Oracle सुरक्षा नीतियां

इस अनुच्छेद में, मैं एक ऐसे समाधान के बारे में बात करना चाहूंगा जो आपको DBMS स्तर पर डेटा तक पहुंच के प्रतिबंध को व्यवस्थित करने की अनुमति देता है, इसके अलावा, जब मामले में बाधा तालिका में स्वयं डेटा शामिल होता है जो प्रतिबंध को प्रभावित करता है।

मैं जो उदाहरण दूंगा वह बहुत सरल है, लेकिन समाधान में उपयोग किए जाने वाले आवश्यक उपकरण बड़े पैमाने पर प्रदान किए गए हैं। Oracle 11g R2 पर परीक्षण किया गया।

मान लीजिए कि SCOTT उपयोगकर्ता को कुछ तालिकाओं के डेटा तक पहुंच का प्रतिबंध व्यवस्थित करना था, लेकिन जिन मानदंडों तक पहुंच प्रदान की जानी चाहिए उन्हें देखते हैं ताकि प्रतिबंधित तालिका के डेटा का विश्लेषण करना आवश्यक हो। ऐसा लगता है कि यह आसान हो सकता है - चलो चलते हैं।


हम SCOTT की ओर से डेटाबेस के लिए एक कनेक्शन स्थापित करेंगे और तालिकाओं का निर्माण करेंगे, जिनमें से एक में उन उपयोगकर्ताओं की एक सूची होगी, जिनकी पहुंच है, और दूसरा स्वयं डेटा:

CREATE TABLE scott.user_allowed ( ua_id NUMBER, oracle_user VARCHAR2(50) ); Table created. insert into scott.user_allowed (ua_id, oracle_user) values (1, 'SCOTT'); insert into scott.user_allowed (ua_id, oracle_user) values (2, 'OTHERUSER'); 1 row created. 1 row created. commit; CREATE TABLE scott.user_data ( ud_id NUMBER, ud_user_id NUMBER, ud_data VARCHAR2(2000) ); Table created. insert into scott.user_data (ud_id, ud_user_id, ud_data) values (1, 1, 'SCOTT DATA'); insert into scott.user_data (ud_id, ud_user_id, ud_data) values (2, 2, 'OTHERUSER DATA'); 1 row created. 1 row created. commit; select ud_id, ud_user_id, ud_data from user_data; 2 rows selected. 

सब कुछ ठीक हो गया। अब, SYS की ओर से संबंध बनाएं, समर्पित कार्य और सुरक्षा नीति बनाएं:

 CREATE OR REPLACE FUNCTION sys.scott_predicate_allow ( obj_schema IN VARCHAR2, obj_name IN VARCHAR2 ) RETURN VARCHAR2 IS BEGIN return 'ud_id in (SELECT ud_id FROM scott.user_data ud, scott.user_allowed ua WHERE ud.ud_user_id = ua.ua_id AND upper(ua.oracle_user) = upper(USER))'; END scott_predicate_allow; / Function created. 

 BEGIN SYS.DBMS_RLS.ADD_POLICY ( Object_schema => 'SCOTT' ,Object_name => 'USER_DATA' ,policy_name => 'SCOTT_ALLOW_USER_DATA' ,function_schema => 'SYS' ,policy_function => 'SCOTT_PREDICATE_ALLOW' ,statement_types => 'SELECT,INSERT,UPDATE,DELETE,INDEX ' ,policy_type => dbms_rls.dynamic ,long_predicate => FALSE ,sec_relevant_cols => 'UD_ID,UD_USER_ID,UD_DATA' ,sec_relevant_cols_opt => NULL ,update_check => FALSE ,enable => TRUE ); END; / PL/SQL procedure successfully completed. 

USER_ALLOWED तालिका में सेटिंग के अनुसार, USER_DATA तालिका तक पहुँचने पर, SCOTT उपयोगकर्ता, केवल वह डेटा देखेंगे, जो केवल ud_user_id कॉलम में है। यह इसे सत्यापित करने के लिए बनी हुई है, फिर से SCOTT और के रूप में लॉग इन करें:

 select ud_id, ud_user_id, ud_data from user_data; ORA-28113: policy predicate has error 

यह निर्धारित करने के लिए कि त्रुटि क्या है, आपको ट्रेस फ़ाइल देखने की आवश्यकता होगी, जिसमें एक विस्तृत विवरण है:

 ORA-28108: circular security policies detected 

वास्तव में, मैं इसे एक ट्रिगर में उत्परिवर्तन का एक एनालॉग कहूंगा। समस्या को हल करने के लिए, आप उपयोग कर सकते हैं ... जैसा कि अभ्यास ने दिखाया है, ज्यादा नहीं। यदि आप चाहें, तो इसे स्वयं आज़माएँ, लेकिन यह देखते हुए कि वास्तविक कार्य उपरोक्त उदाहरण से बहुत अलग होगा। आइए SYS की ओर से कनेक्शन पर वापस जाएं, और निष्पादित करें:

 create or replace type sys.number_table is table of number; / Type created. CREATE OR REPLACE PACKAGE SYS.SCOTT_ALLOWED AS allowed_id number_table:=number_table(); function get_allowed_id return number_table; END SCOTT_ALLOWED; / Package created. CREATE OR REPLACE PACKAGE BODY SYS.SCOTT_ALLOWED AS function get_allowed_id return number_table is begin return allowed_id; end; END SCOTT_ALLOWED; / Package body created. CREATE OR REPLACE FUNCTION sys.scott_predicate_allow ( obj_schema IN VARCHAR2, obj_name IN VARCHAR2 ) RETURN VARCHAR2 IS BEGIN scott_allowed.allowed_id:=number_table(); select ud_id bulk collect into scott_allowed.allowed_id from scott.user_data ud, scott.user_allowed ua where ud.ud_user_id = ua.ua_id and upper(ua.oracle_user) = upper(USER); return 'EXISTS (SELECT 1 FROM TABLE(scott_allowed.get_allowed_id) a WHERE a.column_value = ud_id)'; END scott_predicate_allow; / Function created. 

पहली बात यह थी कि एक नया डेटा प्रकार घोषित करने के लिए था जो टाइप नंबर की एकल-स्तंभ तालिका को दर्शाता है। इस प्रकार का उपयोग पैकेज चर के लिए किया जाएगा, जिसमें पहचानकर्ताओं की एक सूची का चयन किया जाएगा, जिसके द्वारा पहुंच प्रदान की जाएगी। पैकेज में फ़ंक्शन एक आवरण है जो आपको बैक डेटा कॉल करने की अनुमति देता है। सत्र के बीच पैकेज चर की सामग्री के साथ कोई समस्या नहीं होगी, क्योंकि प्रत्येक सत्र के लिए एक अलग मेमोरी क्षेत्र आवंटित किया जाता है। यह मानते हुए कि विधेय समारोह में कर्सर का उद्देश्य तालिका की प्राथमिक कुंजी के पहचानकर्ताओं को निर्धारित करना है, यह उत्पन्न बाधा को EXISTS निर्माण में संशोधित करने के लिए अधिक उचित है।

अब SCOTT की ओर से कनेक्ट करके किए गए कार्य का परिणाम देखें:

 select ud_id, ud_user_id, ud_data from user_data; 1 row selected.