AS400: alta y gestión de usuarios en IBM i

Qué vas a conseguir

Dar de alta, mantener y dar de baja usuarios en el IBM i (el AS400 de siempre) donde corre el ERP: pedidos a almacén, stock, precios y a veces la contabilidad. En muchas cadenas de tiendas sigue siendo el corazón del negocio y lo usan a la vez la oficina central, los jefes de área y el encargado desde el PC de trastienda. El soporte de primer nivel recibe sobre todo dos cosas: altas y "no puedo entrar".

Antes de empezar

• Un perfil con autorización especial *SECADM (y autoridad sobre los perfiles que vas a tocar) para crear y cambiar usuarios. No uses QSECOFR para el día a día.
• La convención de nombres: los perfiles tienen como máximo 10 caracteres, por ejemplo LPRADO.
• Los perfiles de grupo por rol que ha definido el equipo de aplicaciones (por ejemplo GRPTIENDA, GRPCOMPRAS, GRPADMIN).
• IBM i Access Client Solutions (ACS) instalado en los PC que lo usan, con la configuración del sistema ya creada.

1. Lo que define un perfil de usuario

• Un usuario de tienda nunca necesita autorizaciones especiales. Si alguien pide *ALLOBJ "para que le funcione", el problema es la autoridad de un objeto, y se resuelve en el grupo.
• INLPGM + INLMNU(*SIGNOFF) + LMTCPB(*YES) es la combinación que deja al usuario dentro del menú del ERP, sin línea de mandatos.

2. Crear el perfil

›CRTUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED) USRCLS(*USER) INLPGM(ERPLIB/MNUTIENDA) INLMNU(*SIGNOFF) LMTCPB(*YES) TEXT('Laura Prado - Encargada Tienda 042') SPCAUT(*NONE) GRPPRF(GRPTIENDA) OWNER(*GRPPRF)Perfil de usuario LPRADO creado.›DSPUSRPRF USRPRF(LPRADO) Perfil de usuario . . . . . . . . . . :   LPRADO Estado . . . . . . . . . . . . . . . . :   *ENABLED Clase de usuario . . . . . . . . . . . :   *USER Autorización especial  . . . . . . . . :   *NONE Perfil de grupo  . . . . . . . . . . . :   GRPTIENDA Programa inicial . . . . . . . . . . . :   MNUTIENDA   Biblioteca . . . . . . . . . . . . . :     ERPLIB Menú inicial . . . . . . . . . . . . . :   *SIGNOFF Limitar posibilidades  . . . . . . . . :   *YES

• Si el ERP necesita más (almacén por defecto, tienda asignada), suele ir en una tabla del propio ERP, no en el perfil. Pregunta al equipo de aplicaciones qué falta tras el CRTUSRPRF.
• Para cambiar algo después se usa CHGUSRPRF con los mismos parámetros, y WRKUSRPRF USRPRF(L*) para ver y trabajar con varios perfiles a la vez.
• Para un segundo grupo, SUPGRPPRF admite hasta 15 grupos suplementarios. Úsalo poco: cada grupo extra es una autoridad más que revisar.

3. Acceso con Access Client Solutions

1. En ACS, la configuración del sistema apunta al nombre del IBM i (por ejemplo srv-ibmi01) y usa TLS (puerto 992) si el sistema lo tiene configurado.
2. El usuario abre Emulador 5250, entra con su perfil y la contraseña inicial, y el sistema le pide la nueva.
3. Si se configura un nombre de dispositivo fijo por puesto (por ejemplo T042PC01), es más fácil saber desde qué tienda se conecta cada sesión.
4. Desde casa o de viaje, el emulador funciona igual a través de la VPN.

