1. O RACF database
O RACF database é o repositório central de todos os perfis RACF — usuários, grupos, datasets e recursos gerais. Ele é um arquivo VSAM especial, geralmente com dois datasets para redundância:
O RACF mantém uma cópia em memória (in-storage copy) dos perfis mais acessados para performance. Quando um perfil é alterado, as mudanças são gravadas no disco e propagadas para a cópia em memória — por isso a maioria das mudanças RACF entra em vigor imediatamente, sem reinicialização.
Para verificar o status do RACF database:
2. Política de senhas e SETROPTS
O SETROPTS PASSWORD define as regras de senha do sistema inteiro:
💡 Passphrases — senhas longas no RACF
O RACF suporta passphrases de até 100 caracteres — uma alternativa às senhas de 8 caracteres. Passphrases permitem autenticação mais forte e mais fácil de memorizar. Para habilitá-las: SETROPTS PASSWORD(PHRASE(ENABLED)). Um usuário pode definir sua passphrase com ALTUSER userid PHRASE('minha frase longa').
Configurações de revogação automática por inatividade:
3. RACF em batch — ICHEINTY
Muitas instalações automatizam tarefas RACF via jobs batch. O programa ICHEINTY executa comandos RACF a partir do SYSIN de um job:
O programa IKJEFT01 é o interpretador TSO em batch — ele aceita os mesmos comandos que você digitaria no TSO interativo. O output vai para SYSTSPRT.
Para provisionamento em massa, é comum gerar o SYSIN dinamicamente com REXX ou um programa COBOL:
4. Backup e restore do RACF database
O RACF database deve ter backup diário — é um ativo crítico. O utilitário padrão é o ICHUT100 (backup) e ICHUT200 (restore), mas a maioria das instalações usa IDCAMS REPRO:
⚠️ Restore do RACF database — impacto imediato
Restaurar o RACF database de um backup sobrescreve todos os perfis com o estado do momento do backup. Qualquer usuário criado, permissão concedida ou revogação feita após o backup será perdida. Em produção, um restore deve ser autorizado formalmente, com janela de manutenção, e imediatamente seguido de reprocessamento das mudanças que seriam perdidas.
5. Administração delegada
Em ambientes grandes, é inviável ter um único administrador RACF gerenciando tudo. O RACF suporta administração delegada por grupos:
| Atributo | Escopo de administração |
|---|---|
SPECIAL | Administrador global — pode criar/alterar qualquer perfil no sistema |
GROUP-SPECIAL | Administrador de grupo — pode administrar dentro da hierarquia do seu grupo |
AUDITOR | Auditor global — pode ver qualquer perfil e definir GLOBALAUDIT |
GROUP-AUDITOR | Auditor de grupo — pode ver perfis dentro da hierarquia do seu grupo |
OPERATIONS | Bypass global de proteção de datasets |
GROUP-OPERATIONS | Bypass de proteção para datasets dentro do grupo |
6. Troubleshooting comum
Os problemas mais frequentes em RACF e como investigá-los:
Usuário não consegue acessar dataset — mas tem permissão:
Mudança de permissão não entrou em vigor:
Mensagens RACF mais comuns no log:
| Mensagem | Significado |
|---|---|
ICH408I | Acesso negado — inclui usuário, recurso e perfil que negou |
ICH70001I | Login bem-sucedido |
ICH70003I | Senha incorreta |
ICH04000I | Usuário não encontrado no RACF database |
IEF142I | Recurso não protegido (sem perfil RACF) — acesso pelo padrão da instalação |
💡 Próximos passos na trilha RACF
Com esses seis artigos você tem a base para trabalhar com RACF em ambientes reais. Os próximos tópicos avançados incluem: RACF e o z/OS Unix System Services (USS), integração com LDAP e Identity Manager, RACF em ambientes Sysplex, e o uso da RACF R_Admin API para automação. Essas são habilidades que os grandes bancos buscam em profissionais sênior de segurança mainframe.