💅🏼 ↙️ 🖕 Oracle लेबल सुरक्षा। पहले परिचित थे 🎅🏿 🕧 🚝

ओरेकल लेबल सिक्योरिटी (ओएलएस) ओरेकल डेटाबेस सर्वर में डेटा एक्सेस को अलग करने का एक और तरीका है। ओएलएस की एक विशिष्ट विशेषता डेटा के साथ बहुस्तरीय एक्सेस नीतियां और एक्सेस कंट्रोल विशेषताओं का भंडारण है।

नीति के अंदर, जानकारी तक पहुंच के स्तर निर्धारित किए जाते हैं, उदाहरण के लिए: "शीर्ष गुप्त", "गुप्त", "चिपबोर्ड"। उच्च स्तर की पहुंच वाले उपयोगकर्ता के पास अपने स्तर और निचले स्तरों के साथ चिह्नित डेटा तक पहुंच होती है।

ओरेकल लेबल सुरक्षा ओरेकल डाटाबेस एंटरप्राइज संस्करण के लिए एक भुगतान विकल्प है।

नीचे हम मूल अवधारणाओं और ओएलएस के उपयोग का एक उदाहरण पर विचार करेंगे।

प्राथमिक अथवा प्रारम्भिक लक्षण

Oracle लेबल सुरक्षा अपने काम में Oracle Virtual Private Database (VPD) का उपयोग करता है, लेकिन VPD के विपरीत, इसे PL / SQL कोड लिखने की आवश्यकता नहीं है। आप पीएल / एसक्यूएल पैकेज और ओरेकल एंटरप्राइज मैनेजर दोनों के साथ ओएलएस के सभी पहलुओं का प्रबंधन कर सकते हैं।

यह आलेख ओरेकल डेटाबसे 12 सी के संस्करण के लिए ओएलएस के कार्यान्वयन पर चर्चा करेगा, पिछले संस्करणों से अंतर यहां पाया जा सकता है ।

OLS घटक

लेबल (टैग)। लेबल डेटा एक्सेस विशेषताओं का प्रतिनिधित्व करते हैं।
लेबल में निम्नलिखित घटक होते हैं:

स्तर (स्तर)। उन्हें 0 से 9999 तक की संख्या के रूप में दर्शाया जाता है। संख्या जितनी अधिक होगी, पहुँच स्तर उतना अधिक होगा।
डिब्बों (विभागों)। एक वैकल्पिक रैखिक सूची जो आपको अधिक सटीक रूप से पहुंच के स्तर को निर्धारित करने की अनुमति देती है। उदाहरण के लिए: "वाणिज्यिक विभाग", "आईटी विभाग", आदि। उदाहरण में इस्तेमाल नहीं किया।
समूह (समूह)। पदानुक्रमित संरचना, यदि शीर्ष तक पहुंच प्रदान की जाती है, तो पत्तियों तक पहुंच स्वतः प्राप्त हो जाती है। उदाहरण के लिए: क्षेत्रीय विभाजन, एक शिखर है - "सभी क्षेत्र" और पत्ते - "मास्को", "लंदन", आदि। यदि "सभी क्षेत्रों" तक पहुंच है, तो "मॉस्को" और "लंदन" क्षेत्रों तक पहुंच है। यदि केवल मॉस्को क्षेत्र तक पहुंच है, तो अन्य क्षेत्रों तक पहुंच बंद है।

नीति (नीति)। लिंक टैग, टेबल और प्राधिकरण एक साथ।

समस्या का बयान

एक क्षेत्रीय संरचना के साथ एक कंपनी Z है।
कंपनी एक प्रणाली संचालित करती है जो ग्राहकों के भुगतान पर डेटा प्राप्त करती है। वे ईआरपी से आते हैं और भुगतान तालिका में दर्ज किए जाते हैं।
भुगतान राशि और क्षेत्र के अनुसार रीड एक्सेस का विभेदीकरण करना आवश्यक है। एन्क्रिप्टेड डिस्क पर विशेष रूप से बड़े भुगतान के डेटा को एक अलग विभाजन में संग्रहीत किया जाना चाहिए। जब ईआरपी से भुगतान प्राप्त होता है, तो राशि और क्षेत्र को ध्यान में रखते हुए, इसे एक लेबल सौंपा जाना चाहिए। एक टेबल पर लिखना मानक ओरेकल तंत्रों तक सीमित है और केवल ईआरपी से संभव है।

