Die Administrationsberechtigung wird in der UTM-Generierung festgelegt. Sie ist nicht an eine bestimmte Person (Benutzerkennung) oder an einen bestimmten Ort (Konsole) gebunden. Die Administration kann über jeden beliebigen LTERM-Partner erfolgen, egal ob Terminal, UPIC-Client, HTTP-Client oder TS-Anwendung. Sie können die Administrationsberechtigung auch Partner-Anwendungen Ihrer UTM-Anwendung zuordnen. Jede UTM-Anwendung kann somit von einer anderen Anwendung aus administriert werden. Insbesondere können mehrere Anwendungen auf verschiedenen Rechnern zentral von einer Anwendung aus administriert werden (siehe Kapitel „Zentrale Administration mehrerer Anwendungen").
Speziell für die Administration einer UTM-Anwendung über die Programmschnittstelle KDCADMI und über die Administrationskommandos stellt openUTM - zusätzlich zu den allgemeinen Security-Funktionen (Zugang über Benutzerkennungen, Lock-/Keycode- und Access List-Konzept) - ein zweistufiges Berechtigungskonzept zur Verfügung.
Berechtigungsstufe 1
Administrations-Vorgänge können von Benutzern, Clients und Partner-Anwendungen ohne Administrationsberechtigung aufgerufen werden, wenn sie nur die angebotenen Informationen über Objekte und Anwendungsparameter abfragen, diese Informationen sammeln und auswerten (also nur lesend auf die Konfigurationsdaten zugreifen). Voraussetzung ist, dass Sie den Transaktionscodes, über die diese Administrations-Vorgänge aufgerufen werden, die Berechtigungsstufe ADMIN=READ zuordnen.
Die Angabe von ADMIN=READ ist nur erlaubt:
bei den Kommandos KDCINF, KDCINFA, KDCHELP und KDCHELPA
bei Transaktionscodes von Programmläufen, in denen folgende Aufrufe abgesetzt werden:
KC_GET_OBJECT
KC_ENCRYPT mit subopcode1=KC_READ_ACTIV_PUBLIC_KEY oder
subop-code1=KC_READ_NEW_PUBLIC_KEYKC_SYSLOG mit subopcode1=KC_INFO
Teilprogramme und Transaktionscodes können in diesem Fall wie folgt generiert werden:
BS2000-Systeme
PROGRAM ADMPROG,COMP=ILCS TAC ADMTAC,PROGRAM=ADMPROG,ADMIN=READ
Unix-, Linux- und Windows-Systeme
PROGRAM ADMPROG,COMP=C TAC ADMTAC,PROGRAM=ADMPROG,ADMIN=READ
Berechtigungsstufe 2
Administrations-Vorgänge, die die Anwendungsparameter ändern, Objekte modifizieren, neu eintragen oder löschen (also schreibend auf die Konfigurationsdaten zugreifen), können grundsätzlich nur von Benutzerkennungen und Partner-Anwendungen mit Administrationsberechtigung aufgerufen werden (PERMIT=ADMIN). Die Transaktionscodes dieser Vorgänge müssen mit ADMIN=Y konfiguriert werden.
Teilprogramme und Transaktionscodes müssen dann wie folgt in die Konfiguration eingetragen werden:
BS2000-Systeme
PROGRAM ADMPROG,COMP=ILCS TAC ADMTAC,PROGRAM=ADMPROG,ADMIN=Y
Unix-, Linux- und Windows-Systeme
PROGRAM ADMPROG,COMP=C TAC ADMTAC,PROGRAM=ADMPROG,ADMIN=Y
Mit ADMIN=Y müssen Sie folgende Transaktionscodes generieren:
alle Administrationskommandos außer KDCINF[A] und KDCHELP[A]
Transaktionscodes, die Programmläufe starten, in denen auch andere KDCADMI-Aufrufe als KC_GET_OBJECT,
KC_ENCRYPT mit subopcode1=KC_READ_ACTIV_PUBLIC_KEY oder
subop-code1=KC_READ_NEW_PUBLIC_KEY oder
KC_SYSLOG mit subopcode1=KC_INFO abgesetzt werden.
Alle Teilprogramme, die Transaktionscodes der Berechtigungsstufe 2 aufrufen, müssen unter einer Benutzerkennung ablaufen, die administrationsberechtigt ist.
Beispiel
Sie können ein Administrationsprogramm erstellen, das, wenn es über den Transaktionscode ADMTAC1 aufgerufen wird, nur abfragt, ob ein Drucker mit der Anwendung verbunden ist. Wird dasselbe Programm über den Transaktionscode ADMTAC2 aufgerufen, dann fragt das Teilprogramm ebenfalls mit KC_GET_OBJECT ab, ob der Drucker mit der Anwendung verbunden ist. Ist der Drucker jedoch nicht mit der Anwendung verbunden, dann fordert das Teilprogramm den Verbindungsaufbau zum Drucker an (KC_MODIFY_OBJECT). ADMTAC1 darf über jede Benutzerkennung und von jeder Partner-Anwendung aufgerufen werden. ADMTAC2 darf nur von Benutzerkennungen und Partner-Anwendungen aufgerufen werden, die administrationsberechtigt sind.
Die zugehörige KDCDEF-Generierung sieht dann folgendermaßen aus:
BS2000-Systeme
PROGRAM ADMPROG,COMP=ILCS TAC ADMTAC1,PROGRAM=ADMPROG,ADMIN=READ TAC ADMTAC2,PROGRAM=ADMPROG,ADMIN=Y
Unix-, Linux- und Windows-Systeme
PROGRAM ADMPROG,COMP=C TAC ADMTAC1,PROGRAM=ADMPROG,ADMIN=READ TAC ADMTAC2,PROGRAM=ADMPROG,ADMIN=Y
Eine feinere Differenzierung der Zugriffsrechte können Sie dann mit Hilfe des Lock-/Keycode- und Access List-Konzepts realisieren.