RACF. Resource Access Control Facility. Tanfolyami jegyzet. ICSS Kft 2019

Átírás

1 RACF Resource Access Control Facility Tanfolyami jegyzet ICSS Kft 2019

2 RACF 3 Bevezetés 22 Felhasználók és csoportok 41 Datasetek 52 Általános erőforrások 60 Opciók ICSS Kft

3 RACF bevezetés Biztonság: Az erőforrások védelme Adatbiztonság: Az adatok védelme jogosulatlan, szándékos és véletlen: megsemmisítéstől módosítástól közzétételtől felhasználástól ICSS Kft

4 RACF bevezetés ICSS Kft

5 RACF fő funkciói: user azonosítás és ellenőrzés RACF számára definiálva van a user megfelelő jelszót (PassTicketet, UIDCARD-ot, digitális aláírást) adott a user OMVS esetén az UID és a GID érvényes REVOKE (letiltott) státuszú a user az adott napon és időpontban beléphet a user használhatja az adott terminált (az adott időben) használhatja az alkalmazást ICSS Kft

6 User profile User ID jelszó (titkosítva) profile owner attribútum (special, auditor, operation, revoked, protected) csoporttagság szegmensek (OMVS, TSO,... ) ICSS Kft

7 RACF fő funkciói: erőforráshoz hozzáférés ellenőrzés leggyakrabban használt funkció erőforrás profile-okban megadott jogosultságok ICSS Kft

8 RACF - OS 1.A felhasználó hozzáférést kér az objektumhoz (pl. editorral megnyitja) a resource Managertől. 2.A resource Manager a RACF-hez fordul a kéréssel. 3.A RACF az adatbázisa alapján ellenőrzi, hogy van-e megfelelő joga a felhasználónak a profile-ja alapján. 6.A RACF visszaadja a státuszt a resource managernek. 7.A resource Manager teljesíti (vagy sem) a kérést. ICSS Kft

9 Erőforrás profile profile név profile owner UACC ACL (access list: csoportok, felhasználók) naplózás warning (figyelmeztetés) ICSS Kft

10 Hozzáférés ellenőrzés ICSS Kft

11 RACF fő funkciói: naplózás részletesen beállítható a részletesség alap: minden biztonsági sértés kísérlete naplózásra kerül SMF-ben tárolva TXT/DB2-be konvertálható AUDITOR attribútum ICSS Kft

12 RACF fő funkciói: adminisztrálás új felhasználó felvitele új erőforrás felvitele csoport tagság módosítás (leggyakoribb funkció) módosítás SPECIAL attribútum ICSS Kft

13 ICSS Kft

14 Csoportok ICSS Kft

15 ICSS Kft

16 RRSF ICSS Kft

17 RVARY, SYSPLEXben ICSS Kft

18 Parancsok LU listuser LG listgroup ALU icbel PASSWORD(pwd) RESUME altuser CO icbel GROUP(itsgrp) connect RE icbel GROUP(itsgrp) remove LD DA('icbel.master.cntl') G AU listdsd PE 'icbel.**' ID(itsgrp) ACC(alter) permit RL opercmds.** AU rlist ICSS Kft

19 Jogosultsági szintek alter control update read execute none ICSS Kft

20 Hibaüzenetek ICH408I USER(STUD00 ) GROUP(STUDGRP ) NAME(#) ZOS21.MASTER.CATALOG CL(DATASET ) VOL(Z21CAT) INSUFFICIENT ACCESS AUTHORITY FROM ZOS21.** (G) ACCESS INTENT(UPDATE ) ACCESS ALLOWED(READ ) ICH408I USER(STUD00 ) GROUP(STUDGRP ) NAME(#) ISFCMD.FILTER.OWNER CL(SDSF ) INSUFFICIENT ACCESS AUTHORITY FROM ** (G) ACCESS INTENT(READ ) ACCESS ALLOWED(NONE ) ICSS Kft

