如何在iSeries V7.4中限制Query Manager查询的删除选项

核心问题分析 #

你配置DLTQMQRY命令权限的思路是对的，但Query Manager的选项4（删除查询对象）并不直接调用DLTQMQRY，而是通过自身交互接口执行删除操作，所以单纯限制该命令权限无法阻断这个误操作路径。

可行解决方案 #

1. 自定义Query Manager菜单移除选项4 #

• 复制系统默认Query Manager菜单（如QSQL/QMQMMAIN）到自定义库，例如YOURLIB/CUSTQMMAIN
• 使用WRKOBJPDM或SEU编辑自定义菜单，删除选项4对应的条目
• 通过CHGQMPROF命令修改用户的Query Manager配置，指定使用自定义菜单：

  CHGQMPROF MENU(YOURLIB/CUSTQMMAIN)
  

• 批量修改用户配置可结合WRKUSRPRF和命令脚本实现

2. 限制用户对查询对象库的删除权限 #

• 确认查询对象所在库（如QUSRSYS或自定义应用库），对目标用户/用户组设置该库下查询对象的DLT权限为*EXCLUDE：

  GRTOBJAUT OBJ(YOURQMLIB/*ALL) OBJTYPE(*QMQRY) USER(USERGROUP) AUT(*EXCLUDE)
  

• 同时保留用户对查询对象的USE权限，确保正常运行报表：

  GRTOBJAUT OBJ(YOURQMLIB/*ALL) OBJTYPE(*QMQRY) USER(USERGROUP) AUT(*USE)
  

3. 启用操作日志监控 #

• 开启系统审计功能，监控Query Manager的删除操作：

  CHGSECAUD OPTION(*ADD) EVTID(QMQRYDLT)
  

• 定期通过DSPSECAUD命令查看审计日志，及时发现误操作并调整权限或流程

注意事项 #

• 上述操作需由具备SECADM或ALLOBJ权限的用户执行
• 修改菜单前建议备份原系统菜单，避免影响其他正常用户
• 先在测试环境验证方案有效性，再推广到生产环境

内容的提问来源于stack exchange，提问作者Carlos Torres