Berechtigungsprofile verwalten

Zur Administration von Berechtigungsprofilen bietet openFT-AC dem FTAC-Verwalter folgende Kommandos:

FTCREPRF	Berechtigungsprofile einrichten
FTDELPRF	Berechtigungsprofile löschen
FTMODPRF	Berechtigungsprofile ändern
FTSHWPRF	Berechtigungsprofile anzeigen

Der FTAC-Verwalter hat folgende Möglichkeiten, fremde Berechtigungsprofile zu bearbeiten:

• Er kann Berechtigungsprofile für fremde Benutzerkennungen mit dem Kommando FTCREPRF anlegen; dabei bestehen aber bestimmte Einschränkungen (siehe "Berechtigungsprofile verwalten" ).

• Er kann sie sich mit dem Kommando FTSHWPRF ansehen. Die Zugangsberechtigung eines Berechtigungsprofils wird nicht mit ausgegeben. Das heißt, dass der FTAC- Verwalter durch seine Verwaltereigenschaft keine Zugriffsrechte auf die Dateien fremder Benutzerkennungen bekommt.

• Er kann sie mit dem Kommando FTDELPRF löschen. Diese radikalste aller Möglichkeiten sollte aber nur in begründeten Ausnahmefällen und nach Rücksprache mit dem Eigentümer des Profils angewendet werden.

• Er kann sie mit dem Kommando FTMODPRF privilegieren, oder eine Privilegierung wieder zurücknehmen.

• Er kann auch andere Änderungen mit FTMODPRF vornehmen. Falls der FTAC- Verwalter weder das SU-Privileg besitzt, noch die komplette USER-ADMISSION mit Account und Kennwort des Profileigentümers angibt, wird das Berechtigungsprofil dann so lange gesperrt, bis der Profileigentümer diese Änderungen quittiert, indem er z.B. mit FTMODPRF <profile> TRANSFER-ADMISSION=*OLD-ADMISSION(VALID=*YES) die Zugangsberechtigung wieder auf "gültig" setzt.

Anlegen von Berechtigungsprofilen für fremde Benutzerkennungen

Wenn der FTAC-Verwalter mit dem Kommando FTCREPRF ein Berechtigungsprofil für eine fremde Benutzerkennung anlegen will, gibt es drei mögliche Vorgehensweisen:

• Wenn der FTAC-Verwalter das SU-Privileg besitzt (siehe Abschnitt „Aufbau der Elemente FTADM und FTACADM“ ), dann darf er uneingeschränkt Berechtigungsprofile für andere Kennungen einrichten, auch ohne Kenntnis des aktuellen
  Benutzerkennwortes. In diesen Profilen darf der FTAC-Verwalter eine TRANSFER- ADMISSION angeben, die sofort nach dem Einrichten in FT-Aufträgen verwendet werden kann. Beachten Sie, dass sich FTAC-Verwalter mit dem "SU-Privileg" durch Einrichten entsprechender Berechtigungsprofile Zugang zu den Dateien jeder beliebigen Benutzerkennung verschaffen und dadurch eventuell Schutzvorschriften umgehen können!

• Wenn der FTAC-Verwalter (ohne SU-Privileg) alle Angaben für die USER-ADMISSION (d.h. Benutzerkennung, Abrechnungsnummer und Kennwort) kennt und beim Anlegen des Berechtigungsprofils angibt, dann kann er auch eine TRANSFER-ADMISSION angeben. Er legt damit ein gültiges Berechtigungsprofil an, d.h. dieses Profil kann sofort in File-Transfer- und File-Management-Aufträgen verwendet werden.

  In einem solchen Berechtigungsprofil ist aber das Kennwort des Benutzers fest gespeichert. Wenn der Benutzer sein Kennwort ändert, muss also auch das Berechtigungsprofil geändert werden.