भुगतान की राशि को 3 भागों में बांटा गया है:

बड़ा (बड़ा) - 10000 से
मध्यम (मध्यम) - 5,000 से 9,999
छोटा (छोटा) - 5000 तक

क्षेत्र:

एमओ (मास्को और क्षेत्र)
NW (उत्तर पश्चिम)

सदस्य:

big_boss - अधिकतम पहुंच स्तर है, सभी डेटा को देखता है
med_boss - सभी क्षेत्रों में 5000 से 9999 तक भुगतान देखता है
mo_big_boss - सभी भुगतान देखता है, लेकिन केवल MO क्षेत्र में

कार्यान्वयन

Oracle लेबल सुरक्षा विकल्प को कैसे सक्षम करें, यहां देखें।
हम TEST योजना में एक तालिका बनाते हैं, जिसमें भुगतान प्राप्त होगा:

छिपा हुआ पाठ

create table PAYMENTS ( ID number, CNAME varchar2(64), /*    */ REGION char(2), /*   MO/NW */ AMOUNT number, /*   */ ols_payments number(10), /*      */ CONSTRAINT "PAYMENTS_PK" PRIMARY KEY ("ID") ) PARTITION BY RANGE (ols_payments) ( PARTITION SP VALUES LESS THAN (80000), PARTITION MP VALUES LESS THAN (90000), PARTITION BP VALUES LESS THAN (MAXVALUE) /*           */ ); grant select on payments to public;

Ols_payments कॉलम अग्रिम में बनाया गया है ताकि विभाजन किया जा सके। यदि इसकी आवश्यकता नहीं है, तो इसे नीति लागू करके स्वचालित रूप से बनाया जा सकता है।
सभी आगे विन्यास कार्य उपयोगकर्ता LBACSYS से जाएंगे ।
प्रत्येक नीति के लिए, प्रपत्र policy_DBA की एक विशेष भूमिका बनाई जाती है। भूमिका स्वामी इस नीति को संशोधित कर सकता है।

पॉलिसी भुगतान_पोल बनाएं:

छिपा हुआ पाठ

 EXEC SA_SYSDBA.CREATE_POLICY ( policy_name => 'payments_pol', /*  policy */ column_name => 'ols_payments', /*      */ default_options => 'read_control'); /*       */

हमारी नीति के लिए राशियों तक पहुंच स्तर बनाएं:

छिपा हुआ पाठ

 BEGIN SA_COMPONENTS.CREATE_LEVEL ( policy_name => 'payments_pol', level_num => 90, /*   */ short_name => 'B', /*   */ long_name => 'BIG_PAYMENT'); /*   */ SA_COMPONENTS.CREATE_LEVEL ( policy_name => 'payments_pol', level_num => 80, short_name => 'M', long_name => 'MEDIUM_PAYMENT'); SA_COMPONENTS.CREATE_LEVEL ( policy_name => 'payments_pol', level_num => 70, short_name => 'S', long_name => 'SMALL_PAYMENT'); END; /

प्रत्येक स्तर के लिए, इसके संख्यात्मक मान, संक्षिप्त और पूर्ण नाम को इंगित करना आवश्यक है। संक्षिप्त नाम सभी संदर्भों में नीचे उपयोग किया जाएगा।

हम क्षेत्र द्वारा समूह बनाते हैं:

छिपा हुआ पाठ

 BEGIN /*   */ SA_COMPONENTS.CREATE_GROUP ( policy_name => 'payments_pol', group_num => 10, /*   */ short_name => 'RG', /*   */ long_name => 'REGIONS'); /*   */ SA_COMPONENTS.CREATE_GROUP ( policy_name => 'payments_pol', group_num => 20, short_name => 'MO', long_name => 'MOSCOW_REGION', parent_name => 'RG'); /*  */ SA_COMPONENTS.CREATE_GROUP ( policy_name => 'payments_pol', group_num => 30, short_name => 'NW', long_name => 'NW_REGION', parent_name => 'RG'); END; /

प्रत्येक समूह के लिए, इसके संख्यात्मक मान, संक्षिप्त और पूर्ण नाम को इंगित करना आवश्यक है। रूट को छोड़कर सभी समूहों के लिए, मूल निर्दिष्ट है।

