9.Управление доступом к ресурсам кс

Управление доступом:

1. матричное

2. мандатное

3. дискреционное

Матричное

Атрибуты матрицы разграничение доступа:

R – read

W – write

A – add

M – make directory

Матрица разграничения доступа, ее заполняет администратор:

	O1	O2	…	On
S1	-	RM		LE
S2	RWAD
S3
…
Sm	-	RDE

S₁ – проектировщик

S₂ – администратор

Возможно объединить пользователей с одинаковыми правами в группы или объекты с определенным доступом в группы для упрощения.

L – list (просмотр)

D – delet

E – execute

Мандатный способ

Строится по аналогии с ручным секретным делопроизводством. Каждому документу принадлежит уровень конфиденциальности (секретный, особо секретный, строго конфиденциальный, конфиденциальный и т.д.).

Файлу/документу присваивается гриф, метка секретности. Каждому субъекту принадлежит уровень доступа. Если доступаемся к документу с высокой конфиденциальностью, а у нас нет прав, то нет доступа.

Управленцы могут доступиться к любому документу. Пользователю принадлежит мандат на доступ, его присваивает администратор.

Дискреционный способ

То же, что и мандатный. Управление доступом осуществляет владелец документа.

10.Racf как средство управления доступом.

Авторизация пользователя для получения доступа к ресурсам

После идентификации и проверки полномочий пользователя RACF осуществляет контроль взаимодействия между пользователем и системными ресурсами. RACF по запросу менеджеров ресурсов определяет не только то, какие пользователи могут получить доступ, но и уровень доступа, например, READ (для чтения, отображения или копирования ресурса) или UPDATE (для записи, модификации или передачи ресурса). Уровни доступа организованы в RACF иерархически. Так, UPDATE включает READ и т.д.

Для выполнения задач авторизации RACF использует макрос RACROUTE=AUTH. Пользователь получает доступ к ресурсу после выполнения следующих действий:

1. Контроля профилей на предмет наличия у пользователя соответствующих прав. Наборы данных z/OS защищены профилями класса DATASET.

2. Проверки категорий (классов) защиты, установленных для пользователей, и данных. Сначала RACF сравнивает уровень защиты пользователя и профилей защиты. При этом если ресурс имеет более высокий уровень защиты, чем пользователь, то RACF отклоняет запрос. Затем RACF сравнивает список категорий доступа в профиле пользователя со списком категорий в профиле ресурса. Если последний содержит категорию, которой нет в профиле пользователя, запрос также отклоняется.

3. Предоставляет пользователю доступ к ресурсу, если удовлетворяется любое из условий:

   • ресурс является набором данных и префикс высшего уровня соответствует идентификатору пользователя;

   • идентификатор пользователя имеется в списке доступа с достаточными правами;

   • достаточный уровень полномочия по доступу (universal access authority).