【JP1/Base】ユーザーマッピングの基礎知識～知っておきたい設定方法と注意点を総ざらい

JP1/AJS3やJP1/IM2などのJP1製品で使用されるユーザーは「JP1ユーザー」ですが、任意のサーバに対してジョブやコマンドを実行する際には、対象のサーバ上の「OSユーザー」の権限が必要になります。

今回は、ジョブやコマンドを実行したいサーバ上でJP1ユーザーとOSユーザーを対応づける「ユーザーマッピング」の考え方をご紹介します。

改めて、JP1によりジョブやコマンドを実行する際に必要なユーザーと権限の考え方を説明します。JP1へのログインや、JP1の操作を行うには一部の製品を除き「JP1ユーザー」が必要です。このJP1ユーザーは、あくまでJP1の操作に関してのみ必要となるユーザーです。

では、サーバ上でJP1を通じてコマンドを実行する際には、コマンド実行はどのユーザーの権限で行われるのでしょう？それは、当然OSのユーザー権限です。
そのため、ジョブやコマンドを実行したいサーバ上で、JP1ユーザーと OSユーザーを対応づける必要があります。これを「ユーザーマッピング」といいます。

なお、ユーザーマッピングはジョブを実行するサーバやコマンド実行するサーバすべてで必須ですが、JP1ユーザーの認証を行う「認証サーバ」（※）については任意の1台のみで問題ありません。

＜ユーザーマッピングイメージ＞

JP1ユーザーは JP1/Baseで作成しますが、Windows版、UNIX/Linux版ともにインストール時に jp1adminというJP1ユーザーが作成されます。jp1adminはWindows版の場合はインストール時に指定したOSユーザー、
UNIX/Linux版の場合はOSの管理者ユーザーがマッピングされます。

デフォルトで作成されるjp1admin以外のJP1ユーザーを手動で作成する場合、「jpsadduser」コマンド、またはGUI（Windows版のみ）より作成できます。以下、JP1ユーザーの作成手順を記載します。

＜Windowsの場合（GUI）＞
１．スタート→[プログラム]→[JP1_Base]→[JP1_Base Setup]を起動しします。

２．[JP1/Base環境設定]画面よりJP1ユーザーの[追加]をクリックします。

３．表示された画面で、作成するJP1ユーザー名およびパスワードを入力し、[OK]をクリックします。

手順1.～3.をコマンドで実行する場合は下記の通りです。

＜Windowsの場合（コマンド）＞

　
　> jbsadduser -p パスワード JP1ユーザー名
　

＜UNIXの場合（コマンド）＞

　
　#/opt/jp1base/bin/jbsadduser -p パスワード JP1ユーザー名
　

４．[認証サーバ]タブで、作成したJP1ユーザーが登録されていることを確認します。

手順1.～4.をコマンドで実行する場合は下記の通りです。

＜Windowsの場合（コマンド）＞

　
　> jbslistuser
　

＜UNIXの場合（コマンド）＞

　
　#/opt/jp1base/bin/jbslistuser
　

コマンドのオプションを含む詳細については以下のマニュアルをご参照ください。

どのような操作、参照ができるかを「JP1権限レベル」で、グループ単位で権限を指定する場合は「JP1資源グループ」で定義します。

JP1権限レベルとJP1資源グループの詳細につきましては、下記マニュアルをご参照ください。

作成したJP1ユーザーへのOSユーザーのマッピングはGUI（Windows版のみ）または「jbssetumap」コマンドにて行います。

＜Windowsの場合（GUI）＞

１.　スタート→[プログラム]→[JP1_Base]→[JP1_Base Setup]を起動し、
　　[ユーザーマッピング]タブを開き、パスワード管理の[設定]をクリックします。

２．パスワード管理の画面が表示されますので、[新規登録]をクリックします。

３．ユーザー名にOSのユーザー名を、パスワードにOSユーザーのパスワードを入力して[OK]をクリックします。

４．OSユーザー登録後、[ユーザーマッピング]タブにて[JP1ユーザー]の[追加]をクリックします。

5．表示された画面に、マッピングしたいJP1ユーザーと、JP1ユーザーがジョブやリモートコマンド（自動アクション）などの操作命令を出すサーバホストを設定します。サーバホストに「*」を指定すると、すべてのサーバホストからの操作が有効になります。

