GRTOBJAUT

La commande GRTOBJAUT (Accorder des droits sur un objet) permet d'accorder des droits spécifiques sur les objets nommés dans la commande à un autre utilisateur ou groupe d'utilisateurs.

Des droits peuvent être accordés aux utilisateurs suivants :

• Utilisateurs désignés
• Utilisateurs (*PUBLIC) n'ayant aucun droit spécifique sur l'objet ou sur la liste d'autorisation
• Utilisateurs de l'objet auquel font référence les paramètres Objet de référence (REFOBJ) et Type de l'objet de référence (REFOBJTYPE)
• Des listes d'autorisation

Si vous indiquez AUT(*AUTL), le droit PUBLIC sur l'objet est dérivé du droit PUBLIC de la liste d'autorisation qui protège l'objet.

Le paramètre AUTL permet de protéger un objet à l'aide d'une liste d'autorisation ou de retirer une liste d'autorisation d'un objet. Les profils utilisateur ne peuvent pas être protégés par une liste d'autorisation (*AUTL).

Cette commande peut être utilisée par :

• Un propriétaire d'objet.
• Un utilisateur disposant du droit de gestion sur l'objet indiqué. Un utilisateur disposant de ce droit peut accorder à d'autres utilisateurs tout droit dont il dispose lui-même, à l'exception du droit de gestion de l'objet.
• Un utilisateur disposant du droit spécial *ALLOBJ.
• Un utilisateur qui dispose de droits sur la fonction d'administrateur de la sécurité de la base de données de l'IBM i (QIBM_DB_SECADM).

Un utilisateur disposant des droits sur la fonction d'administrateur de la sécurité de la base de données de l'IBM i (QIBM_DB_SECADM) est autorisé à fournir des droits à d'autres utilisateurs sur n'importe quel objet du système de fichiers QSYS.lib. De plus, cet utilisateur peut affecter une liste d'autorisation à un objet. Toutefois, les utilisateurs disposant des droits sur la fonction QIBM_DB_SECADM ne peuvent pas s'octroyer des droits à eux-mêmes sauf s'ils possèdent les droits nécessaires pour cette opération (propriété, *ALLOBJ ou *OBJMGT et les droits octroyés).

Remarque :Cet utilisateur peut octroyer des droits à *PUBLIC ou à un profil de groupe. Il est préférable qu'un utilisateur disposant des droits sur la fonction QIBM_DB_SECADM n'appartienne pas à un profil de groupe. Il est également recommandé de contrôler les actions de cet utilisateur privilégié.

Seul le propriétaire d'un objet ou un utilisateur disposant du droit spécial sur tous les objets (*ALLOBJ) peut accorder le droit de gestion de l'objet à un autre utilisateur.

Un utilisateur disposant du droit *ALL peut attribuer une nouvelle liste d'autorisation.

Lors de l'attribution de droits aux utilisateurs, le paramètre REPLACE indique si les droits spécifiés remplacent les droits existants de l'utilisateur. La valeur par défaut REPLACE(*NO) accorde les droits que vous avez indiqués, mais ne supprime pas les droits qui pourraient être supérieurs, sauf si vous attribuez le droit *EXCLUDE. REPLACE(*YES) supprime les droits en cours de l'utilisateur, puis attribue les droits que vous spécifiez.

Lors de l'attribution de droits avec un objet de référence, cette commande attribue les droits spécifiés, mais ne supprime pas les droits qui pourraient être supérieurs, sauf si vous attribuez le droit *EXCLUDE.

Cette commande accorde les droits que vous indiquez, mais ne révoque aucun des droits existants qui seraient supérieurs à ces derniers, à moins que vous n'accordiez un droit *EXCLUDE ou que vous n'indiquiez REPLACE(*YES).

