AS400安全与权限管理

AS/400安全与权限管理

AS/400安全体系包括系统安全、用户控制和资源保护三个层次，融贯于整个计算机系统中。可以说从外部硬件到系统内部，从用户登录开始，到用户访问的每一界面（菜单、命令行等），访问的任何资源，安全检查一直处于活跃状态。能有效地对数据进行保护，免遭破坏和非法访问。

本单元介绍OS/400的包括用户描述、与安全相关的系统参数、权限表、组描述、安全工具及安全向导等安全概念。

安全包括系统内置的用来控制系统设备、数据、系统上安装程序使用的安全措施。安全阻止未授权的用户访问数据，从而保护数据的完整性。

菜单是用来控制用户访问权限的方法之一。用户描述扩展了此权限，可控制用户的登录。

1 系统安全

1.1 Security Types

Figure 7-1. Types of Security

There are 3 types of security on the AS/400 system: Physical security 、Sign-on security and Resource security

Physical security

Physical security provides protection of your AS/400 system, device, device output and media on which data is stored from accidental or deliberate loss or damage. Resource Security

Resource security protects the data on the system by limiting access to files, programs, libraries, and other objects.

Sign-on security

Sign-on securitylimits who can sign on to an AS/400 system and what they can do when they sign on (for example, which menu options appear).

对于AS/400计算机系统来说，系统应该有三级安全保护机制。物理安全性(Physical Security)、登录安全性(Sign-on Security)和资源安全性(Resource Security)。物理安全性是指提供系统和相关设备及存贮数据介质的保护，以防意外或有意的数据丢失、破坏。登录安全性限制谁可以在系统上登录，以及登录后可以执行那些操作。资源安全性是在用户登录系统后，附加的用于保护对象和对象中数据安全性，避免非法访问。这里我们主要讨论后两种安全性管理。

1.2 Security Levels

Figure 7-2. Security Levels

The system offers 5 levels of security:10,20,30,40 and 50.

为了满足商务需求，AS/400的安全机制能够实现从没有安全性到C2级标准的安全性，这是依赖于系统值的调节功能。与安全有关的系统有很多，最重要的是QSECURITY。系统值SECURITY用于制定当前系统运行在什么样的安全级别，它有五个值：10、20、30、40、50，分别对应五个不同的安全级别。以V4R3M0开始的QSECURITY默认值为40，且不能将QSECURITY值置回为10。如果系统当前的安全级别为10，在安装了V4R3M0后仍为10，但如果将系统值改为高于10的值，就不能再改回为10级。

10级：没有安全性。这是系统的最低安全级别，表示系统没有安全性。进入系统不需要口令，所有用户都有权访问系统中的全部资源，对系统对象的访问也没有限制。

20级：20级的用户在登录前必须先注册，注册用户在登录时，要输入正确的口令才能进入系统。一旦用户成功进入系统，即可访问任何系统资源，这时和10级没有区别。但在20级的系统中，可以设定用户为受限制用户，只允许进行菜单选择，不允许使用命令行。

30级：资源保护。30级具备20级的全部功能，所不同的是在30级的系统中，用户对系统资源的访问受到了限制。系统设置了用户对资源的访问权限，只有获得相应权限的用户才可以访问相应的系统资源。但在这一级别上，用户的对象和操作系统的对象不加区别，用户可以授权访问大多数MI下方的内部对象。

40级：40级与30级相比又有很大程度的加强。在40级的系统中，不允许访问非标准界面，即用户不允许访问或调用全部的MI指令。用户程序只能使用IBM认可的由部分MI指令组成的标准指令集，包括数百个供独立软件提供商（ISV）使用的API。然而，在40级安全性下，禁止应用程序使用的那些MI指令对于OS/400来说还是有效的。为了区分OS/400程序和用户程序，在AS/400中定义了两个执行状态：系统态（System State）和用户态（User State）。AS/400中的每一个进程都运行于其中的某一个状态，只有在系统态下才能使用对应用程序禁止的MI指令。

50级：C2级保护。美国联邦政府定义的安全级别从高到低依次为A、B、C、D。B和C 下又分了若干子级别。C2级是商务计算中的最高级别。50级安全性获得了联邦机构的认证，符合联邦政府C2级安全级别。如果系统运行在50等级下,系统性能会因其带来的附加检验而受影响。

常用的是30和40两个级别。有相关权限（*ALLOBJ或*SECADM）的用户可对QSECURITY 系统值自由修改,但所改的系统值只在下一次IPL时生效.可用DSPSECA命令显示系统的安全级别。

1.3 Security Related System Values

Figure 7-3. Security Related System Values

除了QSECURITY之外，还有一些系统值与安全密切相关，在不同的层次上实施安全控制。以下几个是安全管理员经常使用的。

QMAXSIGN此系统值控制本地或远程用户的最多无效登录次数。当达到最大值时系统采用QMAXSGNACN系统值中的相应措施。

QMAXSGNACN此系统值决定当用户无效登录次数达到最大值时，系统应采取的相应措施：①逻辑断开设备②使用户描述无效③既逻辑断开设备又使用户描述无效。

QINACTITV此系统值指定系统所允许的交互式作业处于非活动状态的分钟数。主要是预防没有Sign-Off而离开工作站，可将此值置为*NONE (系统不检查非活动的交互式作业)或置为5-300 分钟.当规定的时间到时，系统采取QINACTMSGQ系统值规定的措施。建议值为30-60分钟。

QINACTMSGQ此系统值指定当交互式作业处于非活动状态的时间间隔（即为QINACTITV 所规定的）后，系统所应采取的相应措施。交互式作业可能被终止、断开连接，或者有消息会被送到指定消息队列。建议值为*DSCJOB

QDSPSGNINF显示最后一次Sign-On日期和时间，无效的Sign-On次数，以及再过几天需要更换口令。能有效地帮助用户发现是否有其他用户使用过或试图使用自己的帐号。

QLMTSECOFR限制拥有特权（*ALLOBJ或*SERVICE)的用户只能在指定的终端上登录，防止权力扩散。

QPWDEXPITV此系统值通过跟踪最进修改密码时间或用户描述的创建时间，来控制用户使用密码的天数。在密码将要失效的前七天，用户登录时（即使不显示登录信息）会有一警告，告诉用户更新密码，如果在规定时间内用户没更新密码，用户不能登录，直至更新密码为止。此参数值可置为*NOMAX (密码可长期使用) 或者一定天数(1-366)．

QLMTDEVSSN限制用户同时能否在多台工作站上Sign-On。

注：可用WRKSYSVAL *SEC 命令查看修改所有安全相关系统值。