Fundamentos de seguridad de IBM i para administración: autoridades especiales, autoridad sobre objetos, QSECURITY y QAUDJRN

Qué es

El control de acceso de IBM i tiene dos capas independientes. Las autoridades especiales, concedidas mediante el parámetro SPCAUT en un perfil de usuario, controlan capacidades de todo el sistema y no el acceso a un objeto concreto. *ALLOBJ (todos los objetos) permite acceder a cualquier recurso del sistema con independencia de la configuración de autoridad propia de ese objeto (incluso un objeto configurado explícitamente como *EXCLUDE para ese usuario pasa a ser accesible), pero por sí sola no permite crear ni modificar perfiles de usuario, lo cual requiere la autoridad especial separada *SECADM (administrador de seguridad). Un usuario necesita tanto *ALLOBJ como *SECADM para conceder *SECADM a otra persona.

La autoridad sobre objetos es la capa por objeto: quién puede leer, modificar o gestionar una biblioteca, un archivo o un programa concreto. DSPOBJAUT muestra quién está autorizado sobre un objeto (propietario, autoridades privadas, *PUBLIC, y cualquier lista de autorización que lo proteja); EDTOBJAUT edita esas autoridades de forma interactiva, y GRTOBJAUT/RVKOBJAUT lo hacen de forma no interactiva. Una entrada *GROUP en la columna Usuario de esa pantalla significa que la persona solicitante estaba autorizada sobre el objeto a través de un perfil de grupo y no directamente a través de su propio perfil de usuario; vale la pena comprobarlo antes de concluir que un usuario no tiene ninguna vía de acceso a un objeto.

El valor de sistema QSECURITY fija el nivel general de exigencia (20, 30, 40 o 50, en orden creciente de rigor en las versiones actuales; el nivel 10 ya no puede establecerse); el nivel 40 y superiores además rechazan los programas que usan interfaces no admitidas u otras exposiciones de integridad. DSPSYSVAL QSECURITY muestra el nivel actual; un cambio solo surte efecto en el siguiente IPL y es una acción de alto impacto para todo el sistema que corresponde a una ventana de cambio, no a una tarea rutinaria.

El diario QAUDJRN es el rastro de auditoría de seguridad de IBM i: los accesos a objetos, los fallos de autoridad, los cambios de perfil y más se registran allí cuando el diario existe y la auditoría está activada mediante los valores de sistema QAUDCTL y QAUDLVL (por ejemplo, *AUTFAIL y *PGMFAIL para registrar los fallos de autoridad y de programa). CHGSECAUD crea el diario si es necesario y establece estos valores en un solo paso en lugar de manualmente; a diferencia de QSECURITY, los cambios en estos valores de sistema de auditoría surten efecto sin necesidad de un IPL.

Por qué importa

Un agente que realice tareas administrativas en IBM i debería recurrir a la autoridad especial más reducida que permita cumplir la tarea (*SECADM por sí sola para la gestión de perfiles, en lugar de *ALLOBJ), y debería saber que elevar QSECURITY o activar la auditoría de QAUDJRN son cambios de consecuencia, auditables, y no configuración rutinaria.

Cómo aplicarlo

• Comprobar las autoridades especiales de un perfil (DSPUSRPRF) antes de conceder *ALLOBJ; preguntarse si basta con la autoridad más restringida (*SECADM, *JOBCTL, *SAVSYS, etc.).
• Usar DSPOBJAUT/EDTOBJAUT para comprobar y establecer la autoridad sobre objetos concretos en lugar de recurrir por defecto al acceso *ALLOBJ para sortear un error de permisos.
• Comprobar DSPSYSVAL QSECURITY y la configuración de QAUDJRN/QAUDLVL antes de suponer qué se está registrando y qué no.
• Tratar cualquier cambio en QSECURITY, QAUDCTL o en las autoridades especiales con el mismo control de cambios que un cambio de configuración de producción.

Trampas

• Interpretar *ALLOBJ como «puede hacer cualquier cosa», incluida la administración de perfiles: no puede, sin *SECADM.
• Suponer que QAUDJRN captura todo por defecto; la auditoría es opcional y depende de los valores de QAUDLVL configurados.
• Olvidar que elevar QSECURITY a 40 o más puede romper programas que dependían de exposiciones de integridad que los niveles inferiores toleraban; conviene probar antes de cambiarlo en producción.