Restrictions :

1. Par défaut, cette commande doit obtenir un verrouillage exclusif sur un fichier base de données avant d'accorder le droit de lecture ou le droit d'opération sur l'objet à un utilisateur.
2. Si vous souhaitez accorder à un utilisateur des droits sur une unité alors que celle-ci est utilisée par un autre utilisateur autorisé, ces droits ne sont pas accordés.
3. Le type d'objet *AUTL ne peut pas être indiqué.
4. AUT(*AUTL) n'est admis qu'avec USER(*PUBLIC).
5. Pour se servir du paramètre AUTL, un utilisateur doit être le propriétaire de l'objet ou détenir les droits *ALL.
6. L'utilisateur doit disposer du droit de gestion sur l'objet.
7. Si l'objet est un fichier, l'utilisateur doit détenir les droits d'opération et de gestion sur l'objet.
8. Dans le cas de claviers-écrans ou de files d'attente de messages qui leur sont associées, si cette commande n'est pas entrée sur l'unité pour laquelle les droits doivent être accordés, vous devez tout d'abord exécuter la commande ALCOBJ (Allouer un objet) suivie de la commande DLCOBJ (Désallouer un objet).
9. Vous devez détenir les droits *USE sur l'unité ASP (pool de mémoire secondaire) si elle est précisée.

Remarque :Des précautions doivent être prises lors de la modification des droits publics sur des objets fournis par IBM. Par exemple, la modification des droits publics sur la file d'attente de messages QSYSOPR pour les rendre plus restrictifs que *CHANGE provoquera l'échec de certains programmes système. Ces derniers ne disposeront plus de droits suffisants pour envoyer des messages dans la file d'attente de messages QSYSOPR. Pour plus d'informations, consultez le manuel IBM i Security Reference, SC41-5302.

Paramètres

Objet (OBJ)

Indique les objets sur lesquels des droits spécifiques doivent être accordés à un ou plusieurs utilisateurs.

Ce paramètre est obligatoire.

Qualificatif 1 : Objet

*ALL

Des droits spécifiques doivent être accordés à tous les objets du type d'objet indiqué (paramètre OBJTYPE). Vous devez entrer un nom de bibliothèque spécifique pour le qualificateur de bibliothèque lorsque *ALL est indiqué.

nom-générique

Indiquez le nom générique des objets sur lesquels des droits spécifiques doivent être accordés à un ou plusieurs utilisateurs. Un nom générique est une chaîne de caractères contenant un ou plusieurs caractères suivis d'un astérisque (*). Si un nom générique est spécifié, tous les objets ayant le même préfixe que le nom générique sont affichés.

nom

Indiquez le nom de l'objet sur lequel des droits spécifiques doivent être accordés à un ou plusieurs utilisateurs.

Qualificatif 2 : Biblio

*LIBL

La recherche porte sur toutes les bibliothèques de la liste des bibliothèques de l'unité d'exécution en cours jusqu'à ce que la première occurrence soit trouvée.

*CURLIB

La recherche porte sur la bibliothèque en cours de l'unité d'exécution. Si aucune bibliothèque n'est définie comme bibliothèque en cours pour l'unité d'exécution, la recherche porte sur la bibliothèque QGPL. Si le paramètre Unité ASP (ASPDEV) est indiqué lorsque cette valeur est utilisée, la valeur ASPDEV(*) est la seule valeur admise.

*USRLIBL

S'il existe un poste de bibliothèque en cours dans la liste des bibliothèques de l'unité d'exécution en cours, la recherche porte sur celle-ci ainsi que sur les bibliothèques de la partie utilisateur de la liste des bibliothèques. Dans le cas contraire, la recherche porte uniquement sur les bibliothèques de la partie utilisateur de la liste des bibliothèques. Si le paramètre Unité ASP (ASPDEV) est indiqué lorsque cette valeur est utilisée, la valeur ASPDEV(*) est la seule valeur admise.

*ALL

La recherche porte sur toutes les bibliothèques de pools de mémoire secondaire (ASP) indiquées à l'invite Unité ASP (paramètre ASPDEV).

*ALLUSR

La recherche porte sur toutes les bibliothèques utilisateur des pools de mémoire secondaire (ASP) définies à l'invite Unité ASP (paramètre ASPDEV).

