Hola,
Pongo un ejemplo, para el auditar el acceso a la biblioteca MYLIB:
1. Comprobar valores de auditoria del sistema: QAUDCTL debe
contener *OBJAUD
2. Averiguar cual es el nivel de auditoria asignada al objeto
actualmente:
1. DSPOBJD OBJ(MYLIB) OBJTYPE(*LIB) DETAIL(*FULL)
1. Auditing/Integrity information:
2. Object auditing value . . . . . . . : *CHANGE
2. Nota1: El valor por defecto al crear el objeto en una biblioteca
se indica en el parametro CRTOBJAUD al crear la biblioteca, en este caso
como es una biblioteca coge el del valor del sistema QCRTOBJAUD, que
habitualmente es *CHANGE.
3. Nota2: El valor *CHANGE solo grabara en el diario de auditoria
(QAUDJRN) los cambios en el objetos, pero no que se use:
3. Para auditar el acceso a la biblioteca:
1. CHGOBJAUD OBJ(MYLIB) OBJTYPE(*LIB) OBJAUD(*ALL)
4. Cada vez que se use o cambie la biblioteca, aunque no se use ningun
objeto de ella, se grabara en el diario de auditoria.(QAUDJRN)
5. Para recuperar las entradas del diario de auditoria:
1. DSPJRN JRN(QAUDJRN) ENTTYP(ZC ZR)
2. ZC= Acceso de escritura
3. ZR= Acceso de lectura
Para cambiar la auditoria de un directorio en el IFS seria, muy resumido:
DSPLNK + opcion 8
CHGAUD
Las entradas de diario son las mismas.
Una vez analizado el tema recomiendo dejar el valor de auditoria del
objetos al mismo valor recuperado antes (en el ejemplo *CHANGE)
Espero que con esto te sirva.
Saludos
Martí Riera
www.as400howto.com
2013/11/19 Javier Mora <[email protected]>
> Martí, ¿me podrías ayudar un poco más? No me muevo muy bien con esto de
> la auditoría. ¿Qué valor de auditoría utilizo en CHGOBJAUD para comprobar
> el usu de los objetos? ¿Qué tipo de entrada de diario tengo que revisar?
>
> Estoy valorando otra opción que consiste en crear un nuevo usuario con las
> autorizaciones oportunas y sin *ALLOBJ; después ir cambiado proceso a
> proceso el usuario que lo inicia (casi todos provienen de Windows) y,
> finalmente, comprobar que no dan problemas.
>
> Terminada la migración podré eliminar el usuario con *ALLOBJ original.
>
> Un saludo y gracias por tu interés.
>
> Javier Mora
>
> ------------------------------
> *De:* [email protected] [mailto:
> [email protected]] *En nombre de *Marti Riera
> *Enviado el:* lunes, 18 de noviembre de 2013 11:21
>
> *Para:* forum.help400
> *Asunto:* Re: ALLOBJ y problemas de autorizaciones
>
> Javier,
>
> Yo lo que haria es auditar el uso de las bibliotecas durante unos dias
> (CHGOBJAUD) y a partir de los resultados que te de , decidir la estrategia.
>
> Para el IFS seria lo mismo pero con los directorios que sospeches, usa el
> mandato CHGAUD.
>
> Salut
>
> Martí Riera
>
>
> 2013/11/18 Javier Mora <[email protected]>
>
>> Me lo imaginaba. La operación que propones ya la intenté la semana
>> pasada y empezaron a fallar todos los procesos que utilizaban ese usuario.
>> Por eso volví a poner *ALLOBJ al perfil. Mi idea era averiguar primero con
>> qué problemas de autorización podría encontrarme, arreglarlos y,
>> finalmente, quitar *ALLOBJ.
>>
>> Voy a ver que otras alternativas tengo. Gracias a todos.
