selang 参考指南 › selang 命令 › AC 环境下的 selang 命令 › chfile 命令 - 修改文件记录

chfile 命令 - 修改文件记录

在 AC 环境中有效

使用 chfile、editfile 和 newfile 命令可以处理 FILE 类中的记录。 这些命令结构相同，仅在以下方面有所不同：

• chfile 命令可修改 FILE 类中的一个或多个记录。
• editfile 命令可创建或修改 FILE 类中的一个或多个记录。
• newfile 命令可创建 FILE 类中的一个或多个记录。

注意：该命令还存在于本地环境中，但运行方式不同。

要添加或更改属于 FILE 类的某个文件的记录，您必须对该文件拥有足够的权限。 CA Access Control 将进行下列检查，直到满足下列条件之一为止：

1. 您具有 ADMIN 属性。
2. 资源记录在某一组的范围内，您在该组中具有 GROUP‑ADMIN 属性。
3. 更改记录时，您是记录的所有者。
4. 您在 ADMIN 类中的 FILE 记录的 ACL 中具有 CREATE （对于 newfile 或 editfile）或 MODIFY（对于 chfile）访问权限。
5. 如果将 seos.ini 文件中的标记 use_unix_file_owner 设置为“yes”，则您将是文件的所有者（向存在于本地操作系统中的 CA Access Control 定义文件时）。

   {{chfile|cf}|{editfile|ef}|{newfile|nf}} filename... \
   

   [audit{none|all|success|failure}] \
   [category[-](categoryName)] \
   [comment(string)|comment‑] \
   [defaccess(accessAuthority)] \
   [label(labelName)|label‑] \
   [level(number)|level‑] \
   [notify(mailAddress)|notify‑] \
   [gowner(groupName)] \
   [owner({userName|groupName})] \
   [restrictions( \
   

   [days({anyday|weekdays|{[mon] [tue] [wed] \
   	[thu] [fri] [sat] [sun]}})] \
   [time({anytime|startTime:endTime}) \
   

   |restrictions‑] \
   [warning|warning‑]
   

audit{none|all|success|failure}

指定记录哪些访问事件。 访问类型包括：

• all - CA Access Control既记录授权的访问，也记录检测到的未经授权的访问尝试。
• failure - CA Access Control 记录检测到的未经授权的访问尝试。 这是默认值。
• none - CA Access Control 不向日志文件写入任何记录。
• success - CA Access Control 记录对资源的授权访问。

注意：要使用 audit 参数，您必须具有 AUDITOR 属性。

category(categoryName)

定义要分配给文件的安全类别记录的列表（用空格或逗号分隔）（在 CATEGORY 类中定义）。

如果在 CATEGORY 类不活动时指定 category 参数，CA Access Control 将更新数据库中的文件定义；但是，在再次激活 CATEGORY 类之前，更新的类别分配不会生效。

注意：有关安全类别检查的详细信息，请参阅适用于您的操作系统的《端点管理指南》。

category‑(categoryName)

从资源记录删除一个或多个安全类别。 删除多个安全类别时，请用空格或逗号分隔安全类别名称。

将从资源记录中删除指定的安全类别，无论 CATEGORY 类是否是活动的。

注意：此参数仅在修改记录时有效。

comment(string)

将最多包含 255 个字符的字母数字字符串添加到文件记录中。 如果字符串中包含任何空格，请用单引号将整个字符串引起。 字符串将替换先前定义的任何现有注释。

comment‑

从文件记录中删除注释字符串。

注意：此参数仅在修改记录时有效。

defaccess(accessAuthority)

指定文件的默认访问权限。 默认访问权限是授予请求文件访问权限的任何访问者的权限，但它并不在文件的 Access Control 列表中。 默认访问权限也适用于未在数据库中定义的用户。

文件名

定义文件记录的名称。 必须至少指定一个文件名。

如果使用通用文件名将记录添加到 FILE 类中或在其中更改记录，请使用在 selang 中允许的通配符表达式。 定义或更改多个记录时，请使用括号括起文件名列表，并用空格或逗号分隔文件名。

注意：如果指定了多个文件名，CA Access Control 将根据指定的参数分别处理每个文件记录。 如果处理文件时发生错误，CA Access Control 将发出一条消息，并继续处理列表中的下一个文件。

gowner(groupName)

将 CA Access Control 组指定为文件记录的所有者。 如果文件记录的组所有者的安全级别、安全标签和安全类别权限使其足以能够访问文件，则该组所有者对该文件拥有不受限制的访问权限。 文件的组所有者始终可以更新和删除文件记录。

label(labelName)

将在 SECLABEL 类中定义的安全标签分配给文件。 安全标签代表特定安全级别与零个或多个安全类别之间的关联。 如果资源记录当前包含一个安全标签，在此处指定的安全标签将替换当前的安全标签。

注意：有关安全标签的详细信息，请参阅适用于您的操作系统的《端点管理指南》。

label‑

删除在文件记录中定义的安全标签。

注意：此参数仅在修改记录时有效。

level(number)

