我來詳細(xì)解釋一下：

首先，一個(gè)賬號建立之后，必須讓其歸屬組ACSUSRG（或者更高權(quán)限的ACSADMG），否則無法登陸APG。

用戶在使用一個(gè)正常賬號登陸APG之后，若只是要訪問CP，其賬號要具備組CPUSRG（或者更高權(quán)限的CPADMG），否則會報(bào)錯“訪問拒絕”。

在擁有CPUSRG組權(quán)限之后，該用戶執(zhí)行指令MML，AP鑒權(quán)系統(tǒng)首先去檢查CP User Association list（指令cuals），這個(gè)表反映的是一個(gè)AP用戶組到CP用戶的映射關(guān)系。如果該用戶所屬的用戶組在這個(gè)list中，則其將使用list中所對應(yīng)的CP用戶去訪問CP。如果這個(gè)對應(yīng)的CP用戶沒有在CP中定義，而即便CP中已經(jīng)定義了和AP中同名的賬號，該用戶依舊無法正常訪問CP，報(bào)錯“鑒權(quán)失敗”。但是如果cuals表為空，則用戶就直接去IOUAP表中找是否有與自己同名賬號，如果有，可以訪問CP，如果沒有，報(bào)錯“鑒權(quán)失敗”。

AP的這種鑒權(quán)機(jī)制經(jīng)常會導(dǎo)致的情況是：如果CP SB側(cè)發(fā)生了initial load，備用側(cè)dump中可能無自定義的CP USER，而只有內(nèi)建的administrator，admin以及ossuser。此時(shí)如果一個(gè)賬號（不與內(nèi)建賬號同名）登陸試圖訪問CP，就會出現(xiàn)CP EX側(cè)正常訪問，而SB側(cè)鑒權(quán)失敗的現(xiàn)象。

總結(jié)一下：

1. 一個(gè)賬號若只是訪問CP，最少擁有兩個(gè)組：ACSUSRG和CPUSRG。

2.賬號訪問CP首先檢查cuals，若：

有其所屬用戶組對應(yīng)有CP USER, IOUAP中有該CP USER定義，正常訪問。否則報(bào)錯鑒權(quán)失敗，無法訪問CP。
其所屬用戶組無對應(yīng)或者cuals表為空，IOUAP中有該賬號的同名定義，正常訪問。否則報(bào)錯鑒權(quán)失敗，無法訪問CP。