Trucs & Astuces : API SET GID

Q : Beaucoup d’entreprises et de fournisseurs tiers sont confrontés au problème suivant : comment accorder aux utilisateurs l’accès aux fichiers et aux zones de données quand l’application s’exécute, mais restreindre l’accès hors de la protection de la logique applicative. Beaucoup d’auteurs d’applications optent alors pour l’autorité adoptée. Pourquoi pas ? Cependant, si l’application doit accéder à des objets présents dans l’IFS, l’autorité adoptée est ignorée. Que faire dans ce cas ?

R : La solution est apportée par une API très sympa : qsysetgid(), ou Set group ID. Cette API permute le premier groupe de l’utilisateur et en fait le profil spécifié sur l’appel de l’API. Dans ce cas, il est bon de faire la permutation juste avant d’accéder au fichier IFS. Si vous optez pour cette API de préférence à l’autorité adoptée, vous appellerez l’API pendant le démarrage de l’application. Le bon côté de cette API est que le profil du premier groupe de l’utilisateur est permuté dans le processus courant, où l’appel de l’API est effectué – mais uniquement dans ce processus.

Normalement, je n’aime pas trop qu’une application fasse d’un utilisateur un membre du profil qui possède les objets applicatifs. Mais, dans le cas présent, c’est légitime parce que le profil de l’utilisateur n’est jamais mis à jour avec le nouveau profil de groupe. Par conséquent, si des utilisateurs essaient d’accéder à un document ou à un fichier sensible en dehors de la logique applicative (par exemple, par l’intermédiaire de ODBC ou de la ligne de commande), ils n’y accèderont pas avec l’autorité du détenteur de l’application. Cela ne se produira que s’ils passent par l’intermédiaire de l’application. Donc, si vous êtes en train d’écrire ou de modifier une application et si vous ne voulez pas utiliser l’autorité adoptée, examinez cette API. Vous pouvez trouver sa documentation dans l’Information Center à publib. boulder.ibm. com/infocenter/iseries/v5r3/topic/ apis/api.htm – sélectionnez API Finder, puis spécifiez Set group ID dans le champ « Find by name ».