６．[OK]をクリックし、下記画面にてマッピングするOSユーザーを選択し、[追加]をクリックします。

７.　[OK]をクリックし、マッピングしたJP1ユーザーが登録されていることを確認します。

＜Windowsの場合（コマンド）＞
「jbssetumap」コマンドにてユーザーマッピングを行えます。

【形式】
jbssetumap [-h 論理ホスト名]
{-u JP1ユーザー名 | -ua}
{-sh サーバホスト名 | -sha}
-o OSユーザー名[,OSユーザー名...]
[-no]

実行例：サーバホスト名に「*」を指定する場合

　
　>jbssetumap -u JP1ユーザー名 -sha -o OSユーザー名
　

「jbsgetumap」コマンドにてマッピングしたJP1ユーザとOSユーザー情報を表示します。

【形式】
jbsgetumap [-h 論理ホスト名]

上記例では、
JP1ユーザー：jp1adminに、OSユーザー：administratorが、
JP1ユーザー：jp1user01に、OSユーザー：osuser01
というユーザーがマッピングされている状態となります。

＜UNIXの場合＞
「jbssetumap」コマンドにてユーザーマッピングを行えます。

【形式】
jbssetumap [-h 論理ホスト名]
{-u JP1ユーザー名 | -ua}
{-sh サーバホスト名 | -sha}
-o OSユーザー名[,OSユーザー名...]
[-no]

実行例：サーバホスト名に「*」を指定する場合

　
　#/opt/jp1base/bin/jbssetumap -u JP1ユーザー名 -sha -o OSユーザー名
　

「jbsgetumap」コマンドにてマッピングしたJP1ユーザとOSユーザー情報を表示します。

上記例では、
JP1ユーザー：jp1adminに、OSユーザー：rootが、
JP1ユーザー：jp1user01に、OSユーザー：osuser01
というユーザーがマッピングされている状態となります。

コマンドでのユーザーマッピングに関する操作や、コマンドのオプションを含む詳細については以下のマニュアルをご参照ください。

！JP1ユーザーへのOSユーザーマッピング時の注意事項！
JP1ユーザーに管理者権限のあるOSユーザーをマッピングすると、操作権限の設定に関係なく、すべてのJP1資源を操作できます。このため、JP1ユーザーに対してJP1資源に対する操作制御をしたい場合は、JP1ユーザーに「管理者権限以外の権限を持つOSユーザー」をマッピングしてください。

ただし、JP1/AJS3の環境設定パラメーター「ADMACLIMIT」が「yes」に設定されている場合、マッピングするOSユーザーに関係なく、JP1ユーザーに設定されたJP1権限レベルに従ってアクセス制限を行います。（ADMACLIMITのデフォルト値は「no」です）

詳細については前述した　6.4.1　アクセス権限についての検討項目 　および下記マニュアルをご参照ください。

ユーザーマッピングの操作を行う際の注意事項をご紹介します。

ユーザーマッピング関連の「KAVU4571-W エージェント(エージェントホスト名)でユーザーマッピング(JP1ユーザー名)に失敗しました」メッセージはJP1サポートセンターで1、2を争うよくあるお問い合わせの一つです。

こちらはユーザーマッピングしたOSユーザーのパスワードが変更されていなかったり、必要なOS権限が付与されていない場合等に出るものとなります。

本ブログにて、JP1ユーザーとユーザーマッピングについて、基本的な内容からよくお問い合わせいただく注意点などについてご紹介いたしました。JP1からジョブやコマンドを実行する際は、ユーザーマッピングされたOSユーザーで実行されますので、実行するジョブやコマンドで問題があった際はマッピングされたOSユーザーの観点でも一度御確認いただければと思います。

尚、サポートセンターではJP1ユーザーに関するFAQも含め、多くのFAQを揃えておりますので、併せて御確認いただければと思います。