Les profils utilisateurs IBM i, créer et configurer

C'est quoi, un profil ?

Chaque personne qui utilise un IBM i a un profil, et il doit exister avant la première ouverture de session. Comme tout sur IBM i, c'est un objet, de type *USRPRF, rangé dans la bibliothèque QSYS. IBM lui donne quatre rôles :

• Sécurité : il contrôle la connexion (mot de passe, état), ce que l'utilisateur peut faire ensuite (droits spéciaux) et comment ses actions sont auditées.
• Personnalisation : il adapte le système à l'utilisateur, avec sa bibliothèque, son menu, sa description de travail, sa file de sortie.
• Gestion : il garde la liste des objets que l'utilisateur possède et de tous ses droits privés sur des objets.
• Identification : son nom apparaît dans le nom des travaux (011954/SAKADM/EDITION) et sur les spools.

Un profil de groupe est un profil comme les autres, qui partage ses droits avec ses membres. Nous y revenons plus bas.

Créer un profil : CRTUSRPRF

On crée un profil par CRTUSRPRF, ce qui demande le droit spécial *SECADM. Voici l'invite de la commande sur notre IBM i 7.5 : les paramètres de base, puis, avec F10, les autres.

Les paramètres qui comptent, avec leur valeur par défaut sur l'écran de création (table des valeurs par défaut d'IBM pour la version 7.5) :

Le mot de passe

Depuis IBM i 7.5, un profil créé sans préciser de mot de passe reçoit *NONE : il ne peut pas ouvrir de session tant qu'on ne lui en donne pas un. Un profil sans mot de passe reste utile : on peut soumettre un travail sous son nom si l'on a le droit *USE sur lui, c'est ce que fait notre démonstration plus bas.

La longueur et la casse dépendent de la valeur système QPWDLVL : 10 caractères au plus en niveau 0 ou 1, jusqu'à 128 caractères, sensibles à la casse, en niveau 2, 3 ou 4 (notre système est en niveau 3). Le mot de passe est stocké chiffré, sans retour possible : quand un utilisateur l'oublie, l'administrateur en attribue un provisoire et le déclare périmé (CHGUSRPRF … PASSWORD(…) PWDEXP(*YES)), et l'utilisateur en choisit un nouveau à la connexion suivante.

L'état

Un profil *DISABLED ne peut plus ouvrir de session, mais il existe toujours, avec ses objets et ses droits. C'est la bonne réponse à un départ ou une longue absence. Le système désactive aussi un profil après trop d'essais de mot de passe ratés, selon les valeurs système QMAXSIGN (3 sur notre système) et QMAXSGNACN. Seul QSECOFR échappe à la règle : il peut toujours se connecter à la console, même désactivé.

Notre profil de démonstration

Nous avons créé l'utilisateur JOBIUSER, sa bibliothèque JOBIPRF et son groupe JOBIGRP :

CRTUSRPRF  USRPRF(JOBIUSER) PASSWORD(*NONE) USRCLS(*USER) +
             CURLIB(JOBIPRF) INLMNU(MAIN) LMTCPB(*PARTIAL) +
             JOBD(JOBIPRF/COMPTAJOBD) GRPPRF(JOBIGRP) +
             TEXT('Utilisateur de démonstration job-i')

WRKUSRPRF les liste, et DSPUSRPRF affiche le profil en détail :

Ce que le profil règle à l'ouverture de session

Quand l'utilisateur tape son nom et son mot de passe, le système suit un ordre précis, décrit par IBM. Chaque objet cité par le profil doit exister et être accessible, sinon la session ne s'ouvre pas et un message s'affiche en bas de l'écran d'ouverture :

• Bibliothèque en cours (CURLIB) : elle s'ajoute d'elle-même à la liste de bibliothèques ; inutile de la répéter dans la JOBD. C'est là que vont les objets créés sans bibliothèque.
• Programme initial (INLPGM) : il s'exécute avant le menu, pour préparer la session (liste de bibliothèques, fichiers) ou enfermer l'utilisateur dans une application. On ne peut pas lui passer de paramètres.
• Menu initial (INLMNU) : MAIN par défaut. Avec *SIGNOFF, la session se ferme dès que le programme initial se termine.

Restreindre la ligne de commande : LMTCPB

Le paramètre Possibilités restreintes empêche un utilisateur de « faire des essais » sur le système :

Avec *YES, seules les commandes marquées ALWLMTUSR(*YES) passent : IBM livre ainsi SIGNOFF, SNDMSG, DSPMSG, DSPJOB, DSPJOBLOG, STRPCO et WRKMSG. La restriction vaut pour la ligne de commande, FTP, REXEC et l'API QCAPCMD, pas pour les commandes qu'un programme exécute en réponse à une option de menu.