21 Összefoglalás ICSS Kft

22 Felhasználók Attribútumok general user special auditor, roauditor operations restricted protected

23 Special, auditor

24 Üres RACF adatbázis

25 Operations, Restricted

26 Sup/sub group

27 Parancsok ADDGROUP AG (groupnév...) [OWNER(user/group)] [SUPgroup(group)] [DATA('megjegyzés')] ALTGROUP ALG (groupnév...) [OWNER(user/group)] [SUPgroup(group)] [DATA('megjegyzés') NODATA] [UNIVERSAL] ADDGROUP augyfel owner(aelado) sup(aelado) data('a osztály ügyfelei') Több csoport tagja is lehet a felhasználó, ezek közül bejelentkezéskor választható a CURRENT CONNECT GROUP, ami list of access checking esetén kis fontosságú

28 racf menu: r.3 RACF - GROUP PROFILE SERVICES SELECT ONE OF THE FOLLOWING. 1 ADD Add a group profile 2 CHANGE Change a group profile 3 DELETE Delete a group profile 4 CONNECT Add or change a user connection 5 REMOVE Remove users from the group D or 8 DISPLAY S or 9 SEARCH Display profile contents Search the RACF data base for profiles ENTER THE FOLLOWING INFORMATION. GROUP NAME ===> AOSZT OPTION ===> 1

29 racf menu: r.3.1 RACF - ADD GROUP AOSZT Enter the following information: OWNER ===> admin Userid or group name SUPERIOR GROUP ===> admin USE TERMINAL UACC ===> YES YES or NO UNIVERSAL ATTRIBUTE ===> NO YES or NO Identify a model profile for group datasets (optional): PROFILE NAME ===> To ADD the following optional information, enter any character: _ INSTALLATION DATA _ DFP PARAMETERS _ OMVS PARAMETERS _ OVM PARAMETERS _ CSDATA PARAMETERS

30 Parancsok LISTGRP LG DELGROUP DG (groupnév) [(groupnév...) *] IRRRID00

31 Parancsok SEARCH SR CLASS(GROUP) FILTER() MASK() USER() AGE() CLIST() GID() sr filter(a*) clist ('delgroup ') class(group) sr mask(a) clist ('alg ' ' owner(icbel)') class(group) exec 'icbel.exec.racf.clist'

32 Feladat - csoportok

33 Felhasználók: profile User ID jelszó (titkosítva) profile owner attribútum (special, auditor, operation, revoked, protected) csoporttagság szegmensek (OMVS, TSO,... )

34 Felhasználók - AU ADDUSER AU (userid) [owner(user/grp)] [dfltgrp(grp)] [name('név')] [data('megjegyzés)] [password(jelsz) nopassword] [oidcard nooidcard] [clauth(osztály) noclauth] [special] [auditor] [operations] [restricted] [when(days(...) time(...))] [seclabel()] [seclevel()] [TSO()] [OMVS()] [DFP()] [CICS()] [OPERPARM()] [NETVIEW()] [DCE()] [LANGUAGE()] [OVM()] [LNOTES()] [NDS()] [KERB()] [PROXY()] [EIM(LDAPPROF()]

35 Felhasználók - ALU ALTUSER ALU (userid) ADDUSER -hez hasonló: expired, noexpired, pwclean, pwconvert, revoke(), norevoke, resume(), noresume, nodata nospecial noauditor nooperations norestricted noseclabel noseclevel NOTSO NOOMVS NODFP NOCICS NOOPERPARM NONETVIEW NODCE NOLANGUAGE NOOVM NOLNOTES NONDS NOKERB NOPROXY NOEIM

36 Felhasználók - PW Adminisztrátor: password pw pharse Általános felhasználó: password pw pharse [USER(user)] [INTERVAL(nap) NOINTERVAL] [PASSWORD(régi újjelszó)] [PHRASE(régi újjelmondat)] [INTERVAL(nap)] Klasszikus jelszó: nagybetük, max. 8 jegy. z/os 1.7: mixed, 1.8: Jelmondat: max 100 jegy, 2.1: ALGORITHM(KDFAES), spec:.<>+ &!*-%_?:=@#$ mixedall: kisbetü, nagybetü, számjegy, spec is kötelező 2.2: nopassword phrase(), nincs default jelszó

