AS400権限・監査チェックリスト｜ユーザープロファイル・オブジェクト権限・退職者IDを確認する

AS400 / IBM i は長く使われることが多く、業務は安定していても、ユーザープロファイル、オブジェクト権限、退職者ID、共用IDの運用が古いまま残っていることがあります。障害が起きてから見るのではなく、保守の棚卸しとして定期的に確認したい領域です。

権限監査を研修題材にする時の見方

ユーザープロファイル、特殊権限、オブジェクト権限、退職者IDの確認は、担当者が手順を覚えるだけでなく、なぜその順番で見るのかを説明できることが重要です。Codexを使う場合も、実データや個人情報をそのまま入力せず、確認観点を整理してから使う必要があります。

法人向けの研修では、権限監査そのものを無償で代行するのではなく、社内担当者が安全に調査できるように、確認順序、記録の残し方、NDAが必要な情報の扱いを整理します。研修として検討する場合は、AS400 Codex研修の内容に組み込めます。

*ALLOBJ のような強い権限は、持っていること自体が悪いのではなく、理由、対象者、利用場面、期限、代替策が説明できない状態が危険です。保守会社や開発担当者に付与した権限も、プロジェクト終了後に残っていないか確認します。

現場では「昔からあるIDだから」という理由で退職者IDや共用IDが残っていることがあります。障害時には便利でも、監査やインシデント時には説明が難しくなります。廃止できない場合も、用途、責任者、保管場所、利用記録を明確にします。

担当者退職時の棚卸しは AS400担当者が退職する時の引き継ぎチェックリスト、属人化対策は AS400保守の属人化を減らす方法にまとめています。保守会社を選ぶ時も、権限管理をどう扱うかは重要な確認ポイントです。

権限や監査の相談でCodexを使う場合は、ユーザー名、会社名、IP、取引先、実データを入れず、権限種別や運用パターンだけに匿名化します。AIは棚卸し観点の整理には使えますが、最終判断と権限付与は必ず人が行います。

関連する確認手順

AS400の権限監査では、誰に何の権限があるかだけでなく、そのユーザーがどの業務を担当し、なぜ本番環境の権限が必要なのかを確認します。退職者、異動者、外部エンジニア、共有ユーザーは、承認と棚卸しの記録を残すべき対象です。

AS400 / IBM iの権限監査では、退職者IDの有無だけでなく、ユーザープロファイル、グループプロファイル、特殊権限、オブジェクト権限、ライブラリ権限、システム値をあわせて確認します。長く使っている環境ほど、過去の例外対応が残っていることがあります。

保守会社や外部パートナーへ依頼する場合も、誰にどの権限を渡すか、作業後に戻すか、監査ログを残すかを先に決めます。障害対応を急ぐ時ほど、権限を広げたままにしない運用が重要です。

退職者のユーザーIDを無効化するだけでなく、グループ、認可リスト、共有運用ID、スケジュールジョブへの影響を確認します。

確認点	確認内容	判断
利用者	在籍、役割、最終利用、状態、グループ所属を確認する	不要IDと休職・非常用IDを区別する
権限	特殊権限、重要オブジェクト、認可リスト、共有IDの利用を確認する	役割に対して過剰な権限を例外のまま残さない
運用	バッチ、ジョブ記述、外部接続、所有オブジェクトへの影響を確認する	停止後に定常処理が失敗しないよう事前に移管する

残す例外には理由、承認者、期限、再確認日を付けます。棚卸し後は変更一覧と業務テストを確認し、単に一覧表を更新して終わらせません。