Attacher une description de travail à un profil

Le paramètre JOBD du profil désigne la description de travail de ses travaux. Par défaut, c'est QGPL/QDFTJOBD, la même pour tout le monde. IBM présente la description de travail comme un bon moyen de contrôler l'accès aux bibliothèques : une JOBD propre à un utilisateur lui donne sa liste de bibliothèques, plutôt que la valeur système QUSRLIBL qui vaut pour tous. Notre JOBD de démonstration sert ainsi les utilisateurs d'une même application.

CRTJOBD    JOBD(JOBIPRF/COMPTAJOBD) JOBQ(QGPL/QBATCH) +
             INLLIBL(JOBIPRF QGPL QTEMP) +
             TEXT('JOBD des utilisateurs de la compta (démo)')
GRTOBJAUT  OBJ(JOBIPRF/COMPTAJOBD) OBJTYPE(*JOBD) USER(*PUBLIC) AUT(*USE)
/* À la création du profil : CRTUSRPRF … JOBD(JOBIPRF/COMPTAJOBD)     */
/* Pour un profil existant  : CHGUSRPRF USRPRF(…) JOBD(JOBIPRF/COMPTAJOBD) */

L'utilisateur doit avoir le droit *USE sur la JOBD, sinon il ne peut pas ouvrir de session ; celui qui crée ou modifie le profil aussi.

En interactif : le poste écran en *USRPRF

À l'ouverture de session, c'est le poste écran du sous-système qui dit quelle JOBD prendre. Celui de QINTER indique *USRPRF : la JOBD du profil.

En batch : JOBD(*USRPRF), et deux pièges

Pour un travail soumis, SBMJOB JOBD(*USRPRF) (la valeur par défaut) prend la JOBD du profil sous lequel le travail tourne. Nous avons soumis trois travaux sous JOBIUSER, qui impriment chacun leur liste de bibliothèques avec DSPLIBL :

1. SBMJOB … USER(JOBIUSER) JOBD(*USRPRF) : la JOBD est bien celle de JOBIUSER, et pourtant JOBIPRF n'apparaît pas.

                          Unité
   Biblio      Type       ASP         Texte descriptif
   QSYS        SYS                    Bibliothèque système
   QSYS2       SYS                    Bibliothèque système pour CPI
   QHLPSYS     SYS
   QUSRSYS     SYS                    System Library for Users
   QGPL        USR                    General Purpose Library
   QTEMP       USR

SBMJOB prend par défaut la liste de bibliothèques du travail qui soumet (INLLIBL(*CURRENT)), pas celle de la JOBD : c'est le piège déjà vu sur la page JOBQ et JOBD.

2. Avec INLLIBL(*JOBD), la liste de la JOBD arrive :

                          Unité
   Biblio      Type       ASP         Texte descriptif
   QSYS        SYS                    Bibliothèque système
   QSYS2       SYS                    Bibliothèque système pour CPI
   QHLPSYS     SYS
   QUSRSYS     SYS                    System Library for Users
   JOBIPRF     USR                    Démonstration profils utilisateurs
   QGPL        USR                    General Purpose Library
   QTEMP       USR

Mais la bibliothèque en cours du profil, elle, manque toujours (aucune ligne CUR) : SBMJOB prend aussi CURLIB(*CURRENT), celle du travail qui soumet.

3. Avec INLLIBL(*JOBD) CURLIB(*USRPRF), le travail a enfin l'environnement d'une session de JOBIUSER :

                          Unité
   Biblio      Type       ASP         Texte descriptif
   QSYS        SYS                    Bibliothèque système
   QSYS2       SYS                    Bibliothèque système pour CPI
   QHLPSYS     SYS
   QUSRSYS     SYS                    System Library for Users
   JOBIPRF     CUR                    Démonstration profils utilisateurs
   JOBIPRF     USR                    Démonstration profils utilisateurs
   QGPL        USR                    General Purpose Library
   QTEMP       USR

JOBIPRF y figure deux fois, comme bibliothèque en cours (CUR) et dans la partie utilisateur (USR), parce que notre JOBD la répète. C'est la recommandation d'IBM illustrée : la bibliothèque en cours s'ajoute toute seule, ne la mettez pas aussi dans la liste de la JOBD.

Les profils de groupe

Un profil de groupe sert à donner les mêmes droits à plusieurs utilisateurs : on accorde un droit au groupe, et tous ses membres en profitent. On le crée comme un profil ordinaire, de préférence sans mot de passe pour que personne ne s'y connecte. Il devient un groupe dès qu'on lui ajoute un premier membre : le système le marque alors comme groupe et lui attribue un numéro de groupe (gid).

