第五章_RACF.docVIP

RACF概述 概论 RACF(Resource Access Control Facility)是OS/390的安全子系统。它可以证实一个用户，并且保护数据不会被有意或无意地破坏、修改、泄漏或使用。RACF有四大功能： 证实一个用户 RACF使用用户ID和口令来证实一个用户。当一个用户试图登录时，RACF将检查这个用户是否在RACF中有定义，口令是否有效，用户是否已被挂起，用户是否被授权使用这个终端，用户是否被授权使用这个应用，用户是否允许此时登录，终端是否允许此时登录。所有的安全检查通过后，用户才会被允许登录进入系统。定义用户时，系统管理员会给用户一个暂时的口令，用户登录后RACF会强制用户改变自己的口令，这样系统中的任何用户都不会知道用户的口令，除非用户自己泄漏。当用户忘了自己的口令时，系统管理员会给他改变口令，这样当用户再次登录时，又需要强制改变自己的口令。当一个MVS用户已登录在系统中时，他也不能再次登录，只有在LOGOFF后才能在登录。 每一个RACF定义的用户均有一个PROFILE，其内容有用户ID、拥有者、口令、属性、SECURITY CLASSIFICATION、组及段。 在RACF中用户可划分为组。一个用户组通常是许多具有类似权限的用户的集合。组主要是为了管理方便，因为它可以简化PROFILE中的访问列表。一个用户可同时属于多个组，当一个用户成为一个组中的成员时，我们说这个用户连接到这个组中，同时他也具有了这个组的权限。 2.资源授权检查 当一个用户企图访问一个特定的资源时，系统会调用RACF去确定用户是否允许使用该资源。RACF不仅控制用户对资源的访问，而且还控制用户如何去访问资源，比如是只读还是可读可写，或者必须通过某种手段(诸如通过特定的程序)访问。RACF可用于控制访问许多类的资源，诸如MVS数据集、终端、控制台、CICS和IMS交易甚至程序等。RACF对资源的控制也是通过PROFILE来进行，资源PROFILE的主要内容有：PROFILE名、拥有者、UACC(通用访问权限)、访问控制列表、SECURITY CLASSIFICATION及审计信息。 资源授权检查的流程见图6.1： 图6.1 资源授权检查的流程 图中： 用户通过一个资源管理器（比如TSO/E，CICS或IMS）请求访问资源。 资源管理器发布一个RACF请求确定用户是否可以访问资源。在大多数情况下，这是一个RACROUTE宏，其它情况下则是一个独立的RACF宏。 RACF访问RACF数据库（或者从RACF数据库拷贝到内存中的PROFILE）. 检查合适的资源PROFILE. 传递PROFILE中的内容。 RACF将请求的状态（即用户是否可以访问资源）通知资源管理器。 资源管理器获得或否决用户的请求。 记录和报告 RACF决定允许或不允许用户访问系统后，它会检查是否应当记录这一事件(由安全管理员或具有AUDITOR属性的用户指定)。具有AUDITOR属性的用户可以指定那些事件需要记录，比如所有事件、企图访问成功时记录、失败时记录、或读时记录或写时记录。如需要记录，则写到RMF数据集，同时送系统控制台，也可指定通知一个特定的用户。具有AUDITOR属性的用户可以看PROFILE，可以设置是否记录和PROFILE有关的访问事件，或在什么条件下记录，但无权修改PROFILE，无权访问资源。 4.安全管理 在RACF中，大多数用户都是一般用户，他们有其自己的访问资源的权限。除一般用户外，RACF还可以定义具有SPECIAL、OPERATIONS、AUDIT属性的用户，它们各自具有一定的系统管理、特殊访问权限和审计功能。 具有SPECIAL属性的用户有权管理系统中的安全。这种用户可以在RACF数据库中定义、改变、查看、删除PROFILE。这种用户并没有权限直接访问资源，但可以控制其他用户的访问。SPECIAL属性也可授予一个特定的用户，使他只具有管理某个组或其子组的成员，这个属性称之为GROUP SPECIAL。 具有OPERATION属性的用户负责维护系统中的磁盘，可对数据集进行COPY、编目等工作，可看机密数据，甚至可改变删除数据集。 具有AUDIT属性的用户则可以规定系统的审计策略。 用户的SPECIAL、AUDIT、OPERATION三种属性可以赋予特定的某一个用户，使他只在某一个范围内有这个权力。这样可以实现用户或组的放权管理。只在特定范围内有效的这三种属性分别称为：GROUP SPECIAL、GROUP AUDIT、GROUP OPERATION.属性。 利用RACF可以控制对系统及系统中的子系统的访问。这些子系统包括JES，TSO，IMS，CICS，SMS，DB2，VTAM和APPC会话。也可