Muchas gracias Martí.
________________________________
De: [email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: martes, 19 de noviembre de 2013 12:18
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de autorizaciones
Hola,
Pongo un ejemplo, para el auditar el acceso a la biblioteca MYLIB:
1. Comprobar valores de auditoria del sistema: QAUDCTL debe
contener *OBJAUD
2. Averiguar cual es el nivel de auditoria asignada al objeto
actualmente:
1. DSPOBJD OBJ(MYLIB) OBJTYPE(*LIB) DETAIL(*FULL)
1. Auditing/Integrity information:
2. Object auditing value . . . . . . . :
*CHANGE
2. Nota1: El valor por defecto al crear el objeto en una
biblioteca se indica en el parametro CRTOBJAUD al crear la biblioteca, en este
caso como es una biblioteca coge el del valor del sistema QCRTOBJAUD, que
habitualmente es *CHANGE.
3. Nota2: El valor *CHANGE solo grabara en el diario de
auditoria (QAUDJRN) los cambios en el objetos, pero no que se use:
3. Para auditar el acceso a la biblioteca:
1. CHGOBJAUD OBJ(MYLIB) OBJTYPE(*LIB) OBJAUD(*ALL)
4. Cada vez que se use o cambie la biblioteca, aunque no se use
ningun objeto de ella, se grabara en el diario de auditoria.(QAUDJRN)
5. Para recuperar las entradas del diario de auditoria:
1. DSPJRN JRN(QAUDJRN) ENTTYP(ZC ZR)
2. ZC= Acceso de escritura
3. ZR= Acceso de lectura
Para cambiar la auditoria de un directorio en el IFS seria, muy
resumido:
DSPLNK + opcion 8
CHGAUD
Las entradas de diario son las mismas.
Una vez analizado el tema recomiendo dejar el valor de auditoria del
objetos al mismo valor recuperado antes (en el ejemplo *CHANGE)
Espero que con esto te sirva.
Saludos
Martí Riera
www.as400howto.com
2013/11/19 Javier Mora <[email protected]>
Martí, ¿me podrías ayudar un poco más? No me muevo muy bien con
esto de la auditoría. ¿Qué valor de auditoría utilizo en CHGOBJAUD para
comprobar el usu de los objetos? ¿Qué tipo de entrada de diario tengo que
revisar?
Estoy valorando otra opción que consiste en crear un nuevo
usuario con las autorizaciones oportunas y sin *ALLOBJ; después ir cambiado
proceso a proceso el usuario que lo inicia (casi todos provienen de Windows) y,
finalmente, comprobar que no dan problemas.
Terminada la migración podré eliminar el usuario con *ALLOBJ
original.
Un saludo y gracias por tu interés.
Javier Mora
________________________________
De: [email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: lunes, 18 de noviembre de 2013 11:21
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de autorizaciones
Javier,
Yo lo que haria es auditar el uso de las bibliotecas
durante unos dias (CHGOBJAUD) y a partir de los resultados que te de , decidir
la estrategia.
Para el IFS seria lo mismo pero con los directorios que
sospeches, usa el mandato CHGAUD.
Salut
Martí Riera
2013/11/18 Javier Mora <[email protected]>
Me lo imaginaba. La operación que propones ya
la intenté la semana pasada y empezaron a fallar todos los procesos que
utilizaban ese usuario. Por eso volví a poner *ALLOBJ al perfil. Mi idea era
averiguar primero con qué problemas de autorización podría encontrarme,
arreglarlos y, finalmente, quitar *ALLOBJ.
Voy a ver que otras alternativas tengo. Gracias
a todos.
Javier Mora
________________________________
De:
[email protected]
[mailto:[email protected]] En nombre de Tellez Alvarado,
Ignacio Andres
Enviado el: viernes, 15 de noviembre de
2013 14:11
Para: forum.help400
Asunto: RE: ALLOBJ y problemas de
autorizaciones
Javier:
Marti tiene razón,
Al usuario debieras sacarle *ALLOBJ
para que comience a incorporar las entradas al Journal.
Saludos
De:
[email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: viernes, 15 de noviembre de
2013 9:30
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de
autorizaciones
Hola,
Me parece recordar que si un usaurio
tiene *ALLOBJ no se comp`rueban las autorizaciones privadas.
Puede que por eso no aparece nada en el
diario de auditoria.
Saludos
Martí Riera
2013/11/15 Javier Mora
<[email protected]>
Es posible que esté haciendo algo mal,
porque no veo ningún tipo de anotación en la auditoría del sistema. Tengo
definido QAUDLVL como *AUTFAIL *SECURITY. El usuario tiene OBJAUD(*ALL) y
AUDLVL(*AUTFAIL *SECURITY). El usuario tiene *ALLOBJ como autorización especial.
He optado por hacer una prueba con una
biblioteca con autorización *PUBLIC *EXCLUDE y sin autorizaciones privadas para
el usuario ALLOBJ. La auditoria de la biblioteca está con el valor
OBJAUD(*USRPRF).
Si intento un DSPLIB de la biblioteca o
un DSPPFM de un fichero de esta el sistema me deja verlo. Normal, tengo
autorización *ALLOBJ, pero no veo en la auditoría para este acceso problemas de
autorizaciones (tipo de entrada AF).
