Lorsque des contrôles de sécurité sont effectués sur AIX®, Linux®, and Windows

Les contrôles de sécurité sont généralement effectués lors de la connexion à un gestionnaire de files d'attente, de l'ouverture ou de la fermeture d'objets et de l'insertion ou de l'obtention de messages.

Les contrôles de sécurité effectués pour une application standard sont les suivants:

Connexion au gestionnaire de files d'attente (appels MQCONN ou MQCONNX)

C'est la première fois que l'application est associée à un gestionnaire de files d'attente particulier. Le gestionnaire de files d'attente interroge l'environnement d'exploitation pour reconnaître l'ID utilisateur associé à l'application. IBM® MQ vérifie ensuite que l'ID utilisateur est autorisé à se connecter au gestionnaire de files d'attente et conserve l'ID utilisateur pour des vérifications ultérieures.

Les utilisateurs n'ont pas besoin de se connecter à IBM MQ; IBM MQ suppose que les utilisateurs se sont connectés au système d'exploitation sous-jacent et qu'ils ont été authentifiés par ce système.

Ouverture de l'objet (appels MQOPEN ou MQPUT1 )

Pour accéder aux objets IBM MQ , ouvrez l'objet et émettez des commandes dessus. Toutes les vérifications de ressources sont effectuées lorsque l'objet est ouvert, plutôt que lorsqu'il est réellement consulté. Cela signifie que la demande MQOPEN doit spécifier le type d'accès requis (par exemple, si l'utilisateur souhaite uniquement parcourir l'objet ou effectuer une mise à jour comme placer des messages dans une file d'attente).

IBM MQ vérifie la ressource nommée dans la demande MQOPEN . Pour un alias ou un objet de file d'attente éloignée, l'autorisation utilisée est celle de l'objet lui-même, et non celle de la file d'attente dans laquelle l'alias ou la file d'attente éloignée est résolue. Cela signifie que l'utilisateur n'a pas besoin de droits pour y accéder. Limitez les droits de création de files d'attente aux utilisateurs privilégiés. Si vous ne le faites pas, les utilisateurs peuvent ignorer le contrôle d'accès normal simplement en créant un alias. Si une file d'attente éloignée est référencée explicitement avec les noms de file d'attente et de gestionnaire de files d'attente, la file d'attente de transmission associée au gestionnaire de files d'attente éloignées est vérifiée.

Les droits d'accès à une file d'attente dynamique sont basés sur ceux de la file d'attente modèle dont elle est dérivée, mais ne sont pas nécessairement les mêmes. Ceci est décrit dans la remarque 1.

L'ID utilisateur utilisé par le gestionnaire de files d'attente pour les contrôles d'accès est l'ID utilisateur obtenu à partir de l'environnement d'exploitation de l'application connectée au gestionnaire de files d'attente. Une application dûment autorisée peut émettre un appel MQOPEN spécifiant un ID utilisateur de remplacement ; des vérifications de contrôle d'accès sont ensuite effectuées sur l'ID utilisateur de remplacement. Cela ne modifie pas l'ID utilisateur associé à l'application, mais uniquement celui utilisé pour les vérifications de contrôle d'accès.

Insertion et obtention de messages (appels MQPUT ou MQGET)

Aucune vérification de contrôle d'accès n'est effectuée.

Fermeture de l'objet (MQCLOSE)

Aucune vérification de contrôle d'accès n'est effectuée, sauf si MQCLOSE entraîne la suppression d'une file d'attente dynamique. Dans ce cas, il est vérifié que l'ID utilisateur est autorisé à supprimer la file d'attente.

Abonnement à une rubrique (MQSUB)

Lorsqu'une application s'abonne à une rubrique, elle spécifie le type d'opération qu'elle doit effectuer. Il s'agit soit de créer un nouvel abonnement, soit de modifier un abonnement existant, soit de reprendre un abonnement existant sans le modifier. Pour chaque type d'opération, le gestionnaire de files d'attente vérifie que l'ID utilisateur associé à l'application dispose des droits permettant d'effectuer l'opération.

Lorsqu'une application s'abonne à une rubrique, les vérifications des droits d'accès sont effectuées sur les objets de rubrique qui se trouvent dans l'arborescence de rubriques au niveau ou au-dessus du point de l'arborescence de rubriques auquel l'application s'est abonnée. Les vérifications des droits d'accès peuvent impliquer des vérifications sur plusieurs objets de rubrique.

L'ID utilisateur utilisé par le gestionnaire de files d'attente pour les vérifications des droits d'accès est l'ID utilisateur obtenu auprès du système d'exploitation lorsque l'application se connecte au gestionnaire de files d'attente.

Le gestionnaire de files d'attente effectue des vérifications des droits d'accès sur les files d'attente d'abonné mais pas sur les files d'attente gérées.