Informix 11.70.FC8
OS Red Hat Enterprise Linux Server release 6.8
СУБД настроена под двухфакторную идентификацию. Права раздаются/отзываются подразделением безопасности. Но при создании / удалении пользователей выдается ошибка SQL Error (-26703), хотя этот пользователь имеет привилегии DBA.
CREATE USER "S_BAZANOV" with properties user "inf_user";
DROP USER ‘S_BAZANOV’;

описание ошибки
-26703 User (<username>) is not authorized to create, alter, drop, or rename users.
Only a database server administrator (DBSA) can manage user accounts. In a
non-root installation, the DBSA is the user who installed the product. Log in as
the user who installed this database server to modify user accounts

В доке нашел вот это
https://www.ibm.com/support/knowledgecenter/en/SSGU8G_12.1.0/com.ibm.sec.doc/ids_da_004.htm
You cannot switch on role separation by resetting the environment after the server instance has been installed without role separation, and you cannot selectively implement role separation on only some of the databases of the same database server.

Подскажите пожалуйста (ссылка, совет, что угодно) как обойти возникшую ситуацию. Дать пароль Informix не приемлема.

Виктор, спасибо большое. Но это не помогло. SQL Error (-26703): ok_adm

А можно ли как-то включить разделение ролей в уже в пронсталлированной системе (DBSA,DBSSO ..) ?

Еще раз спасибо Виктор.

авторОпределение процедуры именно такое, как в примере ?
Должна быть именно DBA процедура и владелец именно informix.
Это позволяет любому юзеру у кого есть гранты на выполнение выполнить процедуру от имени informix-а.
Проверено, даже файлы создаются с владельцем informix.
Во всяком случае, у меня в 12.10 работает нормально.

Так и делал.


авторПосмотрите в сторону параметра ADMIN_USER_MODE_WITH_DBSA, хотя мне кажется - он немного для других целей

Я пробовал. Но это не совсем то, что нужно.


Сработало следующее. (Правда буду тестировать не повлияет ли это на другие учетки)

onmode -wf USERMAPPING=ADMIN
useradd -u xxx dbsa_user 

add in  /etc/informix/allowed.surrogates "USERS:dbsa_user"


CREATE USER "ok_dbsa" with properties user dbsa_user;
alter user "ok_dbsa" ADD PASSWORD "qwerty"
alter user "dbsa" MODIFY AUTHORIZATION (DBSA)
GRANT DBA TO 'ok_dbsa';

Еще раз спасибо Виктор

Плюс пришлось накатить скрипты