大型机高级系统管理技术PPT课件

[MGMTCLAS(MANAGEMENT CLASS 名)] [STORCLAS(STORAGE CLASS名)]] [GRPACC/NOGRPACC] [MODEL(数据集名)] [NAME(‘用户名’)] [OMVS([HOME(工作目录名)] [PROGRAM(SHELL程序名)] [UID(用户标识)])] [OPERATIONS/NOOPERATIONS] [OWNER(用户或组名)] [PASSWORD(口令)/NOPASSWORD] [SECLABEL(安全标识名)] [SECLEVEL(安全级别名)] [SPECIAL/NOSPECIAL] [UACC(访问权限)] [WHEN([DAYS(日期)] [TIME(时间)])]
步骤5：如果组需要访问RACF保护的资源，则授权给该组， 例如：
PERMIT 'RACF.PROTECT.DATA' ID(DEPTA) ACCESS(READ)
步骤6：如果组需要访问OE的资源，则改变组的PROFILE， 并赋予一个GID。例如： ALTGROUP DEPTA OMVS(GID(100))
2020/10/13
2
资源授权检查
• 每个资源有一个PROFILE，主要内容有： PROFILE名、拥有者、UACC（通用访问 权限）、访问控制列表、SECURITY CLASSFICATION及审计信息
2020/10/13
3
RACF概述——安全管理
• PROFILE的类型：
1. 用户PROFILE：记录用户安全特性 2. 组PROFILE：记录组安全特性 3. 数据集PROFILE：描述通用资源的访问权限 4. 通用资源PROFILE：描述数据集访问权限
2020/10/13
10
改变组属性
改变一个组的属性所需要的权限和创建组命令一
样，其命令格式如下：
ALTGROUP/ALG (组名) DATA(‘注释’) [DFP([DATAAPPL(应用名)] [DATACLA(DATA CLASS名)] [MGMTCLAS(MANAGEMENT CLASS 名)] [STORCLAS(STORE CLASS名)] [MODEL(模版名)])] [OMVS([GID(组标识)])] [OWER(用户或组名)] [SUPGROUP(组名)]
[TERMUACC/NOTERMUACC]
20ห้องสมุดไป่ตู้0/10/13
7
定义一个组的步骤
步骤1：确定组的前趋组、组名、拥有者，如果系统中用 RACF保护终端并且组中的用户限制使用特定的终端，创 建组时应指定NOTERMUACC。如果安装了DFSMS，则 在组的DFP段中指定特定的初始值
步骤2：创建组PROFILE。例如： ADDGROUP DEPTA OWNER(ALLDEPT) SUPGROUP(ALLDEPT)
[TERMUACC/NOTERMUACC]
2020/10/13
11
定义用户命令的格式
定以一个用户的命令的格式如下：
ADDUSER/AU (用户ID)
[ADDCATEGORY()] [ADSP/NOADSP] [AUDIT/NOAUDIT] [AUTHRITY(授权)] [CLAUTH(类名)/NOCLAUTH] [DATA(注释)] [DFLTGRP(组名)] [DFP(DATAAPPL(应用名)) [DATACLAS(DATACLASS名)]
步骤3：连接合适的用户到组中。例如：
CONNECT (STEVEH LIZS) GROUP(DEPTA) OWNER(DEPTA) AUTHORITY(CONNECT) CONNECT GENEK GROUP(DEPTA) OWNER(DEPTA)
2020/10/13
8
定义一个组的步骤
步骤4：如果组要拥有数据集，则创建一个通用的数据集 PROFILE。例如： ADDSD 'DEPTA.**' UACC(NONE)
2020/10/13
9
删除组
• 命令格式为： DELGROUP/DG （组名）
• 删除一个组的步骤
– 移去组中的所有用户（REMOVE命令） – 找出所有与该组有关的数据集，一般来讲也就是HLQ是该组名的
数据集，把他们删除或改名 – 把要删除的组的子组，其前驱组改为已存在的组 – 如果组还拥有其他PROFILE，改变拥有者为其他组或用户 – 在所有访问列表中删除该组 – 用DELGROUP命令删除组的PROFILE
2020/10/13
4
RACF概述——安全管理
在RACF中权限可以是以下几种：
1. ALTER：对资源或数据集具有完全的控制。仅可以读、 写、执行此PROFILE保护的数据集或资源，还可以创建 此PROFILE保护的数据集或资源
2. UPDATE:可读可写 3. READ：可读 4. EXECUTE：可执行 5. NONE：无任何权限
大型机高级系统管理技术
RACF命令
2020/10/13
1
用户
• 每一个RACF定义的用户均有一个 PROFILE，其内容有用户ID、拥有者、口 令、属性、SECURITY CIALLSIFICATION、 组及段
• 在RACF中用户可划分为组。一个用户组通 常是许多具有类似权限的用户的集合。
• 一个用户可以同时属于多个组，当一个用 户成为一个组中的成员时，我们说这个用 户连接到这个组中，同时他也具有了这个 组的权限
2020/10/13
6
定义组的命令格式
定义一个组的命令格式如下：
ADDGROUP/AG (组名) DATA(‘注释’) [DFP([DATAAPPL(应用名)] [DATACLA(DATA CLASS名)] [MGMTCLAS(MANAGEMENT CLASS名)] [STORCLAS(STORE CLASS名)] [MODEL(模版名)])] [OMVS([GID(组标识)])] [OWER(用户或组名)] [SUPGROUP(组名)]
2020/10/13
5
RACF概述——安全管理
PROFILE：
• 通用PROFILE：PROFILE名字中可以有通配符， 一个PROFILE可以覆盖多个名字类似的资源，因 此这种PROFILE允许你定义一个PROFILE保护多 个名字类似的资源。
• 分散PROFILE：每一个PROFILE只对应一个被保 护的对象，因此每一个PROFILE只保护一个资源