• GRPPRF : le groupe principal. SUPGRPPRF en ajoute jusqu'à 15 autres : un utilisateur appartient donc à 16 groupes au plus.
• OWNER : qui possède les objets que l'utilisateur crée, lui-même (*USRPRF) ou son groupe (*GRPPRF). Avec *GRPPRF, tous les membres peuvent modifier et supprimer ces objets.
• Les droits spéciaux du groupe s'ajoutent à ceux du membre : c'est l'objet de la page suivante.
• Un changement de groupe vaut à la prochaine ouverture de session.

IBM conseille de nommer les groupes avec un préfixe commun (GRP, DPT…) pour les reconnaître. Notre groupe JOBIGRP, créé par CRTUSRPRF USRPRF(JOBIGRP) PASSWORD(*NONE), est devenu groupe quand JOBIUSER l'a pris comme GRPPRF.

Désactiver ou supprimer un profil

Pour couper l'accès, CHGUSRPRF USRPRF(…) STATUS(*DISABLED) suffit et se défait d'une commande. Supprimer est plus délicat, parce que le profil possède des objets : DLTUSRPRF refuse par défaut (OWNOBJOPT(*NODLT)) tant qu'il en reste. Il faut les transférer avant par CHGOBJOWN, ou dire à la commande de les supprimer (OWNOBJOPT(*DLT)) ou de les donner à un autre profil (OWNOBJOPT(*CHGOWN nouveau-profil)). Les droits privés du profil disparaissent avec lui.

Les commandes des profils

Et en SQL :

/* Bibliothèque et description de travail de l'application                */
CRTLIB     LIB(JOBIPRF) TEXT('Démonstration profils utilisateurs')
GRTOBJAUT  OBJ(QSYS/JOBIPRF) OBJTYPE(*LIB) USER(*PUBLIC) AUT(*USE)
CRTJOBD    JOBD(JOBIPRF/COMPTAJOBD) JOBQ(QGPL/QBATCH) +
             INLLIBL(JOBIPRF QGPL QTEMP) +
             TEXT('JOBD des utilisateurs de la compta (démo)')
GRTOBJAUT  OBJ(JOBIPRF/COMPTAJOBD) OBJTYPE(*JOBD) USER(*PUBLIC) AUT(*USE)

/* Un profil de groupe : un profil comme les autres, sans mot de passe     */
CRTUSRPRF  USRPRF(JOBIGRP) PASSWORD(*NONE) USRCLS(*USER) SPCAUT(*NONE) +
             TEXT('Groupe de démonstration job-i')

/* L'utilisateur : classe, bibliothèque en cours, menu, JOBD, groupe      */
CRTUSRPRF  USRPRF(JOBIUSER) PASSWORD(*NONE) USRCLS(*USER) +
             CURLIB(JOBIPRF) INLMNU(MAIN) LMTCPB(*PARTIAL) +
             JOBD(JOBIPRF/COMPTAJOBD) GRPPRF(JOBIGRP) +
             TEXT('Utilisateur de démonstration job-i')

/* Un profil par classe, droits spéciaux laissés à *USRCLS               */
CRTUSRPRF  USRPRF(JOBIUSRCLS) PASSWORD(*NONE) STATUS(*DISABLED) +
             USRCLS(*USER) TEXT('Démo classe *USER')
CRTUSRPRF  USRPRF(JOBIPGMR) PASSWORD(*NONE) STATUS(*DISABLED) +
             USRCLS(*PGMR) TEXT('Démo classe *PGMR')
CRTUSRPRF  USRPRF(JOBISYSOPR) PASSWORD(*NONE) STATUS(*DISABLED) +
             USRCLS(*SYSOPR) TEXT('Démo classe *SYSOPR')
CRTUSRPRF  USRPRF(JOBISECADM) PASSWORD(*NONE) STATUS(*DISABLED) +
             USRCLS(*SECADM) TEXT('Démo classe *SECADM')
CRTUSRPRF  USRPRF(JOBISECOFR) PASSWORD(*NONE) STATUS(*DISABLED) +
             USRCLS(*SECOFR) TEXT('Démo classe *SECOFR')

/* Trois travaux soumis sous JOBIUSER, qui impriment leur liste de        */
/* bibliothèques                                                          */
SBMJOB     CMD(DSPLIBL OUTPUT(*PRINT)) JOB(LIBLCUR) USER(JOBIUSER) +
             JOBD(*USRPRF) OUTQ(JOBITRV/DEMOOUTQ)
SBMJOB     CMD(DSPLIBL OUTPUT(*PRINT)) JOB(LIBLJOBD) USER(JOBIUSER) +
             JOBD(*USRPRF) INLLIBL(*JOBD) OUTQ(JOBITRV/DEMOOUTQ)
SBMJOB     CMD(DSPLIBL OUTPUT(*PRINT)) JOB(LIBLPRF) USER(JOBIUSER) +
             JOBD(*USRPRF) INLLIBL(*JOBD) CURLIB(*USRPRF) +
             OUTQ(JOBITRV/DEMOOUTQ)

Questions fréquentes