类别 2 事务

对于大多数类别 2 事务，请按如下所示向 RACF 指定这些事务:

• 事务概要文件中的 UACC (NONE) 和 AUDIT (FAILURES)。 AUDIT (FAILURES) 是缺省值，不必指定。
• 适当的访问列表。

样本 CLIST DFH$CAT2 (在库 CICSTS54.CICS.SDFHSAMP 中) 可帮助您向 RACF定义类别 2 概要文件。 如果要使用此示例，请先查看并编辑安装的 CLIST ，然后再运行该 CLIST。 要使用其他设置，请调整 CLIST 或提供您自己的设置。 样本将事务分组为以下类别:

SYSADM

此类别包含 CCRL ， CDBC ， CEDA ， CEMN ， CEMT ， CESD ， CETR 和 CIND。

JVM 用户

此类别包含 CJSA 和 CJSU。

注: 根据您的安全配置，事务 CJSA 和 CJSU 可能要求 CICS 缺省用户具有访问权。 有关更多信息，请参阅 Security for Java applications， Configuring z/OS Connect for a CICS JSON web service和 Configure permission for z/OS Connect Services and API。

作为安全性最佳实践，您应该开启 Liberty 安全性并避免使用 CICS 缺省用户来运行应用程序任务。 对于 z/OS Connect 服务，您可以安装 URIMAP 资源， CICS 使用该资源将服务的工作与 CICS 中的特定事务标识和初始用户标识相关联。

CJSA 是没有匹配 URI 的任何 Web 请求的缺省事务标识。 请考虑限制对 CJSA 的访问，以防止任何任意应用程序运行。

开发者

此类别包含 CADP ， CEBR ， CECI ， CECS ， CEDB ， CEDF 和 CEDX。

Inquire

此类别包含 CDBI ， CEDC ， CKBM ， CKDL ， CKDP ， CKQC ， CKRT 和 CLDM。

操作器

此类别包含 CBAM ， CEOT ， CEST ， CIDP ， CKAM ， CKBM ， CKBP ， CKBC ， CKBR ， CKCN ， CKDL ， CKDP ， CKQC ， CKRS ， CKRT ， CKSD ， CMSG ， CKSQ ， CRTE ， CKTI ， CSFE ， CWTO 和 DSNC。

DBCTL

此类别包含 CDBC ， CDBI ， CDBM 和 CDBT。

国际通信公司

此类别包含 CDFS ， CEHP ， CEHS ， CPMI ， CSHR ， CSMI ， CSM1， CSM2， CSM3， CSM5， CTIN 和 CVMI。

如果您正在使用函数输送，那么镜像事务必须可供函数输送环境中的远程用户使用。 当数据库或文件位于另一个 CICS 区域时， CICS 函数会传递访问数据的请求。 请求在其中一个 CICS提供的镜像事务下运行。 在这种情况下，以下条件适用:

• 必须授权运行应用程序的终端用户使用镜像事务。 请参阅 事务安全性 (Transaction security)。
• 还必须授权终端用户使用镜像事务访问的数据。 请参阅 资源安全性 (Resource security)。 镜像事务是在定义了 RESSEC (YES) 的情况下提供的; 因此，即使用户的事务指定了 RESSEC (NO) ，如果用户无权访问数据，镜像事务也会失败。

  如果不使用资源安全性检查，请更改镜像事务定义以指定 RESSEC (NO)。 由于镜像事务是受 IBM保护的资源，因此请首先将这些定义复制到您自己的组中，然后进行更改。

对于延迟的 START 请求，如果要启动的用户事务符合动态路由选择的条件，那么系统事务 CDFS 将在指定时间运行并启动用户事务。 确保正确配置了 CDFS 的安全性。

WEBUSER

此类别包含 CWBA 和 CW2A。

CICS 缺省用户最初需要访问 CWBA 事务，即使随后使用分析器程序将另一个用户标识分配给该任务也是如此。 确保在 DFLTUSER 系统初始化参数中指定的 CICS 缺省用户具有对此事务的访问权。 如果使用提供的 CLIST DFH$CAT2 来创建 WEBUSER RACF 概要文件，那么缺省用户必须有权访问此概要文件。

rpcUser

此类别包含 CRPA ， CRPC 和 CRPM。

CMCIUSER

此类别包含 CWWU。

PIPEUSER

此类别包含 CPIH ， CPIL ， CPIQ 和 CPIA。

事件用户

此类别包含 CEPH ， CEPQ ， CEPR ， CEPS 和 CEPT。

CEPH ， CEPQ ， CEPR ， CEPS 和 CEPT 是需要安全性检查时使用的缺省 EP 适配器事务标识。 它们是使用 RESSEC (YES) 和 CMDSEC (YES) 选项定义的。 如果这些选项不是您想要的选项，那么必须在 " 事件绑定编辑器" 的 "适配器" 选项卡 高级选项 部分中指定您自己的事务标识。 有关更多信息，请参阅 指定 EP 适配器和分派器信息。

