RDEFINESECLABEL安全标识SECLEVEL安全级别名CATEGORY.PPT

大型机高级系统管理技术 第六章 RACF概述 第六章 内容提要 概述 用户和组的管理 数据集的保护 通用资源引论 RACF选项 RACF概述 RACF概述 RACF(resource access control facility)是OS/390的安全子系统。它可以证实一个用户，并且保护数据集不会被有意或者恶意地破坏、修改、泄露或使用。 RACF有四大功能： 证实一个用户 资源授权管理 记录和报告 安全管理 RACF概述——证实一个用户 RACF使用用户ID和口令来证实一个用户。定义用户时，系统管理员给用户一个暂时的口令，用户首次登录后RACF强制用户改变自己的口令。 每一个RACF定义的用户均有一个PROFILE，其内容有用户ID、拥有者、口令、属性、SECURITY CIALLIFICATION、组及段 在RACF中用户可划分为组。一个用户组通常是许多具有类似权限的用户的集合。 一个用户可以同时属于多个组，当一个用户成为一个组中的成员时，我们说这个用户连接到这个组中，同时他也具有了这个组的权限 RACF概述——资源授权检查 控制用户是否对资源具有访问权。 控制用户如何去访问资源，比如只读还是可读可写，或者必须通过某种手段（诸如通过特定的程序）访问。 控制访问许多类的资源，诸如MVS数据集、终端、控制台、CICS和IMS交易甚至程序等 每个资源有一个PROFILE，主要内容有：PROFILE名、拥有者、UACC（通用访问权限）、访问控制列表、SECURITY CLASSFICATION及审计信息 RACF概述——记录和报告 具有AUDITOR属性的用户可以指定那些事件需要记录，比如所有事件、企图访问成功时记录、失败时记录、或读时记录或写时记录。如需要记录，则写到RMF数据集，同时送系统控制台，也可指定通知一个特定的用户 具有AUDITOR属性的用户可以看PROFILE，可以设置是否记录和PROFILE有关的访问事件，或在什么条件下记录，但无权修改PROFILE，无权访问资源 RACF概述——安全管理 RACF定义的用户： 一般用户：有自己的访问资源的权限。 具有SPECIAL属性的用户：可以在RACF数据库中定义、改变、查看、删除PROFILE。没有权限直接访问资源。 具有OPERATION属性的用户：负责维护系统中的磁盘。 具有AUDIT属性的用户：可以规定系统中的审计策略 RACF概述——安全管理 用户的SPECIAL、AUDIT、OPERATION三种属性可以赋予特定的某一个用户，使他只在某一个范围内有这个权力。这样可以实现用户或组的放权管理。只在特定范围内有效的这三种属性分别称为：GROUP SPECIAL、GROUP AUDIT、GROUP OPERATION 利用RACF可以控制对系统及系统中的子系统的访问。这些子系统包括JES，TSO，IMS，CICS，SMS，DB2，VTAM和APPC会话。也可控制对资源的访问，它们包括：终端，控制台，数据（编目、数据集等），程序，交易等 RACF概述——安全管理 用户或组在使用资源时是否会得到授权取决于以下4个因素： 用户标识(USERID) 属性，用户属性主要有：SPECIAL、AUDITOR、OPERATIONS、CLAUTH、REVOKE等，组属性指当一个用户连接到一个组中时，连接的属性。主要有：USE，CREATE，CONNECT，JOIN 安全标识：每一个用户和资源的PROFILE都有一个安全标识。当用户访问一个资源时，RACF将资源与用户的安全标识相比较，如果用户的安全标识低于资源的安全标识，则直接拒绝用户的访问 访问授权：访问授权有以下几种：NONE，EXECUTE，READ，UPDATE，CONTROL，ALTER。其权限由低至高，逐次增加 RACF概述——安全管理 PROFILE的类型： 用户PROFILE：记录用户安全特性 组PROFILE：记录组安全特性 数据集PROFILE：描述通用资源的访问权限 通用资源PROFILE：描述数据集访问权限 RACF概述——安全管理 数据集和通用资源的访问权限分布在PROFILE中的两个地方 UACC:一般的访问权限，访问列表中没有记录的用户的访问权限 访问列表：特别指出特定的用户或组具有什么样的权限 RACF概述——安全管理 在RACF中权限可以是以下几种： ALTER：对资源或数据集具有完全的控制。仅可以读、写、执行此PROFILE保护的数据集或资源，还可以创建此PROFILE保护的数据集或资源 UPDATE:可读可写 READ：可读 EXECUTE：可执行 NONE：无任何权限 RACF概述——安全管理 PROFILE： 通用PROFILE：PROFILE名字中可以有通配符