Javier, Yo lo que haria es auditar el uso de las bibliotecas durante unos dias (CHGOBJAUD) y a partir de los resultados que te de , decidir la estrategia.
Para el IFS seria lo mismo pero con los directorios que sospeches, usa el mandato CHGAUD. Salut Martí Riera 2013/11/18 Javier Mora <[email protected]> > Me lo imaginaba. La operación que propones ya la intenté la semana > pasada y empezaron a fallar todos los procesos que utilizaban ese usuario. > Por eso volví a poner *ALLOBJ al perfil. Mi idea era averiguar primero con > qué problemas de autorización podría encontrarme, arreglarlos y, > finalmente, quitar *ALLOBJ. > > Voy a ver que otras alternativas tengo. Gracias a todos. > > Javier Mora > > ------------------------------ > *De:* [email protected] [mailto: > [email protected]] *En nombre de *Tellez Alvarado, > Ignacio Andres > *Enviado el:* viernes, 15 de noviembre de 2013 14:11 > *Para:* forum.help400 > *Asunto:* RE: ALLOBJ y problemas de autorizaciones > > Javier: > > > > Marti tiene razón, > > Al usuario debieras sacarle *ALLOBJ para que comience a incorporar las > entradas al Journal. > > > > Saludos > > > > *De:* [email protected] [mailto: > [email protected]] *En nombre de *Marti Riera > *Enviado el:* viernes, 15 de noviembre de 2013 9:30 > *Para:* forum.help400 > *Asunto:* Re: ALLOBJ y problemas de autorizaciones > > > > Hola, > > > > Me parece recordar que si un usaurio tiene *ALLOBJ no se comp`rueban las > autorizaciones privadas. > > > > Puede que por eso no aparece nada en el diario de auditoria. > > > > Saludos > > > Martí Riera > > > > 2013/11/15 Javier Mora <[email protected]> > > Es posible que esté haciendo algo mal, porque no veo ningún tipo de > anotación en la auditoría del sistema. Tengo definido QAUDLVL como *AUTFAIL > *SECURITY. El usuario tiene OBJAUD(*ALL) y AUDLVL(*AUTFAIL *SECURITY). El > usuario tiene *ALLOBJ como autorización especial. > > > > He optado por hacer una prueba con una biblioteca con autorización *PUBLIC > *EXCLUDE y sin autorizaciones privadas para el usuario ALLOBJ. La auditoria > de la biblioteca está con el valor OBJAUD(*USRPRF). > > > > Si intento un DSPLIB de la biblioteca o un DSPPFM de un fichero de esta el > sistema me deja verlo. Normal, tengo autorización *ALLOBJ, pero no veo en > la auditoría para este acceso problemas de autorizaciones (tipo de entrada > AF). > > > > Sin embargo, si le quito al usuario el *ALLOBJ si que veo en la > anotaciones una entrada tipo AF indicando que no tiene autorización. > > > > ¿De verdad se puede supervisar los problemas de autorizaciones para un > usuario *ALLOBJ? A todos los efectos, éste tiene todas las autorizaciones > sobre todos los objetos y, por tanto, no debería registrar nada. > > > > ¿Estoy confundiendo conceptos? Lo cierto es que estoy un poco despistado > en este asunto. > > > > Un saludo, > > > > Javier Mora > > ------------------------------ > > *De:* [email protected] [mailto: > [email protected]] *En nombre de *Marti Riera > *Enviado el:* martes, 12 de noviembre de 2013 18:51 > *Para:* forum.help400 > *Asunto:* Re: ALLOBJ y problemas de autorizaciones > > Hola, > > > Antes de quitarle el *ALLOBJ, hay que analizar que objetos y/o > aplicaciones utiliza, como bien dices la auditoria te puede ayudar, pero > ojo en la auditoria solo se graban los objetos cambiados, no los > utilizados, por tanto antes deberías cambiar los objetos para que se audite > su uso (CHGOBJAUD), el problema es que puedes dejar el sistema muy > penalizado en cuanto a rendimiento y uso de disco de los receptores de > diario ya que hay que analizarlos antes de eliminarlos (depende del equipo > claro), además deberías documentar el valor de auditoria de los objetos > antes de cambiarlo, para dejarlo igual después. > > > > En fin de entrada parece un obstáculo insalvable, por eso hay que evitar > los usuarios *ALLOBJ. Yo aplicaría métodos alternativos: > > > > Por ejemplo solo auditar