Martí, ¿me podrías ayudar un poco más? No me muevo muy bien con esto de la
auditoría. ¿Qué valor de auditoría utilizo en CHGOBJAUD para comprobar el usu
de los objetos? ¿Qué tipo de entrada de diario tengo que revisar?
Estoy valorando otra opción que consiste en crear un nuevo usuario con las
autorizaciones oportunas y sin *ALLOBJ; después ir cambiado proceso a proceso
el usuario que lo inicia (casi todos provienen de Windows) y, finalmente,
comprobar que no dan problemas.
Terminada la migración podré eliminar el usuario con *ALLOBJ original.
Un saludo y gracias por tu interés.
Javier Mora
________________________________
De: [email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: lunes, 18 de noviembre de 2013 11:21
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de autorizaciones
Javier,
Yo lo que haria es auditar el uso de las bibliotecas durante unos dias
(CHGOBJAUD) y a partir de los resultados que te de , decidir la estrategia.
Para el IFS seria lo mismo pero con los directorios que sospeches, usa
el mandato CHGAUD.
Salut
Martí Riera
2013/11/18 Javier Mora <[email protected]>
Me lo imaginaba. La operación que propones ya la intenté la
semana pasada y empezaron a fallar todos los procesos que utilizaban ese
usuario. Por eso volví a poner *ALLOBJ al perfil. Mi idea era averiguar primero
con qué problemas de autorización podría encontrarme, arreglarlos y,
finalmente, quitar *ALLOBJ.
Voy a ver que otras alternativas tengo. Gracias a todos.
Javier Mora
________________________________
De: [email protected]
[mailto:[email protected]] En nombre de Tellez Alvarado,
Ignacio Andres
Enviado el: viernes, 15 de noviembre de 2013 14:11
Para: forum.help400
Asunto: RE: ALLOBJ y problemas de autorizaciones
Javier:
Marti tiene razón,
Al usuario debieras sacarle *ALLOBJ para que comience a
incorporar las entradas al Journal.
Saludos
De: [email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: viernes, 15 de noviembre de 2013 9:30
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de autorizaciones
Hola,
Me parece recordar que si un usaurio tiene *ALLOBJ no
se comp`rueban las autorizaciones privadas.
Puede que por eso no aparece nada en el diario de
auditoria.
Saludos
Martí Riera
2013/11/15 Javier Mora <[email protected]>
Es posible que esté haciendo algo mal, porque no veo
ningún tipo de anotación en la auditoría del sistema. Tengo definido QAUDLVL
como *AUTFAIL *SECURITY. El usuario tiene OBJAUD(*ALL) y AUDLVL(*AUTFAIL
*SECURITY). El usuario tiene *ALLOBJ como autorización especial.
He optado por hacer una prueba con una biblioteca con
autorización *PUBLIC *EXCLUDE y sin autorizaciones privadas para el usuario
ALLOBJ. La auditoria de la biblioteca está con el valor OBJAUD(*USRPRF).
Si intento un DSPLIB de la biblioteca o un DSPPFM de un
fichero de esta el sistema me deja verlo. Normal, tengo autorización *ALLOBJ,
pero no veo en la auditoría para este acceso problemas de autorizaciones (tipo
de entrada AF).
Sin embargo, si le quito al usuario el *ALLOBJ si que
veo en la anotaciones una entrada tipo AF indicando que no tiene autorización.
¿De verdad se puede supervisar los problemas de
autorizaciones para un usuario *ALLOBJ? A todos los efectos, éste tiene todas
las autorizaciones sobre todos los objetos y, por tanto, no debería registrar
nada.
¿Estoy confundiendo conceptos? Lo cierto es que estoy
un poco despistado en este asunto.
