セキュリティガイドライン

フィードバック

IBM Bob Premium Package for i は、コード開発と IBM i システム操作のために IBM Bob を大きく強化する tool です。これらの機能には、Bob を安全に使う責任も伴います。IBM Bob 全般のセキュリティガイドラインについては、IBM Bob Security Guidance を参照してください。

IBM i 固有のセキュリティ考慮事項

フィードバック

以下は、IBM Bob Premium Package for i に特有の追加セキュリティ考慮事項です。

IBM i へのアクセスと使用

フィードバック
• IBM i communication: IBM Bob Premium Package for i は、IBM i との通信に Code for IBM i を介した SSH のみを使用します。Bob が IBM i に安全に接続できるよう、これを安全に構成してください。
フィードバック
• Multi-factor authentication: 該当する場合は、こちら に記載されているとおり、Code for IBM i で Multi-factor authentication がサポートされており、利用を推奨します。
フィードバック
• User profile usage: IBM Bob Premium Package for i は、Code for IBM i を通じて確立された有効な接続の user profile を使って IBM i とやり取りします。Bob が IBM i 上に新しいオブジェクトを作成する場合は、親となる場所が安全であり、適切な権限が設定されていることを確認してください。また、使用する user profile には必要最小限の権限だけを付与してください。user profile に IBM i 上で許可されている操作は、Bob でも実行可能になります。
フィードバック
• Activity tracking: IBM Bob Premium Package for i は、自身が使用する SQL job に対して CLIENT_APPLNAME special register を設定し、extension とその依存関係を識別できる値（例: 1.109.5+IBM.bob-code 2.0.0 | code-for-ibmi 3.0.10）を記録します。この値は、IBM i 上で Bob に起因する操作を追跡および監査するために使用できます。

extension のインストールと使用

フィードバック
• Prerequisite extensions: IBM Bob Premium Package for i は、複数の open source IBM i extensions に依存しています。これらの extension は常に最新の状態に保ってください。Extensions view で Auto Update を有効にすると簡単です。
フィードバック
• Install trusted extensions only: Bob では Extensions view から任意の extension をインストールできます。ただし、インストールするのは信頼できる extension のみにしてください。そうしないと、環境の整合性が損なわれる可能性があります。
フィードバック
• Code for IBM i
  • Temporary library access: Code for IBM i は、一時オブジェクトを保存するための一時ライブラリーを必要とします。デフォルトでは ILEDITOR に設定され、他のユーザーと共有されます。セキュリティを強化するには、こちら の説明どおり、自分専用の一時ライブラリーを指定し、他のすべてのユーザーからのアクセスを除外してください。
  • Temporary IFS directory: Code for IBM i は、一時的な stream file を保存するための一時 IFS ディレクトリーを必要とします。デフォルトではホームフォルダー内の ~/.vscode/tmp に設定されています。フォルダーを変更する場合は、自分だけがアクセスできるように権限を設定してください。
  • IFS system configuration files: Code for IBM i は、IFS 内の固定場所に一度設定して、そのシステムに Bob を使って接続するすべてのユーザーに適用できる system-wide settings をサポートしています。これは、複数ユーザーやチーム間で一貫した環境を整えるのに便利です。これらの設定ファイルは IFS 内の /etc/vscode/ 配下に保存されます。設定が常に有効であり、適切なユーザーだけが編集できるよう権限が正しく設定されていることを確認してください。
フィードバック
• IBM i Testing
  • RPGUnit installation: IBM i Testing extension を使用するには、IBM i 上に RPGUnit がインストールされている必要があります。これは完全に任意であり、unit testing 用の tool、skill、workflow を活用する場合にのみ必要です。このインストールを簡単にするため、extension には こちら に記載された方法で IBM i 上に RPGUnit test library をインストールする機能があります。デフォルトでは RPGUNIT ライブラリーにインストールされます。セキュリティを強化するには、自分専用の RPGUnit ライブラリーを用意し、他のすべてのユーザーを除外した単独アクセスにすることをおすすめします。
  • RPGUnit permissions: デフォルトでは、RPGUNIT ライブラリーへの public access は *CHANGE です。extension 経由でも手動でも、このライブラリーへのアクセスは適切に構成し、開発者には読み取りアクセスのみを与え、更新できるのはシステム管理者だけにしてください。