 |
| Bellacosa Mainframe fala sobre segurança mainframe RACF TSS ACF2 |
🔥 Quem Realmente Manda no Seu z/OS? — RACF vs TSS vs ACF2, a Guerra Silenciosa que Decide Tudo
Se você trabalha com mainframe há tempo suficiente, já sabe:
o sistema pode ser o mais estável do mundo… mas quem decide o que acontece nele não é o z/OS — é o ESM.
E aí entra o trio que moldou décadas de segurança no mainframe:
- IBM RACF
- CA Top Secret (TSS)
- CA ACF2
Três filosofias. Três formas de pensar segurança.
E, mais importante: três maneiras completamente diferentes de cometer erros — ou evitá-los.
🧠 Capítulo 1 — Origem: Quando Segurança Virou Necessidade (não luxo)
Volta para os anos 70/80.
Mainframe já processava:
- bancos
- governo
- folha de pagamento
- defesa
E aí veio a pergunta que mudou tudo:
“Quem pode acessar o quê?”
A resposta não era trivial — porque o z/OS (na época MVS) não nasceu com segurança robusta nativa.
🔵 RACF (IBM)
Criado pela própria IBM:
- integração total com o sistema
- modelo corporativo
- foco em governança
👉 DNA:
segurança como parte da arquitetura
🟢 TSS (CA Top Secret)
Criado pela CA:
- foco em simplicidade
- modelo centrado no usuário
👉 DNA:
segurança como controle direto
🟣 ACF2
Também da CA:
- abordagem radicalmente diferente
- rule-based
👉 DNA:
segurança como linguagem
🧬 Capítulo 2 — O DNA de Cada Um
🔵 RACF — O Burocrata Organizado
RACF pensa assim:
Usuário → Grupo → Recurso → Permissão
Ele cria estrutura.
Exemplo real:
ADDUSER DEV01 DFLTGRP(DEV)
PERMIT PROD.APP.* CLASS(DATASET) ID(DEV01) ACCESS(READ)
👉 RACF gosta de:
- hierarquia
- governança
- previsibilidade
🟢 TSS — O Operador Pragmático
TSS elimina intermediários:
ACID → Permissões
Exemplo:
TSS PERMIT(DEV01) DATASET(PROD.APP.*) ACCESS(READ)
👉 TSS gosta de:
- simplicidade
- rapidez
- controle direto
🟣 ACF2 — O Hacker Formal
ACF2 inverte tudo:
Recurso → Regra → Usuário
Exemplo:
$KEY(PROD)
UID(DEV01) ALLOW
👉 ACF2 gosta de:
- regras
- lógica
- flexibilidade extrema
⚔️ Capítulo 3 — A Diferença que Ninguém Te Conta
Aqui está o ponto que separa júnior de sênior:
Esses produtos não são equivalentes — eles são modelos mentais diferentes
🧠 RACF pensa em “organização”
Você define estrutura e depois controla acesso.
🧠 TSS pensa em “identidade”
Você dá poder direto ao usuário.
🧠 ACF2 pensa em “lógica”
Você escreve regras e deixa o sistema decidir.
🧨 Capítulo 4 — Onde os Projetos Quebram
Vamos direto ao campo de batalha.
🔥 Caso real 1 — Migração TSS → RACF
Problema:
-
TSS:
DIVISION / DEPARTMENT -
RACF:
GROUP
👉 Não existe equivalência direta.
Resultado:
- perda de contexto
- decisões arquiteturais obrigatórias
🔥 Caso real 2 — ACF2 mal governado
ACF2 permite:
- regras complexas
- lógica condicional
👉 Sem controle vira:
“ninguém entende mais quem tem acesso a quê”
🔥 Caso real 3 — RACF mal configurado
Erro clássico:
UACC(READ)
👉 Tradução:
você abriu o dataset para meio mundo
🧠 Capítulo 5 — Como Eles Funcionam HOJE (2026)
🔵 RACF hoje
- integrado ao z/OS
-
forte com ferramentas como:
- auditoria
- compliance
- padrão de mercado
👉 Usado em:
- bancos
- governo
- grandes corporações
🟢 TSS hoje
- ainda muito presente
- especialmente em ambientes antigos
👉 Problema:
- escassez de profissionais
- pressão de custo
🟣 ACF2 hoje
- nicho forte
- ambientes altamente customizados
👉 Perfil:
- organizações com regras complexas
🧩 Capítulo 6 — Easter Eggs de Quem Já Viveu Isso
🥚 1. O mito do “ALL”
No TSS:
ACCESS(ALL)
👉 Pode significar mais do que você imagina…
🥚 2. O clássico “por que isso funcionava antes?”
Resposta:
porque estava no TSS… e ninguém sabia
🥚 3. O fantasma do dataset genérico
PROD.*
👉 Um único profile pode abrir acesso para centenas de datasets.
🥚 4. O usuário com SPECIAL no RACF
👉 Isso aqui é praticamente “root do mainframe”
🧠 Capítulo 7 — Comparação Brutal (sem filtro)
| Critério | RACF | TSS | ACF2 |
|---|---|---|---|
| Governança | Alta | Média | Alta |
| Simplicidade | Média | Alta | Baixa |
| Flexibilidade | Alta | Média | Extremamente alta |
| Risco operacional | Médio | Médio | Alto |
| Mercado atual | Dominante | Caindo | Nicho |
💣 Capítulo 8 — A Verdade que Poucos Dizem
Não existe “melhor” absoluto.
Existe:
- o mais adequado ao seu ambiente
- o mais governável pela sua equipe
- o menos arriscado para auditoria
🧠 Insight de arquiteto
Se você precisa:
- padronização → RACF
- simplicidade → TSS
- controle extremo → ACF2
🔥 Conclusão — A Guerra Invisível
Enquanto todo mundo fala de:
- cloud
- APIs
- microservices
No mainframe, a pergunta continua sendo a mesma há 40 anos:
“Quem pode fazer o quê?”
E a resposta continua dependendo de um desses três.
☕ Frase final estilo Bellacosa
“Você pode modernizar o COBOL, migrar para APIs, colocar z/OS Connect…
mas se errar no RACF, TSS ou ACF2 — nada disso importa.”