ALLUSER

此类别包含 CMAC ， CRTX 和 CSGM。

将 CICS 消息和代码事务 CMAC 以及 早上好 事务 CSGM (或 GMTRAN 系统初始化参数中定义的事务) 定义为其自己的组中的 UACC (READ) ，因为所有用户都需要对其进行访问。 如果您的安装使用 CSGM ，那么未被授权使用 CSGM 的用户在尝试使用 CICS时将收到消息 DFHAC2002 。 如果您使用 GNTRAN 系统初始化参数定义了 晚安 事务，那么还请将您的晚安事务包含在此组中。

RDEFINE GCICSTRN INQUIRE UACC(NONE)
         ADDMEM(CDBI,CEDC,CKBM,CKDL,CKDP,CKQC,CKRT,CLDM)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
RDEFINE GCICSTRN SYSADM UACC(NONE)
         ADDMEM(CCRL,CDBC,CEDA,CEMN,CEMT,CESD,CETR,CIND)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   SYSADM  CLASS(GCICSTRN) ID(sysgrp1,..,sysgrpz) ACCESS(READ)

RDEFINE GCICSTRN DEVELOPER UACC(NONE)
         ADDMEM(CADP,CEBR,CECI,CECS,CEDB,CEDF,CEDG,CEDX,CEDY)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   DEVELOPER  CLASS(GCICSTRN) ID(devgrp1,..,devgrpz)
RDEFINE GCICSTRN INQUIRE UACC(NONE)
         ADDMEM(CDBI,CEDC,CKBM,CKDL,CKDP,CKQC,CKRT)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   INQUIRE  CLASS(GCICSTRN) ID(inqgrp1,..,inqgrpz)

RDEFINE GCICSTRN OPERATOR UACC(NONE)
         ADDMEM(CBAM,CEOT,CEST,CIDP,CKAM,CKBM,CKBP,CKBC,CKBR,CKCN,CKDL,+
                CKDP,CKQC,CKRS,CKRT,CKSD,CMSG,CKSQ,CRTE,CKTI,CSFE,CWTO,DSNC)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   OPERATOR  CLASS(GCICSTRN) ID(opsgrp1,..,opsgrpz) ACCESS(READ)
RDEFINE GCICSTRN DBCTL UACC(NONE)
         ADDMEM(CDBC,CDBI,CDBM,CDBT)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   DBCTL  CLASS(GCICSTRN) ID(dbctgrp1,..,dbctgrpz) ACCESS(READ)

RDEFINE GCICSTRN INTERCOM UACC(NONE)
         ADDMEM(CEHP,CEHS,CPMI,CSHR,CSMI,CSM1,CSM2,CSM3,CSM5,CVMI,CDFS,CTIN)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT   INTERCOM  CLASS(GCICSTRN) ID(intrgrp1,..,intrgrpz) ACCESS(READ)
RDEFINE GCICSTRN ALLUSER UACC(READ)
         ADDMEM(CMAC,CRTX,CSGM)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT ALLUSER CLASS (GCICSTRN) ID(allrgrp1,..,allrgrpz) ACCESS(READ)
RDEFINE GCICSTRN WEBUSER UACC(NON)
         ADDMEM(CWBA,CW2A)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT WEBUSER CLASS (GCICSTRN) ID(webrgrp1,..,webgrpz) ACCESS(READ)

RDEFINE GCICSTRN RESTUSER UACC(NON)
         ADDMEM(CWWU)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT WEBUSER CLASS (GCICSTRN) ID(rstrgrp1,..,rstgrpz) ACCESS(READ)
RDEFINE GCICSTRN RPCUSER UACC(NON)
         ADDMEM(CRPA,CRPC,CRPM)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT RPCUSER CLASS (GCICSTRN) ID(rpcrgrp1,..,rpcrgrpz) ACCESS(READ)
RDEFINE GCICSTRN PIPEUSER UACC(NONE)
         ADDMEM(CPIH,CPIL,CPIQ,CPIA)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT PIPEUSER CLASS(GCICSTRN) ID(pipeline_access_list)

RDEFINE GCICSTRN CMCIUSER UACC(NONE)
         ADDMEM(CWWU)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT CMCIUSER CLASS(GCICSTRN) ID(cmciuser_access_list)
RDEFINE GCICSTRN EVENTUSER UACC(NONE)
         ADDMEM(CEPH,CEPQ,CEPR,CEPS,CEPT)
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT EVENTUSER CLASS(GCICSTRN) ID(eventuser_access_list)
RDEFINE GCICSTRN JVMUSER UACC(NONE) 
         ADDMEM(CJSA) 
         NOTIFY(security_admin_userid)
         OWNER(userid or groupid)
PERMIT JVMUSER CLASS (GCICSTRN) ID(librgrp1,..,libgrpz) ACCESS(READ)