Les bibliothèques utilisateur sont des bibliothèques dont le nom ne commence pas par la lettre Q, à l'exception de celles qui suivent :

#CGULIB     #DSULIB     #SEULIB
#COBLIB     #RPGLIB
#DFULIB     #SDALIB

Bien que les bibliothèques ci-après dont le nom commence par la lettre Q soient fournies par IBM, elles contiennent des données utilisateur fréquemment modifiées. En conséquence, elles sont également considérées comme des bibliothèques utilisateur :

QDSNX       QRCLxxxxx   QUSRDIRDB   QUSRVI
QGPL        QSRVAGT     QUSRIJS     QUSRVxRxMx
QGPL38      QSYS2       QUSRINFSKR  QWQCENT
QMGTC       QSYS2xxxxx  QUSRNOTES   QWQREPOS
QMGTC2      QS36F       QUSROND
QMPGDATA    QUSER38     QUSRPOSGS
QMQMDATA    QUSRADSM    QUSRPOSSA
QMQMPROC    QUSRBRM     QUSRPYMSVR
QPFRDATA    QUSRDIRCF   QUSRRDARS
QRCL        QUSRDIRCL   QUSRSYS

1. 'xxxxx' représente le numéro de l'ASP principal.
2. L'utilisateur peut créer une bibliothèque de nom différent, au format QUSRVxRxMx, pour chacune des éditions précédentes prises en charge par IBM, afin d'y stocker les commandes utilisateur à compiler dans un programme CL pour une édition précédente. En ce qui concerne la bibliothèque utilisateur QUSRVxRxMx, VxRxMx correspond à une version, édition et niveau de modification précédents encore admis par IBM.

*ALLAVL

La recherche porte sur toutes les bibliothèques des ASP disponibles.

*ALLUSRAVL

La recherche porte sur toutes les bibliothèques des ASP utilisateur disponibles. Consultez *ALLUSR pour obtenir une définition des bibliothèques utilisateur.

nom

Indiquez le nom de la bibliothèque sur laquelle doit porter la recherche.

Type d'objet (OBJTYPE)

Indique le type d'objet sur lequel des droits spécifiques doivent être accordés aux utilisateurs ou à la liste d'autorisation précisés. Pour obtenir la liste exhaustive des types d'objet pris en charge, placez le curseur dans la zone de ce paramètre et appuyez sur F4 (Invite).

Ce paramètre est obligatoire.

*ALL

Des droits spécifiques pour tous les types d'objets pris en charge sont accordés aux utilisateurs ou à la liste d'autorisation indiqués.

type-objet

Indiquez le type d'objet sur lequel des droits spécifiques doivent être accordés aux utilisateurs précisés.

Unité ASP (ASPDEV)

Indiquez le nom d'unité de pool de mémoire secondaire (ASP) où la bibliothèque contenant l'objet (paramètre OBJ) est située. Si la bibliothèque de l'objet réside dans un ASP ne faisant pas partie de l'espace de nom de la bibliothèque, associé au travail, ce paramètre doit être précisé pour s'assurer que l'objet correct est utilisé comme cible pour l'exécution de cette commande.

*

L'objet est recherché dans les ASP faisant actuellement partie de l'espace de nom de la bibliothèque du travail. Ceci inclut l'ASP système (ASP numéro 1), tous les ASP utilisateurs de base définis (ASP numéros 2 à 32) et, si le travail est associé à un groupe d'ASP, tous les ASP indépendants du groupe ASP.

*SYSBAS

L'objet est recherché dans l'ASP système et dans tous les ASP utilisateur. La recherche ne porte sur aucun ASP indépendant, même si le travail est associé à un groupe d'ASP.

nom

Indiquez le nom de l'unité de l'ASP indépendant dans lequel l'objet est recherché. Cet ASP doit avoir été activé (en mettant en fonction l'unité ASP) et avoir l'état DISPONIBLE. La recherche ne s'effectue pas sur l'ASP système et sur les ASP utilisateur de base.

Utilisateurs (USER)

Indique un ou plusieurs utilisateurs devant recevoir les droits sur l'objet nommé.

Ce paramètre est requis, sauf si le paramètre Objet de référence (REFOBJ) ou le paramètre Liste d'autorisation (AUTL) sont indiqués.