4. Contraseñas y perfiles inhabilitados

El valor del sistema QMAXSIGN fija cuántos intentos de inicio fallidos se permiten (3 por defecto) y QMAXSGNACN qué pasa al llegar al límite: inhabilitar el dispositivo, el perfil o ambos. Cuando se inhabilita el perfil, su estado pasa a *DISABLED y queda un mensaje CPF1393 en la cola QSYSMSG (si existe) y en el histórico.

Para restablecer la contraseña y habilitar el perfil a la vez:

CHGUSRPRF USRPRF(LPRADO) PASSWORD(********) PWDEXP(*YES) STATUS(*ENABLED)

Antes de restablecer, confirma la identidad: llamada al móvil que consta en RR. HH. o validación del jefe de área. La tienda es un sitio donde cualquiera puede llamar diciendo ser el encargado.

5. El ticket: "el perfil está inhabilitado / CPF1394 al iniciar sesión"

Lunes, 9:10. El encargado de la tienda 042 llama: el emulador le dice "El perfil de usuario LPRADO no puede iniciar la sesión" (mensaje CPF1394).

›DSPUSRPRF USRPRF(LPRADO) Perfil de usuario . . . . . . . . . . :   LPRADO Inicio de sesión anterior  . . . . . . :   26/10/26  20:41:07 Intentos de inicio no válidos  . . . . :   3 Estado . . . . . . . . . . . . . . . . :   *DISABLED Fecha de último cambio de contraseña . :   01/09/26›DSPSYSVAL SYSVAL(QMAXSIGN) Máximo de intentos de inicio de sesión . :   3

1. **Estado *DISABLED con 3 intentos no válidos**: alguien falló la contraseña tres veces. Puede ser él mismo, un compañero en el PC de trastienda o una contraseña guardada en un script de ACS antiguo.
2. Pregunta antes de habilitar: ¿cambió la contraseña hace poco?, ¿la comparte con alguien? Si la caducidad (QPWDEXPITV) coincide con el fin de semana, es lo de siempre.
3. Restablece y habilita con el CHGUSRPRF del apartado anterior, con PWDEXP(*YES) para que la cambie él.
4. **Si el perfil está *ENABLED y aun así no entra: puede estar inhabilitado el dispositivo** (según QMAXSGNACN). WRKCFGSTS CFGTYPE(*DEV) CFGD(T042PC01) muestra su estado y VRYCFG CFGOBJ(T042PC01) CFGTYPE(*DEV) STATUS(*ON) lo vuelve a activar.
5. Si se repite cada semana con el mismo usuario, revisa el histórico (DSPLOG) para ver desde qué dispositivo llegan los intentos fallidos: suele ser un PC con la sesión de otra persona.

6. Bajas y revisión mensual

En la baja, primero se inhabilita, y se borra más tarde, cuando el equipo de aplicaciones confirme que no posee objetos ni trabajos planificados:

1. El día de la baja: CHGUSRPRF USRPRF(MGIL) STATUS(*DISABLED).
2. WRKOBJOWN USRPRF(MGIL) para ver qué objetos posee.
3. Pasado el plazo acordado (30 días, por ejemplo): DLTUSRPRF USRPRF(MGIL) OWNOBJOPT(*CHGOWN GRPTIENDA) para transferir esos objetos en lugar de borrarlos.

Cada mes:

• ANZPRFACT (o un informe equivalente) para inhabilitar perfiles sin actividad en los últimos 60 o 90 días.
• Perfiles con autorizaciones especiales: deben ser pocos y nominales, ninguno de tienda.
• Cruce con las bajas de RR. HH.: un perfil activo de alguien que ya no está es un hallazgo de auditoría.

Siguientes pasos

• La guía de alta de usuario sitúa el perfil del ERP dentro de la incorporación completa.
• Active Directory cubre la cuenta corporativa que debe existir antes del perfil de IBM i.
• Cisco AnyConnect (VPN) explica el acceso al emulador desde fuera de la oficina.
• ISO 27001/NIS2/RGPD en IT ayuda a justificar la revisión periódica de accesos.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.