Classes et droits spéciaux, qui peut faire quoi

Les cinq classes d'utilisateurs

La classe a deux effets. Elle choisit les options affichées dans les menus d'IBM i, ce qui ne limite pas les commandes elles-mêmes (c'est le rôle de LMTCPB). Et, si l'on laisse les droits spéciaux à leur valeur par défaut SPCAUT(*USRCLS), elle décide des droits spéciaux que reçoit le profil, selon le niveau de sécurité du système. IBM recommande la classe *USER pour tous ceux qui n'ont pas besoin des fonctions système.

Les droits donnés par chaque classe

Le tableau d'IBM : « tous » signifie à tous les niveaux de sécurité, « 10, 20 » aux niveaux 10 et 20 seulement. Au niveau 30 et au-delà, seules les cases « tous » restent :

Nous l'avons vérifié. Sur notre IBM i 7.5, en QSECURITY 40, nous avons créé un profil de chaque classe avec SPCAUT(*USRCLS), puis relu ce que le système y a écrit par QSYS2.USER_INFO :

Le résultat suit exactement le tableau : en niveau 40, un programmeur (*PGMR) n'a aucun droit spécial, alors qu'en niveau 10 ou 20 il aurait eu *ALLOBJ. Le système écrit ces droits dans le profil comme s'ils avaient été saisis : plus tard, on ne voit pas s'ils viennent de la classe ou d'un choix explicite. Et *USRCLS ne se combine pas : dès qu'on indique un droit spécial, la classe n'en donne plus aucun.

Depuis IBM i 7.5, la valeur système QSECURITY ne peut plus être mise à 20 ; un système déjà en niveau 20 peut y rester, mais n'y revient pas s'il en change.

Les huit droits spéciaux

Chacun donne un pouvoir sur tout le système, et chacun a son risque. Le résumé d'IBM :

Quelques précisions utiles au quotidien :

• On peut changer la priorité en file et en impression de ses propres travaux sans *JOBCTL, dans la limite de son PTYLMT ; changer leur priorité d'exécution demande *JOBCTL.
• Les traces (STRCMNTRC, TRCCNN, STRTRC…) peuvent être ouvertes sans *SERVICE, par la fonction QIBM_SERVICE_TRACE : CHGFCNUSG FCNID(QIBM_SERVICE_TRACE) USER(…) USAGE(*ALLOWED).
• Un programme créé par un profil *ALLOBJ avec USRPRF(*OWNER) adopte ses droits : quiconque l'exécute dispose alors de *ALLOBJ pendant l'appel.

Les droits spéciaux passent par les groupes

Un membre dispose de ses propres droits spéciaux et de ceux de tous ses groupes, qui se cumulent. Notre système en donne un exemple : le profil de test IBMITEST est de classe *USER, sans aucun droit spécial, mais il a pour groupe QPGMR, le profil programmeur livré par IBM :

Avec *JOBCTL, IBMITEST peut donc arrêter les travaux des autres, alors que son profil affiche « Droits spéciaux : *NONE ». Pour connaître les vrais pouvoirs d'un utilisateur, il faut toujours regarder ses groupes. Les profils livrés par IBM ont leurs propres droits, qui ne suivent pas forcément le tableau des classes. Sur notre système :

QPGMR et QSYSOPR ont *JOBCTL et *SAVSYS même en niveau 40. Faire d'eux le groupe de nombreux utilisateurs leur transmet ces deux droits.

Qui peut donner un droit spécial ?

• Pour donner un droit spécial à un profil, il faut l'avoir soi-même.
• *SECADM ne peut être donné que par un profil qui a *SECADM et *ALLOBJ.
• *AUDIT ne peut être donné que par un profil qui a *ALLOBJ, *SECADM et *AUDIT.

On donne ou retire des droits par CHGUSRPRF USRPRF(…) SPCAUT(…), en indiquant la liste complète des droits voulus.

Contrôler qui a quoi

IBM recommande de peser chaque droit spécial, de tenir la liste de qui en a, et de la revoir régulièrement. En SQL, la liste des profils actifs qui ont *ALLOBJ :

SELECT AUTHORIZATION_NAME, USER_CLASS_NAME, SPECIAL_AUTHORITIES
  FROM QSYS2.USER_INFO_BASIC
 WHERE SPECIAL_AUTHORITIES LIKE '%*ALLOBJ%'
   AND STATUS = '*ENABLED'

Et les droits que chacun reçoit de ses groupes, qui n'apparaissent pas dans son propre profil :

SELECT G.USER_PROFILE_NAME, G.GROUP_PROFILE_NAME, P.SPECIAL_AUTHORITIES
  FROM QSYS2.GROUP_PROFILE_ENTRIES G
  JOIN QSYS2.USER_INFO_BASIC P
    ON P.AUTHORIZATION_NAME = G.GROUP_PROFILE_NAME
 WHERE P.SPECIAL_AUTHORITIES <> ''

Ces deux requêtes ont été exécutées sur notre IBM i 7.5. La seconde n'y renvoie qu'une ligne : IBMITEST et son groupe QPGMR.

Questions fréquentes