*PUBLIC

Tout utilisateur qui ne dispose pas de droit sur l'objet à titre spécifique, qui ne figure pas dans la liste d'autorisation, dont le groupe ne détient aucun droit ou ne figure pas dans la liste d'autorisation, est autorisé à utiliser l'objet dans les conditions indiquées au paramètre AUT.

nom

Indiquez le nom du ou des utilisateurs auxquels doivent être accordés des droits sur l'objet. Vous pouvez indiquer jusqu'à 50 noms de profils utilisateur.

Droits (AUT)

Indique les droits devant être accordés aux utilisateurs spécifiés dans le paramètre Utilisateurs (USER).

Si une valeur a été indiquée pour ce paramètre, vous ne pouvez indiquer une valeur pour les paramètres AUTL, REFOBJ ou REFOBJTYPE.

Valeurs uniques

*CHANGE

L'utilisateur peut effectuer toutes les opérations sur l'objet, à l'exception de celles réservées au propriétaire ou contrôlées par les droits d'existence de l'objet (*OBJEXIST) et de gestion de l'objet (*OBJMGT). L'utilisateur peut réaliser des fonctions de base sur l'objet et le modifier. Le droit *CHANGE fournit le droit d'opération sur l'objet (*OBJOPR) ainsi que les droits sur toutes les données. Si l'objet est une liste d'autorisation, vous pouvez ajouter, modifier ou supprimer des utilisateurs dans cette liste.

*ALL

L'utilisateur peut effectuer toutes les opérations, à l'exception de celles réservées au propriétaire ou soumises au droit de gestion de la liste d'autorisation (*AUTLMGT). L'utilisateur a un droit d'existence sur l'objet Il peut également effectuer des fonctions de base sur ce dernier, le modifier, définir son niveau de protection et en transférer la propriété.

*USE

L'utilisateur peut effectuer des opérations de base sur l'objet, telles que l'exécution d'un programme ou la lecture d'un fichier. Il ne peut pas le modifier. Le droit d'utilisation (*USE) fournit le droit d'opération sur l'objet (*OBJOPR) ainsi que le droit d'exécution (*EXECUTE).

*EXCLUDE

L'utilisateur n'a pas accès au poste de travail.

*AUTL

Le droit public de la liste d'autorisation indiqué dans le paramètre AUTL est utilisé comme droit public sur l'objet.

Remarque :Vous ne pouvez indiquer AUT(*AUTL) que lorsque USER(*PUBLIC) est précisé.

Autres valeurs (jusqu'à 10 répétitions)

*OBJALTER

Ces droits permettent de modifier les attributs d'un objet. Si l'utilisateur dispose de ces droits sur un fichier base de données, il peut ajouter ou supprimer des déclencheurs ou des contraintes référentielles et uniques, et modifier les attributs de ce fichier. S'il dispose de ces droits sur un module SQL, il peut en modifier les attributs. Actuellement, ces droits sont utilisés uniquement pour les fichiers base de données et les modules SQL.

*OBJMGT

Le droit de gestion des objets permet d'indiquer le niveau de sécurité d'un objet, de le déplacer ou de le renommer, et d'ajouter des membres aux fichiers base de données.

*OBJEXIST

Les droits d'existence sur les objets permettent de gérer l'existence et la propriété d'un objet. Un utilisateur qui détient les droits spéciaux de sauvegarde du système *SAVSYS n'a pas besoin des droits d'existence sur l'objet.

*OBJOPR

Le droit d'opération sur un objet permet à un utilisateur de consulter la description d'un objet et d'utiliser celui-ci conformément aux droits sur les données qu'il détient sur cet objet.

*OBJREF

Les droits de référence à un objet permettent de faire référence à un objet à partir d'un autre objet, de telle sorte que ce dernier peut apporter des restrictions sur les opérations effectuées sur cet objet. Si l'utilisateur dispose de ces droits sur un fichier physique, il peut ajouter des contraintes référentielles selon lesquelles le fichier physique est le parent. Actuellement, ces droits sont utilisés uniquement pour les fichiers base de données.

Droits sur les données

*ADD

Le droit d'ajout donne le droit d'ajouter des postes à un objet (des postes de travail dans une file d'attente ou des enregistrements dans un fichier, par exemple).

*DLT

Le droit de suppression permet de supprimer les données d'un objet.