el uso del objeto tipo bibliotecas, con esto al > menos ya sabemos cuales usa. Aunque ya sepamos algunas directamente > analizando la JOBD del usuario. Como dices que accede al IFS también habría > que auditar que directorios usa, lo podrías hacer a un primer o segundo > nivel, y bajar mas si es necesario. > > > > También podemos analizar si el usuario tiene acceso a linea de mandatos o > ejecuta desde una aplicación de esa forma podríamos descartar algunas > bibliotecas. Tambien si tiene acceso desde servicios tipo FTP, ODBC, DDM, > HTTP, ect.. ya que eso puede abrir o cerrar mucho el ambito a buscar. > > > > Una vez sepamos a que bibliotecas accede puedes darle permisos a ellas y > sus objetos (mejor a un grupo) y ya podrías quitarle *ALLOBJ. A partir de > ahí si quieres bajar a nivel de objeto si podrías analizar en que objetos > realiza cambios y cambiar el resto de objetos a read-only para ese usuario. > > > > Bueno, supongo que habrá otras formas de hacerlo (como try&error) pero > espero te haya dado algunas pistas. > > > > Saludos > > > > > Martí Riera > > > > 2013/11/12 Javier Mora <[email protected]> > > Hola a tod@s: > > > > Tengo un usuario con autorización especial *ALLOBJ y quiero saber qué > problemas puedo tener de autorizaciones si le quito *ALLOBJ. Sobre todo > tengo dudas con los objetos del IFS. ¿La auditoría del sistema puede > ayudarme a descubrir estos posibles fallos de autorizaciones? ¿Cómo? (He de > reconocer que no tengo mucha experiencia con la auditoría del sistema). > > > > Mi idea consiste en revisar primero con qué me puedo encontrarme si quito > *ALLOBJ del usuario, arreglar el problema y, una vez subsanados todos los > que surjan, eliminar la autorización especial. > > > > ¿Sugerencias?, gracias por la ayuda. > > > > > > *Javier Mora García* > > > > > ____________________________________________________ > Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) > Forum.Help400 © Publicaciones Help400, S.L. > > > > > ____________________________________________________ > Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) > Forum.Help400 © Publicaciones Help400, S.L. > > > > ----------------------------------------------------------------- > Notice of Confidentiality: The information transmitted is intended only > for the sender and person or entity to which it is addressed and may > contain confidential and/or privileged material. Any review, > e-transmission, dissemination or other use of, or taking of any action in > reliance upon, this information by persons or entities other than the > intended recipient is prohibited. > If you received this in error, please contact the sender immediately by > return electronic transmission and then immediately delete this > transmission, including all attachments, without copying, distributing or > disclosing same. > ------------------------------------------------------------------ > Aviso de Confidencialidad: Este correo electrónico y/o el material adjunto > es para uso exclusivo del emisor y la persona o entidad a la que > expresamente se le ha enviado, y puede contener información confidencial o > material privilegiado. Si usted no es el destinatario legítimo del mismo, > por favor repórtelo inmediatamente al remitente del correo y bórrelo. > Cualquier revisión, retransmisión, difusión o cualquier otro uso de este > correo, por personas o entidades distintas a las del destinatario legítimo, > queda expresamente prohibido. Este correo electrónico no pretende ni debe > ser considerado como constitutivo de ninguna relación legal, contractual o > de otra índole similar. > > > ____________________________________________________ > Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) > Forum.Help400 © Publicaciones Help400, S.L. >
____________________________________________________ Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd ) Forum.Help400 © Publicaciones Help400, S.L.
