。 プロシージャから最後に出されるプロンプトを次に示します。
Is everything satisfactory with the account [YES]? |
Return キーを押すと，アカウントが指定どおりに作成され，SYSUAF.DAT に残ります。NO と答えた場合は，アカウントが削除されます。
アカウント特性の表示前，表示中，または表示直後 (すなわち， "satisfactory?" プロンプトに対する応答前) に Ctrl/Y を押しても，アカウント設定のすべてまたは一部が追加されます。 |
追加したアカウントにユーザがログインしたら，すぐにパスワードを変更するように指示してください。
7.7 ユーザ・アカウントの保守
システム管理者は，アカウントの変更や削除などのユーザ・アカウントの保守作業を行う必要があります。以降の項では保守作業の実行方法について説明します。
| 作業 | 参照箇所 |
|---|---|
| 会話型アカウント用コマンド・プロシージャの使用法 | 第 7.7.1 項 |
| ユーザ・アカウントの変更 | 第 7.7.2 項 |
| ユーザ・アカウントのリスト作成 | 第 7.7.3 項 |
| ユーザ環境の保守 | 第 7.7.4 項 |
| ユーザ・アカウントの削除 | 第 7.7.5 項 |
| BACKUP によるユーザ・ファイルの削除 | 第 7.7.6 項 |
| ユーザ・アカウントの使用停止 | 第 7.7.7 項 |
7.7.1 会話型アカウント用コマンド・プロシージャの使用法
アカウントのタイプに関係なく， ログイン・コマンド・プロシージャには，一般的にユーザ・セッションの開始時に実行されるコマンドが入っています。ログイン・コマンド・プロシージャのコマンドは，次の処理を行います。
ログイン・コマンド・プロシージャは，キー入力を減らし，操作を標準化します。
会話型アカウント用にログイン・コマンド・プロシージャを作成する場合，次の中から選択します。
| ログイン・ コマンド・ プロシージャ |
説明 |
|---|---|
| システム | システム管理者は通常，システム・ディレクトリに標準のログイン・コマンド・プロシージャを作成して保守する。このとき，このコマンド・プロシージャのファイル名は通常， SYS$MANAGER:SYLOGIN.COM という名前にする。そして，ユーザのログインがあったときに必ずそのプロシージャが実行されるよう，論理名SYS$SYLOGIN にそのファイル名を割り当てる。 |
| 個人 | どのアカウントについても， AUTHORIZE の ADD，MODIFY，COPY コマンドの /LGICMD 修飾子を指定して，別のログイン・コマンド・プロシージャを指定することができる。このようなログイン・コマンド・プロシージャには，有効な任意のファイル指定を割り当てることができる。ユーザがログインすると，指定したプロシージャが SYS$SYLOGIN の後に実行される。 |
| ユーザ指定コマンド・ファイル | ログイン・コマンド・プロシージャが個人用にもシステム用にも用意されていない場合，システムは LOGIN.COM というユーザ・ログイン・ディレクトリを探す。このディレクトリは，UAF (利用者登録ファイル) レコードの装置フィールドとディレクトリ・フィールドで定義されるものである。このファイルが見つかれば，システムはこのファイルを実行する。このコマンド・ファイルは，ユーザが作成および保守するもので，次の規則に従う必要がある。
新しいユーザのために，ログイン・コマンド・プロシージャのテンプレートを，新しく作成した最上位ディレクトリにコピーしてする。しかし，そのファイルに適切な所有権を与えるために，そのファイルの所有者 UIC (利用者識別コード) を新しいユーザに変更する必要がある。このためには，DCL の SET FILE/OWNER コマンドを使用する。 |
例 7-1 と 例 7-2 は，典型的なシステム全体でのログイン・コマンド・プロシージャとユーザ指定ログイン・コマンド・プロシージャの例です。
| 例 7-1 システム単位での SYS$MANAGER:SYLOGIN.COMログイン・コマンド・プロシージャ例 |
|---|
$ V = F$VERIFY(0)
$START:
$ !
$ SET NOCONTROL=Y ! Do not allow Ctrl/Y to exit procedure
$ SET NOON
$ !
$ ! Allow network jobs to start faster
$ !
$ IF F$MODE() .EQS. "NETWORK" THEN GOTO EXIT
$ !
