selang 参考指南 › 类和属性 › AC 环境中的类 › PROCESS 类

PROCESS 类

PROCESS 类中的每个记录定义一个程序（即可执行文件），该程序在自己的地址空间中运行并需要得到保护以免被终止。 主要工具和数据库服务器是 进程保护的最佳候选对象，因为这些进程是拒绝服务攻击的主要目标。

注意：在 PROCESS 类中定义程序时，我们建议您也在 FILE 类中定义该程序。 这可防止某些人未经授权修改（替换或损坏）可执行文件，从而保护可执行文件。

CA ControlMinder 可以防止三种终止信号：常规终止信号 (SIGTERM) 和应用程序无法屏蔽的两种信号（SIGKILL 和 SIGSTOP）：

其他信号（如 SIGHUP 或 SIGUSR1）传递给它们的目标进程，并且该进程决定是否忽略终止信号或是否以某种方式对它作出反应。

PROCESS 类记录的关键字是记录所保护的程序的名称。 请指定完整的路径。

以下定义说明了此类记录所具有的属性。 大部分属性均可修改，还可使用 selang 或管理界面控制这些属性。 不能修改标记为信息性的属性。

ACL

定义可以访问资源的访问者（用户和组）及其访问类型的列表。

Access Control列表 (ACL) 中的每个元素均包含下列信息：

访问者

定义访问者。

访问

定义访问者对资源的访问权限。

在 authorize 或 authorize- 命令中使用 access 参数修改 ACL。

CALACL

根据 Unicenter NSM 日历状态定义可以访问资源的访问者（用户和组）及其访问类型的列表。

日历 Access Control 列表 (CALACL) 中的每个元素均包含下列信息：

访问者

定义访问者。

日历

定义对 Unicenter TNG 中的日历的引用。

访问

定义访问者对资源的访问权限。

只有日历为 ON 时才允许访问， 其他所有情况下都拒绝访问。

可以在 authorize 命令中使用 calendar 参数根据在日历 ACL 中定义的访问权限来允许用户或组访问资源。

CALENDAR

表示 CA ControlMinder 中的用户、组和资源限制的 Unicenter TNG 日历对象。 CA ControlMinder 按指定的时间间隔引出 Unicenter TNG 活动日历。

CATEGORY

定义分配给用户或资源的一个或多个安全类别 安全类别是 CATEGORY 类中记录的名称。 可以向访问者和资源分配安全类别。 只有当将访问者分配给向资源分配的所有安全类别时，访问者才能访问该资源。。

COMMENT

定义希望包含在记录中的其他信息。 CA ControlMinder 不使用此信息进行授权。

范围：255 个字符。

CREATE_TIME

（信息性）显示创建记录的日期和时间。

DAYTIME

定义管理访问者何时可以访问资源的日期和时间限制。

在 chres、ch[x]usr 或 ch[x]grp 命令中使用 restrictions 参数可以修改该属性。

日期时间限制的解决方案为一分钟。

GROUPS

资源记录所属的 CONTAINER 记录的列表。

要修改类记录中的该属性，必须在相应的 CONTAINER 记录中更改 MEMBERS 属性。

在 chres、editres 或 newres 命令中使用 mem+ 或 mem‑ 参数可以修改该属性。

NACL

资源的 NACL 属性是一个 Access Control 列表，可定义被拒绝访问资源的访问者及拒绝的访问类型（例如：写入）。 另请参阅 ACL、CALACL、PACL。 NACL 中的每个条目均包含下列信息：

访问者

定义访问者。

访问

定义拒绝授权访问者的访问类型。

使用 authorize deniedaccess 命令或 authorize- deniedaccess- 命令修改该属性。

NOTIFY

定义资源或用户生成审核事件时要通知到的用户。 CA ControlMinder 可将审核记录通过电子邮件发送给特定用户。

范围：30 个字符。

OWNER

定义拥有记录的用户或组。

PACL

定义由特定程序（或符合某种名称模式的程序）发出访问请求时被允许访问资源的访问者的列表及其访问类型。 程序 Access Control 列表 (PACL) 中的每个元素均包含下列信息：

访问者

定义访问者。

程序

定义对 PROGRAM 类中的记录的引用，方式为专门指定，或者按照通配符模式匹配。

访问

定义访问者对资源的访问权限。

注意：可以使用通配符 CA ControlMinder 可识别某些名称的通配符字符。 在这种情况下，CA ControlMinder 可识别的通配符为 * 和 ?。 * 字符代表任意数量的任意字符，包括无字符；? 字符代表一个任意字符实例。指定 PACL 中的资源。

在 selang authorize 命令中使用 via(pgm) 参数可向 PACL 中添加程序、访问者及其访问类型；可以使用 authorize- 命令从 PACL 中删除访问者。

RAUDIT

定义在审核日志中 CA ControlMinder 记录的访问事件的类型。 RAUDIT 可从 Resource AUDIT 中派生出它的名称。 有效值包括：

所有

所有访问请求。

成功

已授权的访问请求。

failure

拒绝的访问请求（默认）。

无

无访问请求。

CA ControlMinder 可记录有关对资源的每个尝试访问事件，不记录是否将访问规则直接应用到资源，或应用到将资源作为成员的组或类。

使用 chres 和 chfile 命令的审核参数来修改审核模式。

SECLABEL

定义用户或资源的安全级别 安全标签是 SECLABEL 类中记录的名称。 安全标签将安全级别和一组安全类别捆绑在一起。 将安全标签分配给访问者或资源，会授予该访问者或资源与该安全标签相关联的组合的安全级别和安全类别。 安全标签会覆盖访问者或资源中任何特定的安全级别和类别分配。。

注意：SECLABEL 属性对应 chres 和 ch[x]usr 命令的 label[-] 参数。

SECLEVEL

定义访问者或资源的安全级别 安全级别是可以分配给访问者和资源的 0 到 255 之间的整数。 如果访问者的安全级别小于分配给资源的安全级别，即使在资源的 Access Control 列表中向用户授予了访问权限，访问者也不能访问资源。。

注意：该属性对应 ch[x]usr 和 chres 命令的 level[-] 参数。

UACC

定义对资源的默认访问权限，它指明向未定义到 CA ControlMinder 或未出现在资源 ACL 中的访问者授予的访问权限。

在 chres、editres 或 newres 命令中使用 defaccess 参数可以修改该属性。

UPDATE_TIME

（信息性）显示上次修改记录的日期和时间。

UPDATE_WHO

（通知）显示执行更新的管理员。

WARNING

指明是否启用警告模式。 在资源上启用警告模式后，允许对该资源的所有访问请求；如果某个访问请求违反某条访问规则，将在审核日志中写入一条记录。