Resource Access Control Facility

Abkürzung: RACF

Was ist RACF (Resource Access Control Facility)

RACF ist das zentrale Sicherheitssystem von IBM für Großrechner unter z/OS. Es steuert den Zugriff auf sämtliche Betriebsmittel, authentifiziert Benutzer und protokolliert sicherheitsrelevante Ereignisse. Als externer Sicherheitsmanager löst RACF die früheren, im Betriebssystem integrierten Kontrollmechanismen ab und ermöglicht eine granulare, mandantenfähige Rechteverwaltung über alle Subsysteme hinweg. RACF bildet das Rückgrat der Zugriffskontrolle in nahezu allen IBM-Mainframe-Umgebungen weltweit.

Historische Entwicklung

IBM führte RACF 1976 als separates Programmprodukt ein, zunächst für MVS. Zuvor waren die Sicherheitsmechanismen auf rudimentäre Passwortdateien und bitmaskierte Zugriffsrechte beschränkt. RACF führte das Konzept von Benutzer- und Gruppenprofilen ein und erweiterte die Prüfungsmöglichkeiten drastisch. Im Laufe der Jahre wurde RACF in das Betriebssystem z/OS integriert und kontinuierlich um Funktionen wie digitale Zertifikate, Kerberos-Integration und rollenbasierte Kontrolle ergänzt. Heute ist es ein unverzichtbarer Bestandteil jeder z/OS-Installation und wird von IBM aktiv weiterentwickelt.

Kernfunktionen

RACF verwaltet Benutzerprofile, die mit einem eindeutigen User-ID, Passwort und Authentifizierungsfaktoren ausgestattet sind. Jeder Benutzer kann einer oder mehreren Gruppen angehören, wobei jedem Benutzer eine Default-Gruppe zugewiesen wird. Die Zugriffsrechte auf Betriebsmittel wie Datasets, transaktionsorientierte Ressourcen (CICS, IMS), Jobklassen oder Geräte werden über Profile gesteuert, die mit Zugriffslisten (ACLs) verknüpft sind. Die erlaubten Zugriffsarten reichen von NONE über READ und UPDATE bis zu ALTER.

Ein zentraler Aspekt ist die obligatorische Zugriffsprüfung: Jeder Zugriff auf ein geschütztes Betriebsmittel wird von RACF gegen die definierten Profile abgeglichen. Ist kein passendes Profil vorhanden, gilt die Default-Regel, die entweder den Zugriff verweigert oder auf einen allgemeinen Zugriff zurückfällt (Universal Access Authority, UACC). Dieses Prinzip der "deny by default" erzwingt eine explizite Freigabe und minimiert das Risiko unbeabsichtigter Offenlegung.

Profiltypen und Schutzbereiche

RACF unterscheidet verschiedene Ressourcenklassen, die jeweils eigene Profiltypen besitzen. Die wichtigsten sind:

• DATASET: Schützt klassische z/OS-Dateien (PS, PDS, VSAM). Der Zugriff wird über den Dataset-Namen oder ein generisches Prefix-Profil gesteuert.
• PROGRAM: Kontrolliert den Aufruf von Programmen und ermöglicht die Einrichtung von geschützten, autorisierten Programmen.
• FACILITY: Dient zur Steuerung von Systemfunktionen und Subsystemen, etwa BPX (UNIX System Services) oder DFSMS.
• OPERCMDS: Regelt die Ausführung von z/OS-Konsolenkommandos und JCL-Anweisungen.
• SERVER: Verwaltet Zugriffe auf TCP/IP-Dienste und Netzzugangspunkte.

Jedes Profil enthält eine Liste von Benutzern oder Gruppen mit ihren Berechtigungen. RACF unterstützt ferner die Vererbung von Rechten über Gruppenhierarchien und die temporäre Delegation von Sonderrechten mittels Special- und Operations-Attributen.

Integration mit z/OS und Subsystemen

RACF ist tief im Betriebssystem verankert. Beim IPL (Initial Program Load) wird RACF initialisiert und aktiviert. Nach erfolgreicher Authentifizierung eines Benutzers (Benutzer-ID und Passwort oder PassTicket) erstellt RACF ein Accessor Environment Element (ACEE) im Adressraum, das als Träger der Sicherheitsinformationen dient. Subsysteme wie CICS, IMS oder DB2 fordern RACF-Prüfungen über standardisierte Schnittstellen (SAF, RACROUTE) an. Die Ergebnisse werden im ACEE zwischengespeichert, um die Leistung zu optimieren.

Moderne Erweiterungen erlauben die Anbindung an LDAP-Verzeichnisse, die Nutzung von Kerberos-Tickets und den Einsatz von Multi-Faktor-Authentifizierung mit Smartcards oder biometrischen Merkmalen. RACF agiert dabei als Policy Enforcement Point, während die eigentliche Authentifizierung an externe Dienste delegiert werden kann.

Audit und Überwachung

Eine der Stärken von RACF liegt in der umfassenden Protokollierung. Jede Zugriffsentscheidung kann in den System Management Facilities (SMF) aufgezeichnet werden. Die SMF-Sätze enthalten Benutzer-ID, Ressource, gewünschte Zugriffsart, Ergebnis (erlaubt/abgelehnt) und Zeitstempel. Audits und Compliance-Prüfungen stützen sich auf diese Daten. Mit Werkzeugen wie zSecure, IBM Security Identity Manager oder Fremdprodukten lassen sich diese Protokolle auswerten und auf Anomalien hin analysieren. Die Konfiguration selbst wird in einer geschützten Datenbank (RACF-Database) vorgehalten und unterliegt einer Änderungshistorie.

Administration und Verwaltung

Die Verwaltung erfolgt über Kommandos (RACF-Commands), die sowohl im TSO/E-Environment als auch im Batch ausgeführt werden. Wesentliche Befehle sind:

• ADDUSER / DELUSER / LISTUSER
• ADDSD / DELDSD / LISTDSD
• PERMIT / REVOKE
• SETROPTS (globale Systemeinstellungen)

Die Administration ist häufig auf wenige hochprivilegierte Benutzer (System-Special, Auditor) beschränkt. Für delegierte Verwaltung können Gruppenadministratoren definiert werden, die nur innerhalb ihrer Gruppen Rechte vergeben dürfen. Die gesamte RACF-Datenbank wird regelmäßig gesichert und kann im Notfall zurückgespielt werden.