为资源记录指定安全级别。 请输入介于 1 和 255 之间的正整数。 如果以前为资源记录指定了安全级别，则新值将替换当前值。

注意：有关安全级别的详细信息，请参阅适用于您的操作系统的《端点管理指南》。

level‑

阻止 CA Access Control 对资源执行安全级别检查。

注意：此参数仅在修改记录时有效。

notify(mailAddress)

只要该资源记录代表的资源被成功访问，便指示 CA Access Control 发送通知消息。 请输入用户名、用户的电子邮件地址或邮件组的电子邮件地址（如果指定了别名）。

只有在日志路由系统活动时，才进行通知。 通知消息将发送到屏幕上或用户的邮箱，具体取决于日志路由系统的设置。

每次发送通知消息时，都会在审核日志中写入审核记录。

通知消息的接收者应该经常登录，以对每个消息中所描述的未经授权的访问尝试做出响应。

范围：30 个字符。

注意：有关筛选和查看审核记录的信息，请参阅适用于您的操作系统的《端点管理指南》。

notify‑

指定在 CA Access Control 授予对记录所代表的文件的访问权限时不通知任何人。

注意：此参数仅在修改记录时有效。

owner(Name)

将 CA Access Control 用户或组指定为文件记录的所有者。 如果文件记录所有者的安全级别、安全标签和安全类别权限使其足以能够访问文件，则该所有者对该文件拥有不受限制的访问权限。 文件的所有者始终可以更新和删除文件记录。

restrictions(days(dayData) time(timeData))

指定用户可以在一周的哪几天以及一天的哪几个小时访问文件。

如果省略 days 参数而指定 time 参数，则时间限制将应用于记录中已经指出的任何“工作日”限制。 如果省略 time 而指定 days，则日期限制将应用于记录中已经指出的任何时间限制。 如果同时指定了 days 和 time，则用户只能在指定日期的指定时间段内访问系统。

days(dayData)

指定用户可以访问文件的日期。 days 参数可使用下列子参数：

• anyday - 授予在任何一天访问文件的权限。
• weekdays - 授予只能在工作日（星期一至星期五）访问资源的权限。
• mon tue wed thu fri sat sun - 授予只能在指定日期访问资源的权限。 您可以按任何顺序指定日期。 如果指定多个日期，请使用空格或逗号分隔各日期。

time(timeData)

指定用户可以访问文件的时间段。 time 参数可使用下列子参数：

• anytime - 授予在一天中的任何时间访问资源的权限。
• startTime:endTime - 授予只能在指定时间段内访问资源的权限。 startTime 和 endTime 的格式均为 hhmm，其中 hh 是采用 24 小时表示法的小时（00 至 23），而 mm 是分钟（00 至 59）。 请注意，2400 是无效的时间值。 StartTime 必须小于 endTime，并且这两个时间必须在同一天。 如果终端与处理器位于不同的时区，请通过将终端的开始时间和结束时间转换为等同的处理器本地时间来调整时间值。 例如，如果处理器位于纽约而终端位于洛杉矶，那么，要允许从上午 8:00 到下午 5:00 在洛杉矶访问终端，请指定时间 (1100:2000)。

限制‑

删除限制文件访问能力的所有限制。

注意：此参数仅在修改记录时有效。

warning

将文件置于“警告”模式。

warning‑

使文件退出“警告”模式。

示例：将对文件的访问权限限制为除超级用户之外的所有用户

要将对 /etc/passwd 文件的访问权限限制为除超级用户之外的所有用户的读取权限，请输入以下命令：

chfile /etc/passwd defaccess(read) owner(root)

必须符合以下条件：

• 您具有 ADMIN 属性。
• 数据库中定义了记录 /etc/passwd。
• 记录 /etc/passwd 的 ACL 中无任何条目。

示例：将对文件的访问权限限制为按时间

要阻止对 /home/bob/secrets 文件的访问权限，且只允许所有者在工作日的 08:00 到 18:00 访问文件，请输入以下命令：

newfile /home/bob/secrets defac(none) restrictions(d(weekdays) t(0800:1800))

必须符合以下条件：

• 您具有 ADMIN 属性。
• Bob 是 CA Access Control 用户，而且是 FILE 类中 /home/ bob/secrets 记录的所有者。

示例：阻止对您主目录的访问

要阻止其他所有用户访问您主目录 (/home/bob) 中的任何文件，请在 UNIX 上输入以下命令：

newfile /home/bob/* defaccess(none)

您可以使用以下命令在 Windows 上执行相同的操作：

newfile %userprofile%\* defaccess(none)

必须符合以下条件：

• 您已被定义到 CA Access Control。
• 您是该文件的本地所有者。

更多信息：

authorize 命令 - 设置对资源的访问权限

rmfile 命令 — 删除文件记录

showfile 命令 — 显示文件属性

chfile 命令 — 修改 UNIX 文件设置

chfile 命令 — 修改 Windows 文件设置

访问权限（按类）

警告模式