z/OS UNIX 文件安全性

存储在 z/OS UNIX System Services 文件系统中的文件可用于通过 CICS Web Support 来提供 Web 页面，作为 URIMAP 定义提供的静态响应。当指定了这些文件的访问控制时，可以根据个别 Web 客户机的用户标识来控制对这些文件的访问。缺省情况下已启用对 z/OS UNIX 文件的访问控制。

z/OS UNIX 文件的访问控制由XHFS系统初始化参数激活。此参数的默认值为 YES，表示 z/OS UNIX 文件的资源安全机制处于激活状态。如果不需要这些文件的资源安全性，请将此系统初始化参数设置为 NO。

Web客户端的用户ID以及 CICS 区域用户ID，必须至少对 z/OS UNIX 文件及其所在目录拥有读取权限。这些文件通过 CICS Web支持机制，作为URIMAP定义（由HFSFILE属性指定）提供的静态响应使用。

z/OS UNIX 文件的访问控制基于以下用户ID：通过基本身份验证从Web客户端获取的用户ID，或与Web客户端发送的客户端证书关联的用户ID。用户标识仅在安全性检查过程中使用。

z/OS UNIX 文件的访问控制与Xname系统初始化参数控制的其他资源类型的标准资源安全机制存在若干重要差异：

z/OS UNIX 文件的访问控制不受 RACF 直接管理。它们在 z/OS UNIX System Services中指定，这将使用 RACF 来管理用户标识和用户标识组，但保持对文件和目录的许可权集的控制。因此，您不需要为个别文件定义 RACF 概要文件，并且无法使用 QUERY SECURITY 命令来检查对这些文件的访问权。在 z/OS UNIX System Services shell环境中，您可通过 z/OS UNIX 命令检查并设置 z/OS UNIX 文件及目录的权限。 RACF 用于管理用户概要文件，组和访问控制表 (ACL)。如果您正在使用 ACL ，那么需要激活 FSSEC 类以进行检查。
对 z/OS UNIX 文件的安全检查不受访问该文件的事务中TRANSACTION资源定义中的RESSEC属性的影响。若将XHFS=YES指定为 CICS 区域的系统初始化参数，则所有由 CICS Web支持作为静态响应使用的 z/OS UNIX 文件（及其目录）均需接受安全检查，无论访问这些文件的事务是否具有RESSEC属性。 (但是，对于所有资源， SEC 系统初始化参数会影响是否执行安全性检查。)
z/OS UNIX 文件不会被任何 CICS 应用程序编程命令或系统编程命令直接引用。仅当 EXEC CICS 命令将其定义为 CICS 文档模板时，才能对其进行引用。在此情况下， CICS 文档模板 (由 XRES 系统初始化参数指定) 的资源安全性控制用户对这些模板的访问。 CICS 不会使用Web客户端的用户ID对 z/OS UNIX 文件执行任何额外的权限检查。即使在 CICS 区域中为 z/OS UNIX 文件指定了访问控制，或者文档模板未启用资源安全，情况也是如此。当 z/OS UNIX 文件被定义为 CICS 文档模板时，您需要在 RACF 中为 CICS 文档模板设置Web客户端用户ID访问控制，而非在 z/OS UNIX System Services 中为 z/OS UNIX 文件设置。（然而， CICS 区域的用户ID始终需要对 z/OS UNIX 文件拥有读取权限，即使这些文件被定义为文档模板。）请特别注意，此情境适用于来自 CICS Web Support 的所有应用程序生成的响应，以及使用 TEMPLATENAME 属性 (而不是 HFSFILE 属性) 的静态响应的任何 URIMAP 定义。
如果将 z/OS UNIX 文件定义为 CICS 文档模板，且这些文档模板被用于URIMAP定义中的静态响应（通过TEMPLATENAME属性指定）或被应用程序使用，则CICS 不会使用Web客户端的用户ID对这些文件执行任何额外的权限检查。但是， CICS 区域用户标识仍需要对文件具有读许可权，即使将这些文件定义为文档模板也是如此。