大型机高级系统管理技术.ppt

大型机高级系统管理技术
第六章 RACF概述
第六章内容提要
概述
用户和组的管理
数据集的保护
通用资源引论
RACF选项
RACF概述
RACF概述
RACF(resource access control facility)是OS/390的安全子系统。它可以证实一个用户,并且保护数据集不会被有意或者恶意地破坏、修改、泄露或使用。
RACF有四大功能:
证实一个用户
资源授权管理
记录和报告
安全管理
RACF概述——证实一个用户
RACF使用用户ID和口令来证实一个用户。定义用户时,系统管理员给用户一个暂时的口令,用户首次登录后RACF强制用户改变自己的口令。
每一个RACF定义的用户均有一个PROFILE,其内容有用户ID、拥有者、口令、属性、SECURITY CIALLIFICATION、组及段
在RACF中用户可划分为组。一个用户组通常是许多具有类似权限的用户的集合。
一个用户可以同时属于多个组,当一个用户成为一个组中的成员时,我们说这个用户连接到这个组中,同时他也具有了这个组的权限
RACF概述——资源授权检查
控制用户是否对资源具有访问权。
控制用户如何去访问资源,比如只读还是可读可写,或者必须通过某种手段(诸如通过特定的程序)访问。
控制访问许多类的资源,诸如MVS数据集、终端、控制台、CICS和IMS交易甚至程序等
每个资源有一个PROFILE,主要内容有:PROFILE名、拥有者、(通用访问权限)、访问控制列表、SECURITY CLASSFICATION及审计信息
RACF概述——记录和报告
具有AUDITOR属性的用户可以指定那些事件需要记录,比如所有事件、企图访问成功时记录、失败时记录、或读时记录或写时记录。如需要记录,则写到RMF数据集,同时送系统控制台,也可指定通知一个特定的用户
具有AUDITOR属性的用户可以看PROFILE,可以设置是否记录和PROFILE有关的访问事件,或在什么条件下记录,但无权修改PROFILE,无权访问资源
RACF概述——安全管理
RACF定义的用户:
一般用户:有自己的访问资源的权限。
具有SPECIAL属性的用户:可以在RACF数据库中定义、改变、查看、删除PROFILE。没有权限直接访问资源。
具有OPERATION属性的用户:负责维护系统中的磁盘。
具有AUDIT属性的用户:可以规定系统中的审计策略
RACF概述——安全管理
用户的SPECIAL、AUDIT、OPERATION三种属性可以赋予特定的某一个用户,使他只在某一个范围内有这个权力。这样可以实现用户或组的放权管理。只在特定范围内有效的这三种属性分别称为:GROUP SPECIAL、GROUP AUDIT、GROUP OPERATION
利用RACF可以控制对系统及系统中的子系统的访问。这些子系统包括JES,TSO,IMS,CICS,SMS,DB2,VTAM和APPC会话。也可控制对资源的访问,它们包括:终端,控制台,数据(编目、数据集等),程序,交易等
RACF概述——安全管理
用户或组在使用资源时是否会得到授权取决于以下4个因素:
用户标识(USERID)
属性,用户属性主要有:SPECIAL、AUDITOR、OPERATIONS、CLAUTH、REVOKE等,组属性指当一个用户连接到一个组中时,连接的属性。主要有:USE,CREATE,CONNECT,JOIN
安全标识:每一个用户和资源的PROFILE都有一个安全标识。当用户访问一个资源时,RACF将资源与用户的安全标识相比较,如果用户的安全标识低于资源的安全标识,则直接拒绝用户的访问
访问授权:访问授权有以下几种:NONE,EXECUTE,READ,UPDATE,CONTROL,ALTER。其权限由低至高,逐次增加
RACF概述——安全管理
PROFILE的类型:
用户PROFILE:记录用户安全特性
组PROFILE:记录组安全特性
数据集PROFILE:描述通用资源的访问权限
通用资源PROFILE:描述数据集访问权限