  Beispiel

  Der FTAC-Verwalter legt ein gültiges Berechtigungsprofil für den Benutzer USER1 an; dazu muss er für die USER-ADMISSION vollständige Angaben machen, d.h. er muss auch die Abrechnungsnummer ( 123456 ) und das Kennwort des Benutzers ( PASSWD1 ) angeben.

  FTCREPRF NAME=HISPROF1, TRANS-ADM=READYFORUSE, -

  USER-ADM=(USER1,123456,PASSWD1)

• Der FTAC-Verwalter kann für eine fremde Benutzerkennung auch ein Berechtigungsprofil anlegen, in dem das Kennwort des Benutzers nicht fest gespeichert ist. (Wenn ein FT-Auftrag auf ein solches Berechtigungsprofil Bezug nimmt, setzt FTAC das zu diesem Zeitpunkt gültige z/OS-Kennwort der
  Benutzerkennung ein. Damit wird verhindert, dass bei einer etwaigen Änderung des z/OS-Kennwortes auch das Berechtigungsprofil geändert werden muss.)

  Allerdings darf der FTAC-Verwalter (ohne SU-Privileg) dann beim Anlegen des Berechtigungsprofils keine TRANSFER-ADMISSION angeben. Er legt damit ein gesperrtes Berechtigungsprofil an, d.h. dieses Profil kann erst dann in File-Transfer- und File-Management-Aufträgen verwendet werden, wenn der Benutzer mit dem Kommando FTMODPRF eine TRANSFER-ADMISSION vergeben und die Angaben zur USER-ADMISSION ergänzt hat.

  Beispiel

  Der FTAC-Verwalter legt ein Berechtigungsprofil für den Benutzer USER1 an. Dabei gibt er für die USER-ADMISSION lediglich die Benutzerkennung, nicht aber Abrechnungsnummer und Kennwort an. Dann darf er auch keine TRANSFER- ADMISSION angeben.

  FTCREPRF NAME=HISPROF2, TRANS-ADM=*NOT-SPECIFIED, -

  USER-ADM=(USER1,*NOT-SPECIFIED,*NOT-SPECIFIED)

  Der FTAC-Verwalter sieht sich das Berechtigungsprofil mit dem Kommando FTSHWPRF an. Die kurze Ausgabeform zeigt, dass das Profil gesperrt ist (Kennzeichen "!" vor dem Profilnamen): 

  FTSHWPRF NAME=HISPROF2, SEL=(OWNER=*ALL)

     OWNER         NAME

     USER1        !HISPROF2

  Die lange Ausgabeform zeigt, dass im Profil keine gültige TRANSFER-ADMISSION definiert ist:

  FTSHWPRF NAME=HISPROF2, SEL=(OWNER=*ALL), INF=*ALL

    HISPROF2
   TRANS-ADM     = (NOT-SPECIFIED)

     USER-ADM      = (USER1,NOT-SPECIFIED,NOT-SPECIFIED)

     PROC-ADM      = SAME
   FT-FUNCTION = (TRANSFER-FILE, MODIFY-FILE-ATTRIBUTES,

                    READ-FILE-DIRECTORY)

     LAST-MODIF    = 2017-01-18 11:22:26

  
  

  Jetzt vergibt der Benutzer eine TRANSFER-ADMISSION und ergänzt die Angaben zur USER-ADMISSION:

  FTMODPRF NAME=HISPROF2, TRANS-ADM=NOWREADYFORUSE, -

  USER-ADM=(USER1,123456,PASSWD1)

  Erst jetzt kann das Berechtigungsprofil in File-Transfer- und File-Management- Aufträgen verwendet werden.

  Der Benutzer sieht sich das Berechtigungsprofil mit dem Kommando FTSHWPRF an.