*EXECUTE

Le droit d'exécution permet d'exécuter un programme ou de rechercher un objet dans une bibliothèque.

*READ

Le droit de lecture permet d'afficher des données d'un objet ou de lancer un programme.

*UPD

Le droit de mise à jour permet de modifier les éléments d'un objet.

Liste d'autorisation (AUTL)

Indique la liste d'autorisation dont les postes doivent être utilisés pour accorder les droits sur l'objet indiqué. Vous devez disposer des droits de gestion d'une liste d'autorisation (*AUTLMGT) de la liste d'autorisation indiquée.

Si une valeur a été indiquée pour ce paramètre, vous ne pouvez indiquer une valeur pour les paramètres AUT, REFOBJ ou REFOBJTYPE.

*NONE

La liste d'autorisation protégeant l'objet est retirée. Si le droit public attribué à l'objet est *AUTL, il est remplacé par *EXCLUDE.

nom

Indiquez le nom de la liste d'autorisation à utiliser.

Objet de référence (REFOBJ)

Indique l'objet de référence devant être interrogé pour obtenir des informations sur les droits Ces droits sont attribués à l'objet indiqué dans les paramètres OBJ et OBJTYPE. Les utilisateurs qui détiennent des droits sur l'objet de référence reçoivent les mêmes droits sur l'objet pour lequel des droits doivent être accordée. Les masques et les droits pour le contrôle d'accès de ligne et de colonne de base de données ne sont pas modifiés. Si l'objet de référence est protégé par une liste d'autorisation, celle-ci protège également l'objet indiqué dans le paramètre OBJTYPE.

Si une valeur a été indiquée pour ce paramètre, vous ne pouvez indiquer une valeur pour les paramètres AUT ou AUTL.

nom

Indiquez le nom de l'objet de référence.

Qualificateur 2: Biblio

*LIBL

La recherche porte sur toutes les bibliothèques de la liste des bibliothèques de l'unité d'exécution en cours jusqu'à ce que la première occurrence soit trouvée.

*CURLIB

La recherche porte sur la bibliothèque en cours de l'unité d'exécution. Si cette bibliothèque n'est pas indiquée, QGPL est utilisée par défaut.

nom

Indiquez le nom de la bibliothèque dans laquelle doit s'effectuer la recherche.

Type de l'objet de référence (REFOBJTYPE)

Indique le type de l'objet de référence indiqué pour le paramètre Objet de référence (REFOBJ).

*OBJTYPE

Le type de l'objet de référence est identique à celui indiqué pour le paramètre Type d'objet (OBJTYPE).

type-objet

Indiquez le type de l'objet de référence. Pour obtenir la liste complète des types d'objet, placez le curseur dans la zone de ce paramètre et appuyez sur F4 (Invite).

Faire référence à l'unité ASP (REFASPDEV)

Indique le nom d'unité de pool de mémoire secondaire (ASP) où la bibliothèque contenant l'objet de référence (paramètre REFOBJ) est située. Si la bibliothèque de l'objet de référence réside dans un ASP ne faisant pas partie de l'espace de nom de la bibliothèque, associé au travail, ce paramètre doit être précisé pour s'assurer que les droits sont demandés pour l'objet correct.

*

L'objet de référence est recherché dans les ASP faisant actuellement partie de l'espace de nom de la bibliothèque du travail. Ceci inclut l'ASP système (ASP numéro 1), tous les ASP utilisateurs de base définis (ASP numéros 2 à 32) et, si le travail est associé à un groupe d'ASP, tous les ASP indépendants du groupe ASP.

*SYSBAS

La recherche s'effectue sur l'ASP système et sur tous les ASP utilisateur de base pour localiser l'objet de référence. La recherche ne porte sur aucun ASP indépendant, même si le travail est associé à un groupe d'ASP.

nom

Indiquez le nom de l'unité de l'ASP indépendant dans lequel l'objet de référence est recherché. Cet ASP doit avoir été activé (en mettant en fonction l'unité ASP) et avoir l'état DISPONIBLE. La recherche ne s'effectue pas sur l'ASP système et sur les ASP utilisateur de base.

