AS400 / IBM i のセキュリティ確認では、ユーザー権限やシステム値だけでなく、監査ログをどう残し、どう確認するかが重要です。代表的な入口が監査ジャーナル QAUDJRN と DSPJRN です。ただし、本番環境で監査設定を急に変えると、ジャーナルレシーバーの増加や運用負荷につながることがあります。
この記事では、AS400の監査ログ、QAUDJRN、DSPJRNを見る前に確認することを、保守現場の目線で整理します。権限変更、不正アクセス調査、削除操作の追跡、ODBC/JDBC接続の監査を考える時の入口です。
監査ログで確認したいことを先に決める
監査ログは、何でも記録すればよいものではありません。ログの量が増えすぎると、保管、検索、バックアップ、復旧時の扱いが難しくなります。まず、何を追跡したいのかを決めます。
- サインオン失敗や不審なログインを見たい
- 権限変更やユーザープロファイル変更を追いたい
- 重要ファイルの削除、変更、参照を確認したい
- ODBC/JDBCや外部接続の利用状況を追いたい
- 監査証跡として一定期間残したい
QAUDJRNとDSPJRNの役割
QAUDJRNは、IBM iの監査情報を記録するために使われる代表的な監査ジャーナルです。DSPJRNはジャーナルの内容を表示するコマンドです。監査ログを見る時は、ジャーナル、ジャーナルレシーバー、対象エントリー、期間、ユーザー、ジョブを分けて確認します。
DSPJRNで出力する時は、対象範囲を絞ることが重要です。期間やエントリータイプを絞らずに大量出力すると、調査に時間がかかり、必要な情報を見落とします。監査ログを本格的に扱う前に、運用担当者、セキュリティ担当者、保守会社で確認目的をそろえます。
設定変更前に見るシステム値
監査に関係するシステム値や運用設定は、むやみに変更しない方が安全です。現在の設定、変更理由、影響範囲、戻し手順、ジャーナルレシーバーの保管方針を確認します。システム値の見方は DSPSYSVAL・WRKSYSVALの確認手順 を参照してください。
権限や機密保護の全体像は AS400機密保護・権限確認チェックリスト、ジャーナルとレシーバーの基本は ジャーナル・コミットメント制御の基本 も合わせて確認してください。
外部接続やAI活用と組み合わせる時
ODBC/JDBC、API連携、AIを使った調査を進める場合も、誰が、いつ、どのデータへアクセスしたかを追える状態にすることが大切です。接続ユーザーを共有しすぎると、後から原因を追いにくくなります。
外部接続の入口は AS400 ODBC/JDBC接続の確認ポイント、AIやCodexの安全利用は AS400保守でAI・Codexを安全に使う方法 を確認してください。
監査ログ確認前チェックリスト
- 何を追跡したいか決めたか
- 対象ユーザー、対象ファイル、対象期間を絞ったか
- QAUDJRNやジャーナルレシーバーの保管方針を確認したか
- 監査設定変更の影響範囲と戻し手順を確認したか
- ログの出力結果に個人情報や機密情報が含まれる前提で扱っているか
監査ログは、障害対応やセキュリティ確認の最後のよりどころになることがあります。AS400の運用では、QAUDJRN、DSPJRN、システム値、権限、外部接続を切り離さず、目的を決めて安全に確認することが大切です。
QAUDJRNとDSPJRNは本番作業前に見方を決める
QAUDJRNやDSPJRNは、障害が起きてから慌てて見るより、本番作業前に「何を証跡として残すか」を決めておく方が役に立ちます。権限変更、重要ファイルの更新、データ抽出、ODBC/JDBC接続、外部連携の調査では、誰が、いつ、どのジョブで、どのデータへ触ったかを説明できる状態にしておきます。
- 権限変更や特殊権限の棚卸はQAUDJRNと権限一覧を合わせて見る
- データ更新事故はDSPJRNで更新前・更新後を確認する
- 外部接続はジョブ名、ユーザー、接続元、抽出対象を合わせて確認する
- 障害報告書には、確認した期間、ファイル、ジョブ、ユーザーを残す
DSPJRN出力から更新前レコードを作る現場テクニック
ジャーナルを設定しているファイルでは、DSPJRNで更新前・更新後の履歴を機械的に確認できます。DSPJRNをファイル出力すると、前半にIBM i側の制御情報、後半に実データが入ります。出力項目は環境や指定で変わるため、まずDSPFFDで出力ファイルの項目を確認します。
更新前レコードを作る時は、障害発生時刻、対象ファイル、ジョブ、ユーザー、エントリータイプ、キー項目を条件にして、QRYやSQLで更新前イメージだけを抽出します。抽出結果は戻し候補であり、そのまま本番へ戻すものではありません。件数、キー、後続バッチ、帳票、EDI、締め処理への影響を確認してから、戻しやリランを判断します。
| 確認観点 | 目的 |
|---|---|
| 制御情報 | 更新時刻、ジョブ、ユーザー、更新区分を絞る |
| 実データ側のキー | 対象レコードだけを抽出する |
| 更新前・更新後イメージ | 戻す値と戻してはいけない値を分ける |
| 後続処理 | リランや再送で二重更新しないか確認する |
| 承認記録 | 本番データを戻す根拠を残す |
DSPJRN出力ファイルを扱う時の注意
DSPJRNの出力ファイルは、見た目の後半に実データが入っていても、先頭側の制御情報を無視すると誤抽出になります。QRYやSQLで更新前レコード候補を作る前に、出力ファイルの項目定義と抽出条件を確認します。
| 確認 | 見ること | 危ない状態 |
|---|---|---|
| 項目定義 | DSPFFD、制御項目、実データ部 | 実データの開始位置を思い込みで扱う |
| 更新区分 | 更新前、更新後、追加、削除 | 更新後イメージを更新前として抽出する |
| キー項目 | 得意先、品番、伝票番号など | 別レコードまで戻し候補に含める |
| 時刻範囲 | 障害発生時刻、ジョブ、ユーザー | 正常処理の更新まで混ざる |
DSPJRNで確認したあとに見る記事
- AS400本番反映・戻し手順チェックリスト
- AS400のジャーナル・コミットメント制御とは
- AS400本番データ修正の承認チェックリスト
- AS400権限確認チェックリスト
- QZDASOINIT・ODBC/JDBC接続ジョブの確認
- AS400障害報告書テンプレート
監査ログを確認した後に残す情報
QAUDJRNやDSPJRNで確認した結果は、単発の画面メモで終わらせず、対象期間、ユーザー、ジョブ、操作種別、関連する業務影響を分けて残します。
不審なログインや権限変更が疑われる場合は、ログイン失敗、ユーザープロファイル、外部接続、権限設定を合わせて確認すると、再発防止まで話を進めやすくなります。
参考：IBM公式ドキュメント（DSPJRN）
本記事で扱った DSPJRN の全パラメーターと表示項目の定義は、IBM公式ドキュメントで確認できます。指定できる値や既定値はOSリリースによって異なるため、本番環境では自社のリリースに合わせて確認してください。