Sin embargo, si le quito al usuario el
*ALLOBJ si que veo en la anotaciones una entrada tipo AF indicando que no tiene
autorización.
¿De verdad se puede supervisar los
problemas de autorizaciones para un usuario *ALLOBJ? A todos los efectos, éste
tiene todas las autorizaciones sobre todos los objetos y, por tanto, no debería
registrar nada.
¿Estoy confundiendo conceptos? Lo
cierto es que estoy un poco despistado en este asunto.
Un saludo,
Javier Mora
________________________________
De:
[email protected]
[mailto:[email protected]] En nombre de Marti Riera
Enviado el: martes, 12 de noviembre de
2013 18:51
Para: forum.help400
Asunto: Re: ALLOBJ y problemas de
autorizaciones
Hola,
Antes de quitarle el *ALLOBJ, hay que
analizar que objetos y/o aplicaciones utiliza, como bien dices la auditoria te
puede ayudar, pero ojo en la auditoria solo se graban los objetos cambiados, no
los utilizados, por tanto antes deberías cambiar los objetos para que se audite
su uso (CHGOBJAUD), el problema es que puedes dejar el sistema muy penalizado
en cuanto a rendimiento y uso de disco de los receptores de diario ya que hay
que analizarlos antes de eliminarlos (depende del equipo claro), además
deberías documentar el valor de auditoria de los objetos antes de cambiarlo,
para dejarlo igual después.
En fin de entrada parece un obstáculo
insalvable, por eso hay que evitar los usuarios *ALLOBJ. Yo aplicaría métodos
alternativos:
Por ejemplo solo auditar el uso del
objeto tipo bibliotecas, con esto al menos ya sabemos cuales usa. Aunque ya
sepamos algunas directamente analizando la JOBD del usuario. Como dices que
accede al IFS también habría que auditar que directorios usa, lo podrías hacer
a un primer o segundo nivel, y bajar mas si es necesario.
También podemos analizar si el usuario
tiene acceso a linea de mandatos o ejecuta desde una aplicación de esa forma
podríamos descartar algunas bibliotecas. Tambien si tiene acceso desde
servicios tipo FTP, ODBC, DDM, HTTP, ect.. ya que eso puede abrir o cerrar
mucho el ambito a buscar.
Una vez sepamos a que bibliotecas
accede puedes darle permisos a ellas y sus objetos (mejor a un grupo) y ya
podrías quitarle *ALLOBJ. A partir de ahí si quieres bajar a nivel de objeto si
podrías analizar en que objetos realiza cambios y cambiar el resto de objetos a
read-only para ese usuario.
Bueno, supongo que habrá otras formas
de hacerlo (como try&error) pero espero te haya dado algunas pistas.
Saludos
Martí Riera
2013/11/12 Javier Mora
<[email protected]>
Hola a tod@s:
Tengo un usuario con autorización
especial *ALLOBJ y quiero saber qué problemas puedo tener de autorizaciones si
le quito *ALLOBJ. Sobre todo tengo dudas con los objetos del IFS. ¿La auditoría
del sistema puede ayudarme a descubrir estos posibles fallos de autorizaciones?
¿Cómo? (He de reconocer que no tengo mucha experiencia con la auditoría del
sistema).
Mi idea consiste en revisar primero con
qué me puedo encontrarme si quito *ALLOBJ del usuario, arreglar el problema y,
una vez subsanados todos los que surjan, eliminar la autorización especial.
¿Sugerencias?, gracias por la ayuda.
Javier Mora García
____________________________________________________
Únete a Recursos AS400, nuestra
Comunidad ( http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400,
S.L.
____________________________________________________
Únete a Recursos AS400, nuestra
Comunidad ( http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400,
S.L.
-----------------------------------------------------------------
Notice of Confidentiality: The
information transmitted is intended only for the sender and person or entity to
which it is addressed and may contain confidential and/or privileged material.
Any review, e-transmission, dissemination or other use of, or taking of any
action in reliance upon, this information by persons or entities other than the
intended recipient is prohibited.
If you received this in error, please
contact the sender immediately by return electronic transmission and then
immediately delete this transmission, including all attachments, without
copying, distributing or disclosing same.
------------------------------------------------------------------
Aviso de Confidencialidad: Este correo
electrónico y/o el material adjunto es para uso exclusivo del emisor y la
persona o entidad a la que expresamente se le ha enviado, y puede contener
información confidencial o material privilegiado. Si usted no es el
destinatario legítimo del mismo, por favor repórtelo inmediatamente al
remitente del correo y bórrelo.
Cualquier revisión, retransmisión,
difusión o cualquier otro uso de este correo, por personas o entidades
distintas a las del destinatario legítimo, queda expresamente prohibido. Este
correo electrónico no pretende ni debe ser considerado como constitutivo de
ninguna relación legal, contractual o de otra índole similar.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad (
http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad (
http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
____________________________________________________
Únete a Recursos AS400, nuestra Comunidad ( http://bit.ly/db68dd )
Forum.Help400 © Publicaciones Help400, S.L.