>>
>> Javier Mora
>>
>> ------------------------------
>> *De:* [email protected] [mailto:
>> [email protected]] *En nombre de *Tellez Alvarado,
>> Ignacio Andres
>> *Enviado el:* viernes, 15 de noviembre de 2013 14:11
>> *Para:* forum.help400
>> *Asunto:* RE: ALLOBJ y problemas de autorizaciones
>>
>> Javier:
>>
>>
>>
>> Marti tiene razón,
>>
>> Al usuario debieras sacarle *ALLOBJ para que comience a incorporar las
>> entradas al Journal.
>>
>>
>>
>> Saludos
>>
>>
>>
>> *De:* [email protected] [mailto:
>> [email protected]] *En nombre de *Marti Riera
>> *Enviado el:* viernes, 15 de noviembre de 2013 9:30
>> *Para:* forum.help400
>> *Asunto:* Re: ALLOBJ y problemas de autorizaciones
>>
>>
>>
>> Hola,
>>
>>
>>
>> Me parece recordar que si un usaurio tiene *ALLOBJ no se comp`rueban las
>> autorizaciones privadas.
>>
>>
>>
>> Puede que por eso no aparece nada en el diario de auditoria.
>>
>>
>>
>> Saludos
>>
>>
>> Martí Riera
>>
>>
>>
>> 2013/11/15 Javier Mora <[email protected]>
>>
>> Es posible que esté haciendo algo mal, porque no veo ningún tipo de
>> anotación en la auditoría del sistema. Tengo definido QAUDLVL como *AUTFAIL
>> *SECURITY. El usuario tiene OBJAUD(*ALL) y AUDLVL(*AUTFAIL *SECURITY). El
>> usuario tiene *ALLOBJ como autorización especial.
>>
>>
>>
>> He optado por hacer una prueba con una biblioteca con autorización
>> *PUBLIC *EXCLUDE y sin autorizaciones privadas para el usuario ALLOBJ. La
>> auditoria de la biblioteca está con el valor OBJAUD(*USRPRF).
>>
>>
>>
>> Si intento un DSPLIB de la biblioteca o un DSPPFM de un fichero de esta
>> el sistema me deja verlo. Normal, tengo autorización *ALLOBJ, pero no veo
>> en la auditoría para este acceso problemas de autorizaciones (tipo de
>> entrada AF).
>>
>>
>>
>> Sin embargo, si le quito al usuario el *ALLOBJ si que veo en la
>> anotaciones una entrada tipo AF indicando que no tiene autorización.
>>
>>
>>
>> ¿De verdad se puede supervisar los problemas de autorizaciones para un
>> usuario *ALLOBJ? A todos los efectos, éste tiene todas las autorizaciones
>> sobre todos los objetos y, por tanto, no debería registrar nada.
>>
>>
>>
>> ¿Estoy confundiendo conceptos? Lo cierto es que estoy un poco despistado
>> en este asunto.
>>
>>
>>
>> Un saludo,
>>
>>
>>
>> Javier Mora
>>
>> ------------------------------
>>
>> *De:* [email protected] [mailto:
>> [email protected]] *En nombre de *Marti Riera
>> *Enviado el:* martes, 12 de noviembre de 2013 18:51
>> *Para:* forum.help400
>> *Asunto:* Re: ALLOBJ y problemas de autorizaciones
>>
>> Hola,
>>
>>
>> Antes de quitarle el *ALLOBJ, hay que analizar que objetos y/o
>> aplicaciones utiliza, como bien dices la auditoria te puede ayudar, pero
>> ojo en la auditoria solo se graban los objetos cambiados, no los
>> utilizados, por tanto antes deberías cambiar los objetos para que se audite
>> su uso (CHGOBJAUD), el problema es que puedes dejar el sistema muy
>> penalizado en cuanto a rendimiento y uso de disco de los receptores de
>> diario ya que hay que analizarlos antes de eliminarlos (depende del equipo
>> claro), además deberías documentar el valor de auditoria de los objetos
>> antes de cambiarlo, para dejarlo igual después.