$ ! Enable Ctrl/T handling by DCL
$ !
$ SET CONTROL=T
$ !
$ ! Define Foreign Commands For Installed Utilities
$ !
$ USERS == "SHOW USERS"
$ DISPLAY == "MONITOR PROCESSES/TOPCPU"
$ INFO == "SHOW PROCESS/CONTINUOUS"
$ SUSPEND == "SET PROCESS/SUSPEND"
$ RESUME == "SET PROCESS/RESUME"
$ SETNAME == "SET PROCESS/NAME"
$ !
$ ! Define a symbol indicating whether the terminal
$ ! is on a dialup port
$ !
$ TT == F$GETDVI("TT","DEVNAM")-"_"
$ DIALUP == ((TT .GES. "TTG0:" .AND. TT .LES. "TTG4:") -
.OR. (TT .GES. "TTH1:" .AND. TT .LES. "TTH4:") -
.OR. (TT .EQS. "TTI5:"))
$ IF DIALUP THEN SET TERMINAL/INQUIRE
$ !
$EXIT:
$ IF V THEN SET VERIFY
.
.
.
$ SET CONTROL=Y
$ EXIT
|
例 7-1 のように，ログイン・セッション中には，ログイン・コマンド・プロシージャが完了するまで，Ctrl/Y 機能 (実行を中断し，制御をコマンド・インタプリタに渡す機能) を使用不可にすることが可能です。Ctrl/Y 機能を使用不可にするためには，DCL の SET NOCONTROL=Y コマンドを使用します。このコマンドを使用した場合は，ログイン・コマンド・プロシージャが終了する前に Ctrl/Y 機能を再設定する DCL コマンド(SET CONTROL=Y) を，コマンド・プロシージャに追加する必要があります。
例 7-2 は，ユーザがログイン・ファイルで定義できる典型的な省略形とシンボルの例です。
| 例 7-2 ユーザ・アカウント用ログイン・コマンド・プロシージャ (LOGIN.COM) 例 |
|---|
$ SET NOON $ SET PROTECTION=(S=RD,O=RWED,G=R,W=R)/DEFAULT $ ! $ ! Define abbreviations for often used commands $ ! $ DIR*ECTORY == DIRECTORY/DATE/SIZE $ PU*RGE == PURGE/LOG $ DE*LETE == DELETE/LOG/CONFIRM $ ! $ ! $ ! Other useful abbreviations $ ! $ SHP == "SHOW PROCESS/PRIVILEGES" $ PRI*NT == "PRINT/NOTIFY" $ SHD == "SHOW DEFAULT" $ UP == "SET DEFAULT [-]" $ SP == "SET PROCESS/PRIVILEGES=" $ SQ == "SHOW QUEUE/BATCH/ALL/DEVICE" $ H*OME == "SET DEFAULT SYS$LOGIN" $ SUB*MIT == "SUBMIT/NOTIFY" $ SYS == "SHOW SYSTEM" $ DAY == "SHOW TIME" $ ! $ ! Set /LOG for all commands $ ! $ BACK*UP == "BACKUP/LOG" $ DEL*ETE == "DELETE/LOG" $ LIB*RARY == "LIBRARY/LOG" $ PUR*GE == "PURGE/LOG" $ REN*AME == "RENAME/LOG" $ ! $ ! End of LOGIN.COM processing $ ! $ GOTO 'F$MODE() $NETWORK: $ EXIT $INTERACTIVE: $ VN == "SET TERMINAL/WIDTH=80" $ VW == "SET TERMINAL/WIDTH=132" $ EXPERT == "SET MESSAGE/NOFACIL/NOSEVER/NOIDENT" $ NOVICE == "SET MESSAGE/FACILITY/SEVERITY/IDENTIF" $ NOVICE $ ! $ ! Symbols for network users $ ! $ SYSA == "SET HOST SYSA" $ SYSB == "SET HOST SYSB" $ SYSC == "SET HOST SYSC" $ EXIT ! End of interactive login $BATCH: $ SET VERIFY ! End of batch login $ EXIT |
システムは，ログアウト時に自動的にコマンドを実行する機能を備えていません。しかし，次のようにすると実行できます。
| 前へ | 次へ | 目次 | 索引 |