Remplacer droits (REPLACE)

Indique si les droits remplacent les droits utilisateur en cours.

*NO

Les droits sont accordés à l'utilisateur, mais aucun droit n'est supprimé, sauf si vous attribuez le droit *EXCLUDE.

*YES

Les droits en cours de l'utilisateur sont supprimés, puis les nouveaux droits lui sont attribués.

Exemples

Exemple 1 : octroi de droits à tous les utilisateurs

GRTOBJAUT   OBJ(USERLIB/PROGRAM1)  OBJTYPE(*PGM)  USER(*PUBLIC)

Cette commande sert à octroyer le droit d'utiliser l'objet appelé PROGRAM1 à tous les utilisateurs du système auxquels aucuns droits spécifiques n'ont été expressément accordés, ne figurant pas dans une liste d'autorisation ou appartenant à des groupes d'utilisateurs n'ayant aucun droit sur l'objet ou ne figurant pas dans la liste d'autorisation. L'objet est un programme (*PGM) situé dans la bibliothèque USERLIB. Etant donné que le paramètre AUT n'est pas spécifié, tous les utilisateurs ont le droit de modification. Ceci permet à tous les utilisateurs d'exécuter le programme et de le déboguer.

Exemple 2 : octroi de droits de gestion sur l'objet

GRTOBJAUT   OBJ(ARLIB/PROGRAM2)  OBJTYPE(*PGM)  USER(TMSMITH)
            AUT(*OBJMGT)

Cette commande donne les droits de gestion sur l'objet à l'utilisateur TMSMITH. Ceci permet à TMSMITH d'octroyer à d'autres utilisateurs des droits qu'il possède à titre personnel sur l'objet PROGRAM2, qui est un programme situé dans la bibliothèque ARLIB.

Exemple 3 : octroi de droits aux utilisateurs figurant dans la liste d'autorisation

GRTOBJAUT   OBJ(MYLIB/PRGM3)  OBJTYPE(*PGM)  AUTL(KLIST)

Cette commande accorde aux utilisateurs les droits qui leur sont attribués dans la liste d'autorisation KLIST pour l'objet PRGM3. L'objet est un programme situé dans la bibliothèque MYLIB.

Messages d'erreur

Messages *ESCAPE

CPF22A0

*AUTL admis uniquement avec USER(*PUBLIC).

CPF22A1

OBJTYPE(*AUTL) incorrect avec cette commande.

CPF22A2

*AUTL non admis pour un objet de type *USRPRF.

CPF22A3

Paramètre AUTL non admis avec l'objet de type *USRPRF.

CPF22A9

Impossible d'indiquer les droits *AUTL.

CPF22DA

Opération non admise sur le fichier &1 de &2.

CPF2207

Non autorisé à utiliser objet &1 de &3 type *&2.

CPF2208

Objet &1 de la bibliothèque &3 type *&2 non trouvé.

CPF2209

Bibliothèque &1 introuvable.

CPF2210

Opération non admise pour objet de type *&1.

CPF2211

Impossible d'allouer l'objet &1 de &3, type *&2.

CPF2216

Non autorisé à utiliser la bibliothèque &1.

CPF2223

Non autorisé à accorder des droits sur objet &1 de &3 de type *&2.

CPF2227

Une ou plusieurs erreurs survenues lors du traitement de la commande.

CPF2236

Valeur entrée pour AUT non acceptée.

CPF2243

Nom de biblio &1 incompatible avec OBJ(nom générique) ou OBJ(*ALL).

CPF2245

Profil du travail non propriétaire de l'objet &1, &3 type, *&2.

CPF2253

Aucun objet trouvé pour &1 dans bibliothèque &2.

CPF2254

Aucune bibliothèque trouvée pour la demande &1.

CPF2273

Modification des droits non assurée sur objet &1 de &3 type *&2 pour utilisateur &4.

CPF2283

La liste d'autorisation &1 n'existe pas.

CPF2290

*EXCLUDE incompatible avec un autre droit d'usage.

CPF4ACF

Echec de l'opération pour l'objet &1 dans &2 type *&3 en raison d'erreurs de réplication.

CPF9804

Objet &2 dans bibliothèque &3 endommagé.