Bundesamt für Sicherheit in der Informationstechnik

G 3.69 Fehlerhafte Konfiguration der Unix System Services unter z/OS

Unix System Services (USS) ist ein z/OS-Subsystem, das vor der Inbetriebnahme angepasst werden muss.

Bei der Anpassung der USS-Parameter gibt es eine Reihe von Problemfeldern, die beachtet werden müssen, damit es nicht zu Sicherheitsproblemen beim z/OS-System bzw. bei Teilen des z/OS-Systems kommt.

Je nach Art der Fehlkonfiguration stehen nach dem Start des z/OS-Systems bestimmte Teilfunktionen der Unix System Services nicht zur Verfügung bzw. das USS-Subsystem startet nicht:

  • Fallen Teilfunktionen der USS aus, können wichtige Subsysteme, wie z. B. TCP/IP, fehlen.
  • Startet das gesamte USS-Subsystem nicht, steht auch das z/OS-Betriebssystem nicht zur Verfügung.
  • Werden HFS-Dateien während der Startphase nicht allokiert (Mount), können Applikationen, die diese Dateien benötigen, nicht betrieben werden.

Im Folgenden sind einige typische Fehler bei der Konfiguration der USS aufgeführt:

  • Der komplexe Aufbau der BPXPRMxx-Member kann zu Administrationsfehlern führen. Dies hat während des Initial Program Load (IPL) einen fehlerhaften Start des Systems zufolge. Dies ist eine Frage der Reihenfolge, in der die einzelnen Member-Definitionen durchlaufen werden.
  • Bestimmte Parameter im BPXPRM00-Member müssen auf die Kapazitätsgrenzen des Systems abgestimmt sein. Anderenfalls besteht die Gefahr, dass mehr Unix-Prozesse anlaufen, als es das System verkraften kann.
  • Es können Fehler bei den Sysplex-Definitionen auftreten, z. B. bei der VERSION-Angabe.
  • Es sind Fehler bei der Definition der Mount-Policies von HFS- und zFS- Files (Type, Mode und Mountpoint) möglich.
  • Innerhalb der BPXPRMxx-Member können Variablen falsch verwendet worden sein.

Beispiele:

  • Der Aufruf eines rekursiven Unix-Kommandos erzeugte auf einem z/OS-System fortwährend neue Prozesse, bis die z/OS-Auslagerungsdateien (Page-Platten) nicht mehr ausreichten. Trotz vorhandener weiterer Page-Platten, war es nicht möglich, das System zu retten, da nur noch wenige Systemeingaben möglich waren. Das Problem konnte nur durch einen Neustart (IPL) des Systems gelöst werden.
  • Auf einem z/OS-System mit mehreren BPXPRMxx-Membern wurde eine Parameteränderung in einem falschen Member vorgenommen. Die Änderung wurde vom System nicht berücksichtigt, weil der Parameter während des IPL von einem vorhergehenden Member gelesen wurde.

Stand: Stand 2005