Hola, Me parece recordar que si un usaurio tiene *ALLOBJ no se comp`rueban las autorizaciones privadas.
Puede que por eso no aparece nada en el diario de auditoria. Saludos Martí Riera 2013/11/15 Javier Mora <[email protected]> > Es posible que esté haciendo algo mal, porque no veo ningún tipo de > anotación en la auditoría del sistema. Tengo definido QAUDLVL como *AUTFAIL > *SECURITY. El usuario tiene OBJAUD(*ALL) y AUDLVL(*AUTFAIL *SECURITY). El > usuario tiene *ALLOBJ como autorización especial. > > He optado por hacer una prueba con una biblioteca con autorización *PUBLIC > *EXCLUDE y sin autorizaciones privadas para el usuario ALLOBJ. La auditoria > de la biblioteca está con el valor OBJAUD(*USRPRF). > > Si intento un DSPLIB de la biblioteca o un DSPPFM de un fichero de esta el > sistema me deja verlo. Normal, tengo autorización *ALLOBJ, pero no veo en > la auditoría para este acceso problemas de autorizaciones (tipo de entrada > AF). > > Sin embargo, si le quito al usuario el *ALLOBJ si que veo en la > anotaciones una entrada tipo AF indicando que no tiene autorización. > > ¿De verdad se puede supervisar los problemas de autorizaciones para un > usuario *ALLOBJ? A todos los efectos, éste tiene todas las autorizaciones > sobre todos los objetos y, por tanto, no debería registrar nada. > > ¿Estoy confundiendo conceptos? Lo cierto es que estoy un poco despistado > en este asunto. > > Un saludo, > > Javier Mora > > ------------------------------ > *De:* [email protected] [mailto: > [email protected]] *En nombre de *Marti Riera > *Enviado el:* martes, 12 de noviembre de 2013 18:51 > *Para:* forum.help400 > *Asunto:* Re: ALLOBJ y problemas de autorizaciones > > Hola, > > Antes de quitarle el *ALLOBJ, hay que analizar que objetos y/o > aplicaciones utiliza, como bien dices la auditoria te puede ayudar, pero > ojo en la auditoria solo se graban los objetos cambiados, no los > utilizados, por tanto antes deberías cambiar los objetos para que se audite > su uso (CHGOBJAUD), el problema es que puedes dejar el sistema muy > penalizado en cuanto a rendimiento y uso de disco de los receptores de > diario ya que hay que analizarlos antes de eliminarlos (depende del equipo > claro), además deberías documentar el valor de auditoria de los objetos > antes de cambiarlo, para dejarlo igual después. > > En fin de entrada parece un obstáculo insalvable, por eso hay que evitar > los usuarios *ALLOBJ. Yo aplicaría métodos alternativos: > > Por ejemplo solo auditar el uso del objeto tipo bibliotecas, con esto al > menos ya sabemos cuales usa. Aunque ya sepamos algunas directamente > analizando la JOBD del usuario. Como dices que accede al IFS también habría > que auditar que directorios usa, lo podrías hacer a un primer o segundo > nivel, y bajar mas si es necesario. > > También podemos analizar si el usuario tiene acceso a linea de mandatos o > ejecuta desde una aplicación de esa forma podríamos descartar algunas > bibliotecas. Tambien si tiene acceso desde servicios tipo FTP, ODBC, DDM, > HTTP, ect.. ya que eso puede abrir o cerrar mucho el ambito a buscar. > > Una vez sepamos a que bibliotecas accede puedes darle permisos a ellas y > sus objetos (mejor a un grupo) y ya podrías quitarle *ALLOBJ. A partir de > ahí si quieres bajar a nivel de objeto si podrías analizar en que objetos > realiza cambios y cambiar el resto de objetos a read-only para ese usuario. > > Bueno, supongo que habrá otras formas de hacerlo (como try&error) pero > espero te haya dado algunas pistas. > > Saludos > > > Martí Riera > > > 2013/11/12 Javier Mora <[email protected]> > >> Hola a tod@s: >> >> Tengo un usuario con autorización especial *ALLOBJ y quiero saber qué >> problemas puedo tener de autorizaciones si le quito *ALLOBJ. Sobre todo >> tengo dudas con los objetos del IFS. ¿La auditoría del sistema puede >> ayudarme a descubrir estos posibles fallos de autorizaciones? ¿Cómo? (He de >> reconocer que no tengo mucha experiencia con la auditoría del sistema). >> >> Mi idea consiste en revisar primero con qué me puedo encontrarme si quito >> *ALLOBJ del usuario, arreglar el problema y, una vez subsanados todos los >> que surjan, eliminar la autorización especial. >> >> ¿Sugerencias?, gracias por la ayuda. >> >> >> *Javier Mora García* >> >> >> ____________________________________________________ >> Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) >> Forum.Help400 © Publicaciones Help400, S.L. >> > > > ____________________________________________________ > Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) > Forum.Help400 © Publicaciones Help400, S.L. >
____________________________________________________ Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) Forum.Help400 © Publicaciones Help400, S.L.
