AS400パスワードポリシー確認手順｜システム値・期限切れ・サインオン失敗を点検する

AS400 / IBM i のパスワードポリシーは、ログインできない問い合わせだけでなく、監査や退職者ID管理にも関わります。パスワード期限、サインオン失敗、ユーザーIDロック、初期パスワード運用、共有IDの有無を定期的に確認します。

確認する項目

パスワードポリシーは、厳しくすればよいというものではありません。締め処理や夜間対応で必要なID、外部連携で使うID、退職者IDの停止ルールを合わせて整備します。特に本番作業用IDは、利用者、承認者、利用日時を残す運用が必要です。

ログインできない時の切り分けは下の表で確認してください。システム値の表示方法は DSPSYSVAL・WRKSYSVALの確認手順、監査観点は AS400権限・監査チェックリストを参照できます。

WRKUSRPRFでは、プロファイルが有効か、パスワード変更が必要か、グループプロファイル、初期メニュー、初期プログラム、特殊権限を確認します。復旧だけを急ぐと、過剰権限を付けたまま残ることがあります。

ユーザーID対応では、申請者、承認者、対象業務、付与した権限、期限、退職・異動時の扱いを残します。ログイン障害の対応記録を残しておくと、監査や引き継ぎで説明しやすくなります。

権限申請と棚卸しは AS400権限・監査チェックリスト、端末接続側の切り分けは 5250・ACS接続トラブルの確認手順も確認してください。

関連: AS400 5250ログインできない時の初動確認｜ACS・端末・ユーザーIDを切り分けるもあわせて確認してください。

パスワード関連の問い合わせでは、「ログインできない」という一言だけでは原因を決められません。期限切れ、入力ミス、ユーザー無効化、端末側の接続問題、プロファイルの権限変更が混ざります。私はまず、利用者の申告内容とAS400側のシステム値を分けて確認します。

現場では、パスワードを再設定して終わりにすると、同じ問い合わせが繰り返されます。誰が、いつ、どの端末で、どの業務をするために入れなかったのかまで残すと、運用改善や権限棚卸しにつなげやすくなります。

AS400のパスワード運用は、ユーザープロファイルだけでなくシステム値と運用ルールを合わせて確認します。厳しすぎても現場が回らず、緩すぎても監査で説明できません。

確認点	確認内容	判断
システム値	QPWDLVL、QPWDRULESと、QPWDMINLEN・QPWDEXPITV・QPWDRQDDIF等の実効条件を確認する。QPWDRULESの指定によってQPWDMINLEN等が使われない場合がある	リリース別のIBM仕様と社内方針を照合し、調査中に値を変更しない
利用者影響	期限切れ、初期パスワード、ロック解除依頼の件数を確認する	問い合わせ増加が見込まれる場合は周知日を決める
例外管理	バッチ用、連携用、緊急用のプロファイルを分けて確認する	人が使うIDとシステム用IDを同じ基準で扱わない