37 Parancsok LISTUSER LU [(felhnév...) *] [tso][omvs][...] DELUSER DU (felhnév) IRRRID00

38 Parancsok CONNECT CO felh GROUP(grp) [REVOKE] [REVOKE( / / )] [OWNER(grp)] REMOVE RE felh GROUP(grp)

39 Delegálás

40 Feladat - felhasználók

41 Dataset profile profile név profile owner UACC ACL (access list: csoportok, felhasználók) naplózás warning (figyelmeztetés)

42 Generic profile név NON EGN % egy tetszőleges karakter A%B.*. egy tetszőleges qualifier * egy vagy több karakter a qualifier végén A.B* * egy vagy több qualifier A.* A.B* EGN % egy tetszőleges karakter A%B.*. egy tetszőleges qualifier * egy vagy több karakter a qualifier végén A.B* * egy qualifier A.* ** nulla vagy több qualifier A.**.B

43 Datasetek felhasználói dataset: hlq = user icbel.master.cntl csoport dataset: hlq = group aprod.ispf.lst egyéb (nem védhető) dataset ize.bigyo alter control update read execute none

44 Ellenőrzés

45 Dataset: AD ADDSD AD (profilenév) [owner(user/grp)] [data('megjegyzés)] [notify(user)] [uacc(jog)] [audit(none all success failures(read update control alter)] [warning] [generic] [from(profilenév2)] [fgeneric] [fvolume(lemez)] [unit(tipus)] [volume(lemez)] [set noset setonly] AD 'aprod.**' owner(aoszt) uacc(none) AD 'ateszt.data.**' from('ateszt.**') audit(fail success(update)) uacc(read)

46 Dataset: PE PERMIT PE profilenév [generic] [acc(jog) delete] [id(user group *)] [reset] [all stanard when] [from(profilenév2)] [fgeneric] [fvolume(lemez)] [unit(tipus)] [volume(lemez)] pe 'aprod.**' id(boszt) acc(update) pe 'ateszt.**' id(boszt) delete pe 'ateszt.data.**' from('bteszt.data.**') pe 'ateszt.data.readonly' generic id(aoszt) acc(read)

47 Dataset: ALD ALTDSD ALD (profilenév) [globalauditt(none all success failures(read update control alter)] [addvolume(lemez) delvol(lemez)] [altvol(regilemez újlemez)] [nodata] [nowarning] és minden, ami az AD-nál volt ALD 'ateszt.data.**' globalaudit(success(update) ALD 'aprod.**' nowarning search nomask warning clist('ald ' ' nowarning')

48 Dataset: LD LISTDSD LD [dataset(profilenév) id(név) prefix(név)] [generic nogeneric] [authuser] [history] [statistics] [all] [dsns] [dfp] [noracf] [volume] ALD 'ateszt.data.**' globalaudit(success(update) ALD 'aprod.**' nowarning search nomask warning clist('ald ' ' nowarning')

49 Dataset: DD DELDSD DD (profilenév) [generic] [set noset] [volume(lemez)] DD 'ateszt.data.**' DD 'aprod.master.cntl' generic

50 Dataset: catalog Master catalog: átlag felhasználó: read, rendszerp: alter, adatmanager: update User catalog: átlag felhasználó: update, rendszerp: alter

51 Dataset: opciók Protectall, ha nincs profile, akkor... none: mindenkinek minden jog fail: csak special (és trusted/priv.) fér hozzá warning: mindenkinek minden jog, de figyelmeztet refresh generic(dataset): frissíti a memóriában cache-elt profileokat (e nélkül ki és be kell lépni) Egyéb opciók: gencmd, generic, egn, tapedsn, erase, tempdsn, noadsp (adsp), prefix, realdsn, catdsns, model