Un saludo,
Javier Mora
________________________________
De: [email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: martes, 12 de noviembre de 2013
18:51
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de autorizaciones
Hola,
Antes de quitarle el *ALLOBJ, hay que analizar
que objetos y/o aplicaciones utiliza, como bien dices la auditoria te puede
ayudar, pero ojo en la auditoria solo se graban los objetos cambiados, no los
utilizados, por tanto antes deberías cambiar los objetos para que se audite su
uso (CHGOBJAUD), el problema es que puedes dejar el sistema muy penalizado en
cuanto a rendimiento y uso de disco de los receptores de diario ya que hay que
analizarlos antes de eliminarlos (depende del equipo claro), además deberías
documentar el valor de auditoria de los objetos antes de cambiarlo, para
dejarlo igual después.
En fin de entrada parece un obstáculo
insalvable, por eso hay que evitar los usuarios *ALLOBJ. Yo aplicaría métodos
alternativos:
Por ejemplo solo auditar el uso del objeto tipo
bibliotecas, con esto al menos ya sabemos cuales usa. Aunque ya sepamos algunas
directamente analizando la JOBD del usuario. Como dices que accede al IFS
también habría que auditar que directorios usa, lo podrías hacer a un primer o
segundo nivel, y bajar mas si es necesario.
También podemos analizar si el usuario tiene
acceso a linea de mandatos o ejecuta desde una aplicación de esa forma
podríamos descartar algunas bibliotecas. Tambien si tiene acceso desde
servicios tipo FTP, ODBC, DDM, HTTP, ect.. ya que eso puede abrir o cerrar
mucho el ambito a buscar.
Una vez sepamos a que bibliotecas accede puedes
darle permisos a ellas y sus objetos (mejor a un grupo) y ya podrías quitarle
*ALLOBJ. A partir de ahí si quieres bajar a nivel de objeto si podrías analizar
en que objetos realiza cambios y cambiar el resto de objetos a read-only para
ese usuario.
Bueno, supongo que habrá otras formas de
hacerlo (como try&error) pero espero te haya dado algunas pistas.
Saludos
Martí Riera
2013/11/12 Javier Mora <[email protected]>
Hola a tod@s:
Tengo un usuario con autorización especial
*ALLOBJ y quiero saber qué problemas puedo tener de autorizaciones si le quito
*ALLOBJ. Sobre todo tengo dudas con los objetos del IFS. ¿La auditoría del
sistema puede ayudarme a descubrir estos posibles fallos de autorizaciones?
¿Cómo? (He de reconocer que no tengo mucha experiencia con la auditoría del
sistema).
Mi idea consiste en revisar primero con qué me
puedo encontrarme si quito *ALLOBJ del usuario, arreglar el problema y, una vez
subsanados todos los que surjan, eliminar la autorización especial.
¿Sugerencias?, gracias por la ayuda.
Javier Mora García
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad (
http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad (
http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
-----------------------------------------------------------------
Notice of Confidentiality: The information transmitted
is intended only for the sender and person or entity to which it is addressed
and may contain confidential and/or privileged material. Any review,
e-transmission, dissemination or other use of, or taking of any action in
reliance upon, this information by persons or entities other than the intended
recipient is prohibited.
If you received this in error, please contact the
sender immediately by return electronic transmission and then immediately
delete this transmission, including all attachments, without copying,
distributing or disclosing same.
------------------------------------------------------------------
Aviso de Confidencialidad: Este correo electrónico y/o
el material adjunto es para uso exclusivo del emisor y la persona o entidad a
la que expresamente se le ha enviado, y puede contener información confidencial
o material privilegiado. Si usted no es el destinatario legítimo del mismo, por
favor repórtelo inmediatamente al remitente del correo y bórrelo.
Cualquier revisión, retransmisión, difusión o cualquier
otro uso de este correo, por personas o entidades distintas a las del
destinatario legítimo, queda expresamente prohibido. Este correo electrónico no
pretende ni debe ser considerado como constitutivo de ninguna relación legal,
contractual o de otra índole similar.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad (
http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