>>
>>
>>
>> En fin de entrada parece un obstáculo insalvable, por eso hay que evitar
>> los usuarios *ALLOBJ. Yo aplicaría métodos alternativos:
>>
>>
>>
>> Por ejemplo solo auditar el uso del objeto tipo bibliotecas, con esto al
>> menos ya sabemos cuales usa. Aunque ya sepamos algunas directamente
>> analizando la JOBD del usuario. Como dices que accede al IFS también habría
>> que auditar que directorios usa, lo podrías hacer a un primer o segundo
>> nivel, y bajar mas si es necesario.
>>
>>
>>
>> También podemos analizar si el usuario tiene acceso a linea de mandatos o
>> ejecuta desde una aplicación de esa forma podríamos descartar algunas
>> bibliotecas. Tambien si tiene acceso desde servicios tipo FTP, ODBC, DDM,
>> HTTP, ect.. ya que eso puede abrir o cerrar mucho el ambito a buscar.
>>
>>
>>
>> Una vez sepamos a que bibliotecas accede puedes darle permisos a ellas y
>> sus objetos (mejor a un grupo) y ya podrías quitarle *ALLOBJ. A partir de
>> ahí si quieres bajar a nivel de objeto si podrías analizar en que objetos
>> realiza cambios y cambiar el resto de objetos a read-only para ese usuario.
>>
>>
>>
>> Bueno, supongo que habrá otras formas de hacerlo (como try&error) pero
>> espero te haya dado algunas pistas.
>>
>>
>>
>> Saludos
>>
>>
>>
>>
>> Martí Riera
>>
>>
>>
>> 2013/11/12 Javier Mora <[email protected]>
>>
>> Hola a tod@s:
>>
>>
>>
>> Tengo un usuario con autorización especial *ALLOBJ y quiero saber qué
>> problemas puedo tener de autorizaciones si le quito *ALLOBJ. Sobre todo
>> tengo dudas con los objetos del IFS. ¿La auditoría del sistema puede
>> ayudarme a descubrir estos posibles fallos de autorizaciones? ¿Cómo? (He de
>> reconocer que no tengo mucha experiencia con la auditoría del sistema).
>>
>>
>>
>> Mi idea consiste en revisar primero con qué me puedo encontrarme si quito
>> *ALLOBJ del usuario, arreglar el problema y, una vez subsanados todos los
>> que surjan, eliminar la autorización especial.
>>
>>
>>
>> ¿Sugerencias?, gracias por la ayuda.
>>
>>
>>
>>
>>
>> *Javier Mora García*
>>
>>
>>
>>
>> ____________________________________________________
>> Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
>> Forum.Help400 © Publicaciones Help400, S.L.
>>
>>
>>
>>
>> ____________________________________________________
>> Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
>> Forum.Help400 © Publicaciones Help400, S.L.
>>
>>
>>
>> -----------------------------------------------------------------
>> Notice of Confidentiality: The information transmitted is intended only
>> for the sender and person or entity to which it is addressed and may
>> contain confidential and/or privileged material. Any review,
>> e-transmission, dissemination or other use of, or taking of any action in
>> reliance upon, this information by persons or entities other than the
>> intended recipient is prohibited.
>> If you received this in error, please contact the sender immediately by
>> return electronic transmission and then immediately delete this
>> transmission, including all attachments, without copying, distributing or
>> disclosing same.
>> ------------------------------------------------------------------
>> Aviso de Confidencialidad: Este correo electrónico y/o el material
>> adjunto es para uso exclusivo del emisor y la persona o entidad a la que
>> expresamente se le ha enviado, y puede contener información confidencial o
>> material privilegiado. Si usted no es el destinatario legítimo del mismo,
>> por favor repórtelo inmediatamente al remitente del correo y bórrelo.
>> Cualquier revisión, retransmisión, difusión o cualquier otro uso de este
>> correo, por personas o entidades distintas a las del destinatario legítimo,
>> queda expresamente prohibido. Este correo electrónico no pretende ni debe
>> ser considerado como constitutivo de ninguna relación legal, contractual o
>> de otra índole similar.
>>
>>
>> ____________________________________________________
>> Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
>> Forum.Help400 © Publicaciones Help400, S.L.
>>
>
>
> ____________________________________________________
> Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
> Forum.Help400 © Publicaciones Help400, S.L.
>
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
