ACSの機能制限・「com.ibm.iaccess.ExcludeComps」と「com.ibm.iaccess.IncludeComps」は何が違うの？
Question
以前に公開された下記の記事を見ました。
ユーザーの誤操作を未然に防ぐ、ACSの機能を制限する方法3パターン！
https://www.e-bellnet.com/category/technology/2609/2609-01.html
２の方法を実施してみて無効にしたい機能を上手く制限できましたが、AcsConfig.properties を見ると以下2つの記述があります。
- com.ibm.iaccess.ExcludeComps=
- com.ibm.iaccess.IncludeComps=
この2つの違いは何でしょうか。
Answer
いつもe-bellnetをご活用いただきありがとうございます。
どちらもIBM i Access Client Solutions(ACS)の機能を制限（無効化）したいときに使用する記述ですが、制限したい機能の量によって使い分けることができます。
- 「com.ibm.iaccess.ExcludeComps=」
指定された機能だけが無効になります。（除外設定）
無効としたい機能が少ない場合にお勧めです。 - 「com.ibm.iaccess.IncludeComps=」
指定された機能だけが有効になり、指定されなかった機能は無効になります。（包含設定）
無効としたい機能が多い場合にお勧めです。
これらのプロパティーに指定できるキーワードは表の通りです。
細かなカスタマイズがしたい場合には「機能」のキーワードを、複数の機能を纏めて無効化したい場合は「グループ」のキーワードを指定します。
| 機能 | 記述 | グループ |
|---|---|---|
| 5250 | 5250 エミュレーター | emulator |
| cfg | システム構成 | ― |
| checkupdates | 使用可能な更新の確認 | ― |
| cldownload | データ転送コマンド行ダウンロード | dataxfer |
| console | 5250 コンソール | opconsole |
| consoleprobe | コンソール構成を見つけるためにローカル・ネットワークを検索します | opconsole |
| db2 | スキーマ | database |
| db2tools | SQL Performance Center | database |
| download | データ転送コマンド行ダウンロード | dataxfer |
| dtgui | データ転送グラフィカル・ユーザー・インターフェース | dataxfer |
| hmcprobe | HMC で区画を検索します | opconsole |
| Ifs | 統合ファイル・システム | ifs |
| keyman | SSL/TLS 証明書管理 | keyman |
| l1c | IBM Navigator for i (レベル 1 コンソール) | l1cplugin |
| osssetup | オープン・ソース・パッケージ管理 | ― |
| restrictview | 現在制限されている機能の表示の制限 | ― |
| rmtcmd | リモート・コマンド (コマンド行から使用可能) | rmtcmd |
| rss | SQL スクリプトの実行 | database |
| sm | 5250 セッション管理機能 | emulator |
| splf | プリンター出力 (スプール・ファイル) | splf |
| ssh | セキュア・シェル | ― |
| sysdbg | IBM i システム・デバッガー | debugger |
| upload | データ転送コマンド行アップロード | dataxfer |
| vcp | 仮想制御パネル | opconsole |
以下はハードウェア関連のキーワードです。
プロパティーのキーワードとして「hwconsole」を指定するとこれら全ての機能を纏めて無効にできます。
| 機能 | 記述 | グループ |
|---|---|---|
| hmi1 | ハードウェア管理インターフェース 1 (*脚注) | hwconsole |
| hmi2 | ハードウェア管理インターフェース 2 | |
| asmi | Advanced System Management Interface (ASMI) | |
| csmi | Copy Services Manager for i | |
| dcm | デジタル証明書マネージャー | |
| dshmc | DS HMC | |
| hmc | ハードウェア管理コンソール (HMC) | |
| httpadmin | Web (HTTP) Administration for i | |
| ivm | Integrated Virtualization Manager | |
| specctrl | Spectrum Control | |
| tapemgmt1 | テープ管理 1 | |
| tapemgmt2 | テープ管理 2 | |
| are | Administration Runtime Expert | |
| db2webquery | Db2 Web Query |
制限していないACSメインメニュー画面は以下の通りです。
実際に制限を記述した場合以下のようにメニューが制限されます。
例：データ転送グラフィカル・ユーザー・インターフェース（dtgui）の機能をだけを無効にする
com.ibm.iaccess.ExcludeComps= dtgui
例：グループdataxferの機能（cldownload、download、dtgui、upload）を纏めて無効にする
com.ibm.iaccess.ExcludeComps= dataxfer
※メインメニュー画面のイメージは前項の通りです、5250画面のアクションメニュー差異のみ図示
右の画像を見ると、データ転送関連の項目が消えていることが分かります。
例：5250エミュレーター（5250）だけを有効にして、それ以外を無効にする
com.ibm.iaccess.IncludeComps= 5250
例：グループ emulator の機能（5250、sm）だけを纏めて有効にする
com.ibm.iaccess.IncludeComps= emulator
※よく混同されがちですが、Navigator for i 自体はACSの機能ではありません。
ACS側で行っているのは "ACS上にNavigator for i へのリンクを表示しているだけ" にすぎないため、上記の設定でACS上のリンクを無効化（非表示）にしても、Navigator for i そのものが停止するわけではありません。
ブラウザから直接URLを叩けばアクセスできてしまいますのでご注意ください。
昨今では、不要なアクセスや誤操作によって生じるオブジェクトの削除やデータの不整合といったリスクを抑えるため、クライアント側の機能を適切にコントロールしたいというニーズが高まっています。
今回のACSによる機能制限のようにエミュレーターの機能を抑制するだけで十分なのか、それとも根本的にIBM i (AS/400)側のサービスまで停止すべきなのか等、セキュリティポリシーを見直す一助になれば幸いです。
by . 槻樹
