Noções básicas de segurança do IBM i para administração: autoridades especiais, autoridade sobre objetos, QSECURITY e QAUDJRN

O que é

O controle de acesso do IBM i tem duas camadas independentes. As autoridades especiais, concedidas por meio do parâmetro SPCAUT de um perfil de usuário, controlam capacidades válidas para o sistema inteiro, e não o acesso a um único objeto. *ALLOBJ (all-object) permite que o usuário acesse qualquer recurso do sistema, independentemente das configurações de autoridade do próprio objeto — até um objeto definido explicitamente como *EXCLUDE para esse usuário passa a ser acessível —, mas por si só não permite criar nem alterar perfis de usuário, o que exige a autoridade especial separada *SECADM (security administrator). Para conceder *SECADM a outra pessoa, o usuário precisa ter *ALLOBJ e *SECADM.

A autoridade sobre objetos é a camada por objeto: define quem pode ler, alterar ou gerenciar uma biblioteca, um arquivo ou um programa específico. DSPOBJAUT mostra quem tem autorização sobre um objeto (proprietário, autoridades privadas, *PUBLIC e qualquer lista de autorização que o proteja); EDTOBJAUT edita essas autoridades de forma interativa, e GRTOBJAUT/RVKOBJAUT fazem o mesmo de forma não interativa. Uma entrada *GROUP na coluna User dessa tela significa que quem fez a consulta foi autorizado ao objeto por meio de um perfil de grupo, e não diretamente pelo próprio perfil de usuário — vale verificar isso antes de concluir que um usuário não tem nenhum caminho de acesso ao objeto.

O valor de sistema QSECURITY define o nível geral de imposição (20, 30, 40 ou 50, em ordem crescente de rigor nas versões atuais; o nível 10 não pode mais ser definido). Do nível 40 em diante, também são rejeitados programas que usam interfaces não suportadas ou que apresentam outras brechas de integridade. DSPSYSVAL QSECURITY mostra o nível atual; uma alteração só entra em vigor no próximo IPL e é uma ação de alto impacto, válida para todo o sistema, que pertence a uma janela de mudança e não a uma tarefa de rotina.

O journal QAUDJRN é a trilha de auditoria de segurança do IBM i: acessos a objetos, falhas de autoridade, alterações de perfis e mais são registrados ali quando o journal existe e a auditoria está ativada por meio dos valores de sistema QAUDCTL e QAUDLVL (por exemplo, *AUTFAIL e *PGMFAIL para registrar falhas de autoridade e de programa). CHGSECAUD cria o journal, se necessário, e define esses valores em um único passo, em vez de manualmente; ao contrário de QSECURITY, as alterações nesses valores de sistema de auditoria entram em vigor sem IPL.

Por que importa

Um agente que faz trabalho administrativo no IBM i deve recorrer à menor autoridade especial que cumpra a tarefa — apenas *SECADM para gerenciar perfis, em vez de *ALLOBJ — e deve saber que elevar QSECURITY ou ativar a auditoria do QAUDJRN são mudanças com consequências e que ficam registradas para auditoria, não configurações de rotina.

Como aplicar

• Verifique as autoridades especiais de um perfil (DSPUSRPRF) antes de conceder *ALLOBJ; pergunte se uma autoridade mais restrita (*SECADM, *JOBCTL, *SAVSYS etc.) é suficiente.
• Use DSPOBJAUT/EDTOBJAUT para verificar e definir a autoridade sobre objetos específicos, em vez de recorrer por padrão ao acesso *ALLOBJ para contornar um erro de permissão.
• Consulte DSPSYSVAL QSECURITY e a configuração de QAUDJRN/QAUDLVL antes de presumir o que está ou não sendo registrado.
• Trate qualquer alteração em QSECURITY, QAUDCTL ou nas autoridades especiais com o mesmo controle de mudanças aplicado a uma alteração de configuração em produção.

Armadilhas

• Interpretar *ALLOBJ como "pode fazer tudo", inclusive administrar perfis — sem *SECADM, não pode.
• Presumir que o QAUDJRN captura tudo por padrão; a auditoria é opt-in, conforme os valores de QAUDLVL configurados.
• Esquecer que elevar QSECURITY para 40 ou mais pode quebrar programas que dependiam de brechas de integridade toleradas pelos níveis mais baixos; teste antes de alterar em produção.