AS400権限・監査チェックリスト｜ユーザープロファイル・オブジェクト権限・退職者IDを確認する

AS400 / IBM i は長く使われることが多く、業務は安定していても、ユーザープロファイル、オブジェクト権限、退職者ID、共用IDの運用が古いまま残っていることがあります。障害が起きてから見るのではなく、保守の棚卸しとして定期的に確認したい領域です。

権限を変えずに、対象を絞って証跡を取る

次は架空名による表示例です。閲覧権限を持つ担当者が、承認された対象を一つずつ確認します。

DSPUSRPRF USRPRF(TESTUSER) TYPE(*BASIC)
DSPOBJAUT OBJ(TESTLIB/ORDERPF) OBJTYPE(*FILE)

ユーザー側では特殊権限・グループ・状態を、オブジェクト側では所有者・個別権限・公開権限・権限リストを記録します。表示内容は実行者の権限に左右されるため、見えない項目を「設定なし」と判断しません。実効権限にはグループや借用権限も関係するので、個別権限の表だけで利用可否を断定しないでください。

*ALLOBJは非常に強いオブジェクト権限ですが、他の特殊権限が必要な操作をすべて直接許す、という意味ではありません。例としてユーザープロファイル作成は*SECADMの確認が必要です。権限不足を見つけても、その場で*ALLOBJを追加する手順にはしません。

*ALLOBJ のような強い権限は、持っていること自体が悪いのではなく、理由、対象者、利用場面、期限、代替策が説明できない状態が危険です。保守会社や開発担当者に付与した権限も、プロジェクト終了後に残っていないか確認します。

現場では「昔からあるIDだから」という理由で退職者IDや共用IDが残っていることがあります。障害時には便利でも、監査やインシデント時には説明が難しくなります。廃止できない場合も、用途、責任者、保管場所、利用記録を明確にします。

担当者退職時の引き継ぎは AS400後任者への引き継ぎチェックリスト、属人化対策は AS400保守会社に相談する前のチェックリストにまとめています。保守会社を選ぶ時も、権限管理をどう扱うかは重要な確認ポイントです。

退職者のユーザーIDを無効化するだけでなく、グループ、認可リスト、共有運用ID、スケジュールジョブへの影響を確認します。

確認点	確認内容	判断
利用者	在籍、役割、最終利用、状態、グループ所属を確認する	不要IDと休職・非常用IDを区別する
権限	特殊権限、重要オブジェクト、認可リスト、共有IDの利用を確認する	役割に対して過剰な権限を例外のまま残さない
運用	バッチ、ジョブ記述、外部接続、所有オブジェクトへの影響を確認する	停止後に定常処理が失敗しないよう事前に移管する

残す例外には理由、承認者、期限、再確認日を付けます。棚卸し後は変更一覧と業務テストを確認し、単に一覧表を更新して終わらせません。

担当者が異動する時は、ユーザープロファイルの直接設定だけでなく、グループや運用用IDを通じた広い権限も確認します。

確認点	確認内容	判断
付与元	本人、グループ、運用ID、ジョブ記述など権限の利用経路を確認する	直接付与だけを見て完了にしない
利用目的	必要業務、利用頻度、承認者、代替手段を確認する	過去に必要だったという理由だけで残さない
変更	検証、実施日時、緊急時手順、戻し条件を決める	影響を確認せず一括削除しない

例外として残す権限には期限と再確認日を付けます。棚卸し後は、必要な定常処理と障害対応が動き、不要な操作が許可されていないことを確認します。

本番作業全体の注意点は、AS400本番対応チェックリストも合わせて確認してください。