52 profile név profile owner UACC General resource profile ACL (access list: csoportok, felhasználók) naplózás warning (figyelmeztetés)

53 Gyári erőforrás osztályok DATASET ACCTNUM ACICSPCT AIMS ALCSAUTH APPCLU APPCPORT APPCSERV APPCSI APPCTP APPL CACHECLS CBIND CCICSCMD CIMS CONSOLE CPSMOBJ CPSMXMP CRYPTOZ CSFKEYS CSFSERV DASDVOL DBNFORM DCEUUIDS DCICSDCT DEVICES DIGTCERT DIGTCRIT DIGTNMAP DIGTRING DIRACC DIRAUTH DIRECTRY DIRSRCH DLFCLASS DSNADM DSNR EJBROLE FACILITY FCICSFCT FIELD FILE FIMS FSOBJ FSSEC GMBR IBMOPC IIMS ILMADMIN INFOMAN IPCOBJ JAVA JCICSJCT JESINPUT JESJOBS JESSPOOL KEYSMSTR LDAPBIND LFSCLASS LIMS LOGSTRM MCICSPPT MDSNBP MDSNCL MDSNDB MDSNJR MDSNPK MDSNPN MDSNSC MDSNSG MDSNSM MDSNSP MDSNSQ MDSNTB MDSNTS MDSNUF MDSNUT MGMTCLAS MQADMIN MQCHAN MQCMDS MQCONN MQNLIST MQPROC MQQUEUE MXADMIN MXNLIST MXPROC MXQUEUE MXTOPIC NDSLINK NETCMDS NETSPAN NODES NODMBR NOTELINK NVASAPDT OIMS OPERCMDS PCICSPSB PERFGRP PIMS PMBR PRINTSRV PROCACT PROCESS PROPCNTL PSFMPL PTKTDATA PTKTVAL RACFEVNT RACFVARS RACGLIST RAUDITX RCICSRES RDATALIB RMTOPS RODMMGR ROLE RRSFDATA RVARSMBR SCDMBR SCICSTST SDSF SECLMBR SERVAUTH SERVER SFSCMD SIMS SMESSAGE SOMDOBJS STARTED STORCLAS SUBSYSNM SURROGAT SYSMVIEW TAPEVOL TCICSTRN TEMPDSN TERMINAL TIMS TMEADMIN TSOAUTH TSOPROC UNIXMAP UNIXPRIV VMBATCH VMBR VMCMD VMLAN VMMAC VMMDISK VMNODE VMPOSIX VMRDR VMSEGMT VTAMAPPL VXMBR WRITER XCSFKEY XFACILIT ZMFAPLA

54 Egyedi erőforrás osztályok Statikus: ICHRRCDE-be belefordított osztálydefiníciók assembler fordítás, majd IPL szükséges Dinamikus: CDT osztályon belül elkészített osztálydefiníciók setr raclist(cdt) refresh elég

55 General resource: RDEF RDEFINE RDEF osztály (profilenév) [owner(tulaj)] [uacc(jog)] [audit(kisérlet(szint))] [warning] [notify(user)] [addmem(tag)] [data('megjegyzés')]... Kiadhatja: special, clauth RDEF TERMINAL AB12 UACC(NONE) RDEF OPERCMDS MVS.** UACC(NONE) RDEF OPERCMDS MVS.VARY.ONLINE FROM(MVS.**) RDEF TSOPROC IKJACCNT UACC(READ) RDEF ACCOUNT 0 UACC(READ) RDEF TSOAUTH JCL UACC(NONE)

56 General resource: RLIST RLIST RL osztály (profilenév) [ALL] [AU] RDELETE RDEL osztály (profilenév) RL TERMINAL AB12 RLIST OPERCMDS MVS.** AU RDEL OPERCMDS MVS.VARY.ONLINE

57 General resource: TERMINAL RDEF TERMINAL AB12 UACC(NONE) PE AB12 CLASS(TERMINAL) ACC(READ) ID(AOSZT) SETR CLASSACT(TERMINAL) SETR TERMINAL(NONE) - ezt ne :-)