  Die kurze Ausgabeform zeigt, dass das Profil nicht mehr gesperrt ist:

  FTSHWPRF NAME=HISPROF2

     OWNER         NAME

     USER1         HISPROF2

  
  

  Die lange Ausgabeform zeigt, dass die Abrechnungsnummer des Benutzers in das Berechtigungsprofil eingetragen wurde sowie das Kennzeichen YES für das Kennwort der USER-ADMISSION:

  FTSHWPRF NAME=HISPROF2, INF=*ALL

    HISPROF2

     USER-ADM      = (USER1,123456,YES)
   PROC-ADM      = SAME

     FT-FUNCTION = (TRANSFER-FILE, MODIFY-FILE-ATTRIBUTES,

                    READ-FILE-DIRECTORY)
   LAST-MODIF    = 2017-01-18 11:28:12

Privilegierung von Berechtigungsprofilen

In begründeten Ausnahmefällen darf sich ein FT-Benutzer durch den Einsatz eines privilegierten Berechtigungsprofiles über die Vorgaben seines Berechtigungssatzes hinwegsetzen. Solche Ausnahmefälle können beispielsweise sein:

• es soll eine bestimmte Datei übertragen werden,

• es ist keine oder nur eine bestimmte Folgeverarbeitung erlaubt,

• ein Partnersystem mit einer hohen Sicherheitsstufe darf mit der Benutzerkennung File- Transfer betreiben, andere mit kleineren Sicherheitsstufen aber nicht.

Der Schutz für die Benutzerkennung wird in einem solchen Fall dadurch aufrecht erhalten, dass in dem Berechtigungsprofil nur sehr enge Zugriffsrechte erlaubt werden.

Das Vorgehen beim Privilegieren eines Berechtigungsprofils ist einfach:

1. Der Benutzer richtet mit dem Kommando FTCREPRF ein Berechtigungsprofil für die geplante Aufgabe ein.

2. Der FTAC-Verwalter schaut sich das Berechtigungsprofil mit dem Kommando FTSHWPRF an, um festzustellen, ob das Profil eine Gefährdung für den Datenschutz darstellt.

   Beispiel

   FTSHWPRF NAME=UMSAWARE, -

       SELECT-PARAMETER=(OWNER-IDENTIFICATION=STEFAN), -

       INFORMATION=*ALL

   Kurzform:

   FTSHWPRF UMSAWARE,SEL=(,STEFAN),INF=*ALL

   Die Ausgabe hat dann die Form:

   UMSAWARE

     IGN-MAX-LEV = (IBR)
  FILE-NAME     = UMSATZ

     USER-ADM      = (STEFAN,M4711DON,OWN)

     PROC-ADM      = SAME
  SUCC-PROC     = NONE

   FAIL-PROC     = NONE

   FT-FUNCTION = (TRANSFER-FILE, MODIFY-FILE-ATTRIBUTES,

                     READ-FILE-DIRECTORY)
LAST-MODIF     = 2017-01-18 11:43:57

   
   

   Die erste Zeile der Ausgabe zeigt den Namen des Berechtigungsprofils, die folgenden Zeilen die Festlegungen, die Stefan im Kommando FTCREPRF getroffen hat bzw. für die Standardwerte eingesetzt worden sind, weil Stefan keine Angaben getroffen hat.

3. Wenn das Profil unbedenklich ist, privilegiert es der FTAC-Verwalter mit Hilfe des Kommandos FTMODPRF .

   Beispiel

   FTMODPRF NAME=UMSAWARE, -

       SELECT-PARAMETER=(OWNER-IDENTIFICATION=STEFAN), -
    PRIVILEGED=*YES

   Das geänderte Profil liefert mit dem Kommando FTSHWPRF
   UMSAWARE,SEL=(,STEFAN),INF=*ALL die gleiche Ausgabe wie im Beispiel oben, allerdings mit dem Zusatz PRIVILEGED:

   UMSAWARE           PRIVILEGED

      IGN-MAX-LEV = (IBR)

      FILE-NAME       = UMSATZ
    ...

In einem privilegierten Berechtigungsprofil dürfen vom Benutzer nur die
Zugangsberechtigung und der Parameter PRIVILEGED geändert werden. Damit wird ein Missbrauch eines einmal privilegierten Berechtigungsprofils ausgeschlossen.