SYSTOOLS.AUDIT_JOURNAL_ZR

À quoi ça sert

Cette fonction de table extrait les entrées de type ZR du journal d'audit (QAUDJRN), qui enregistrent les accès en lecture à un objet. Chaque ligne donne l'horodatage, le profil USER_NAME, le travail, le programme, l'adresse distante éventuelle et l'objet lu (LIBRARY_NAME, OBJECT_NAME, OBJECT_TYPE ou PATH_NAME dans l'IFS).

On l'emploie pour savoir qui consulte des données sensibles (paie, clients) ou quels objets sont réellement lus. Les entrées ne sont produites que si l'audit en lecture est activé sur les objets ou les utilisateurs concernés, ce qui peut générer un gros volume.

Les paramètres permettent de borner la période (STARTING_TIMESTAMP, ENDING_TIMESTAMP) ou la plage de récepteurs et de séquences, et de filtrer par USER_NAME, JOB ou PROGRAM. Le SQL apporte les regroupements et comptages que DSPJRN ne fait pas.

Résultat réel sur un IBM i 7.5

Ce que nous avons exécuté :

SELECT COUNT(*), LIBRARY_NAME, OBJECT_NAME, OBJECT_TYPE FROM TABLE( 
    SYSTOOLS.AUDIT_JOURNAL_ZR( 
      STARTING_TIMESTAMP => CURRENT TIMESTAMP - 2 DAYS )) 
  WHERE LIBRARY_NAME = 'APPLIB' 
  GROUP BY LIBRARY_NAME, OBJECT_NAME, OBJECT_TYPE

Aucune entrée de ce type dans le journal d'audit sur les 90 derniers jours : ce type d'événement n'est pas audité ou ne s'est pas produit sur notre IBM i de test.

L'exemple d'IBM

Lister les objets de la bibliothèque APPLIB qui ont été lus au cours des 2 derniers jours.

-- Description: List objects in APPLIB that were read in the last 2 days.  
 SELECT COUNT(*), LIBRARY_NAME, OBJECT_NAME, OBJECT_TYPE FROM TABLE( 
    SYSTOOLS.AUDIT_JOURNAL_ZR( 
      STARTING_TIMESTAMP => CURRENT TIMESTAMP - 2 DAYS )) 
  WHERE LIBRARY_NAME = 'APPLIB' 
  GROUP BY LIBRARY_NAME, OBJECT_NAME, OBJECT_TYPE;

Paramètres

Colonnes renvoyées (42)