58 General resource: OPERCMDS RDEF OPERCMDS MVS.** UACC(NONE) PE MVS.** CLASS(OPERCMDS) ACC(READ) ID(AOSZT) RDEF OPERCMDS MVS.VARY.ONLINE FROM(MVS.**) PE MVS.VARY.ONLINE CLASS(OPERCMDS) ACC(UPDATE) ID(AOSZT) SETR CLASSACT(OPERCMDS)

59 General resource: TSO RDEF TSOPROC IKJACCNT UACC(READ) RDEF ACCOUNT 0 UACC(READ) RDEF TSOAUTH JCL UACC(NONE) PE JCL CLASS(TSOAUTH) ACC(READ) ID(AOSZT) SETR CLASSACT(TSOAUTH ACCOUNT TSOPROC) ALU AFRICI TSO(PROC(IKJACCNT) ACCTNUM(0))

60 General resource: jelszócsere RDEF IRR.PASSWORD.RESET UACC(N) PE IRR.PASSWORD.RESET CLASS(FACILITY) ID(AUGYFEL)

61 opciók: general resource setropts setr [classact(osztály *)] [noclassact(osztály *)] [global(osztály *)] [noglobal(osztály *)] [generic(osztály *)] [nogeneric(osztály *)] [gencmd(osztály *)] [nogencmd(osztály *)] [genlist(osztály *)] [nogenlist(osztály *)] [raclist(osztály *)] [noraclist(osztály *)] [statisztics(osztály *)] [nostatisztics(osztály *)] [genericowner][nogenericowner] [refresh generic(osztály)] [refresh raclist(osztály)]

62 opciók: general resource setropts setr [classact(osztály *)] [noclassact(osztály *)] [global(osztály *)] [noglobal(osztály *)] [generic(osztály *)] [nogeneric(osztály *)] [gencmd(osztály *)] [nogencmd(osztály *)] [genlist(osztály *)] [nogenlist(osztály *)] [raclist(osztály *)] [noraclist(osztály *)] [statisztics(osztály *)] [nostatisztics(osztály *)] [genericowner][nogenericowner] [refresh generic(osztály)] [refresh raclist(osztály)]

63 Opciók - jelszó Klasszikus jelszó: nagybetük, max. 8 jegy. z/os 1.7: mixed, 1.8: Jelmondat: max 100 jegy, 2.1: ALGORITHM(KDFAES), spec:.<>+ &!*-%_?:=@#$ mixedall: kisbetü, nagybetü, számjegy, spec is kötelező 2.2: nopassword phrase(), nincs default jelszó password (history(12 jelszószám) nohistory interval(90napok) nointerval minchange(0napok) algorithm(kdfaes) noalgorithm(kdfaes) mixedcase mixedcase revoke(10próbálkozások) norevoke rulex(length(min:max) tartalom(pozízió)) norulex norules warning(10nap) nowarning inactive(180napok) noinactive initstats noinitstats tartalom: alpha, alphanum, vowel, novowel, national, mixednum, consonant, numeric, anything, mixedconsonant, mixednumeric, mixedvowel, national setr password(rule1(length(6:8) alphanum(1:8))

64 opciók: dataset Protectall(none fail warning) refresh generic(dataset) gencmd, generic, egn, tapedsn, erase, tempdsn, noadsp (adsp), prefix, noprefix, realdsn, catdsns, model, nomodel

65 opciók: audit saudit nosaudit seclevelaudit(szint) noseclevelaudit seclabelaudit(szint) noseclabelaudit operaudit nooperaudit cmdviol nocmdviol audit(osztály *) noaudit(osztály *) applaudit noapplaudit logoptions(never/success/failures/default(osztály *)) refresh, list

66 opciók: egyéb when(program) nowhen(program) grplist nogrplist terminal(read none) addcreator noaddcreator sessioninterval(nap) rvarypw(switch(yes)status(yes))