लेबल का पाठ प्रारूप "LEVEL: COMPARTMENT1, .., COMPARTMENTN: GROUP1, ..., GROUPN" जैसा दिखता है।
मॉस्को क्षेत्र के लिए 10,000 से अधिक की राशि वाले रिकॉर्ड के लिए लेबल "बी :: एमओ" जैसा दिखेगा।

संख्यात्मक मान में पाठ लेबल प्रदर्शित करने के लिए, लेबल टैग बनाए जाते हैं। लेबल टैग स्वचालित रूप से या मैन्युअल रूप से परिभाषित किया जा सकता है। चूंकि विभाजन का उपयोग लेबल टैग वाले क्षेत्र पर किया जाता है, इसलिए हम उन्हें मैन्युअल रूप से बनाते हैं। यह याद रखना महत्वपूर्ण है कि लेबल टैग के मान डेटाबेस के ढांचे के भीतर अद्वितीय होने चाहिए और विभिन्न नीतियों में दोहराए नहीं जा सकते। लेबल टैग किसी भी तरह से समूह संख्या या स्तर संख्या से जुड़े नहीं हैं।

टैग बनाएं:

छिपा हुआ पाठ

 BEGIN -- RG labels SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 90010, /*    */ label_value => 'B::RG', /*    */ data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 80010, label_value => 'M::RG', data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 70010, label_value => 'S::RG', data_label => TRUE); -- MO LABELS SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 90020, label_value => 'B::MO', data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 80020, label_value => 'M::MO', data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 70020, label_value => 'S::MO', data_label => TRUE); -- NW LABELS SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 90030, label_value => 'B::NW', data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 80030, label_value => 'M::NW', data_label => TRUE); SA_LABEL_ADMIN.CREATE_LABEL ( policy_name => 'payments_pol', label_tag => 70030, label_value => 'S::NW', data_label => TRUE); END; /

यह एक फ़ंक्शन लिखने के लिए रहता है जो डेटा के अनुसार लेबल उत्पन्न करता है:

छिपा हुआ पाठ

 create or replace function payments_label(region varchar2, amount number) return LBACSYS.LBAC_LABEL as lvl varchar2(32); reg varchar2(32); rvalue number(10); begin case region when 'MO' then reg := 'MO'; when 'NW' then reg := 'NW'; else raise_application_error(-20000, 'invalid region.'); end case; case when amount >= 10000 then lvl := 'B'; when amount >= 5000 then lvl := 'M'; else lvl := 'S'; end case; return LBACSYS.to_lbac_label('PAYMENTS_POL', lvl || '::' || reg); end;

और आप हमारी नीति को तालिका में लागू कर सकते हैं:

छिपा हुआ पाठ

 EXEC SA_POLICY_ADMIN.APPLY_TABLE_POLICY ( policy_name => 'payments_pol', schema_name => 'test', table_name => 'payments', table_options => 'READ_CONTROL,HIDE', /*  ,     */ label_function => 'test.payments_label(:new.region,:new.amount)', /*   ,         insert  update.     */ predicate => NULL);

ईआरपी से भुगतान की प्राप्ति का अनुकरण करते हुए परीक्षण डेटा के साथ तालिका भरें:

छिपा हुआ पाठ

 $ sqlplus test/test insert into payments values(1, '  , ', 'MO', 100000); insert into payments values(2, '  , ', 'MO', 7000); insert into payments values(3, '  , ', 'MO', 100000); insert into payments values(4, '  , ', 'NW', 150000); insert into payments values(5, '  , ', 'NW', 3000);

और हम उपयोगकर्ताओं को अधिकार वितरित करेंगे:

छिपा हुआ पाठ

 -- big boss BEGIN SA_USER_ADMIN.SET_LEVELS ( policy_name => 'payments_pol', user_name => 'big_boss', max_level => 'B'); SA_USER_ADMIN.SET_GROUPS ( policy_name => 'payments_pol', user_name => 'big_boss', read_groups => 'RG'); -- medium boss SA_USER_ADMIN.SET_LEVELS ( policy_name => 'payments_pol', user_name => 'med_boss', max_level => 'M'); SA_USER_ADMIN.SET_GROUPS ( policy_name => 'payments_pol', user_name => 'med_boss', read_groups => 'RG'); -- big boss of MO region SA_USER_ADMIN.SET_LEVELS ( policy_name => 'payments_pol', user_name => 'mo_big_boss', max_level => 'B'); SA_USER_ADMIN.SET_GROUPS ( policy_name => 'payments_pol', user_name => 'mo_big_boss', read_groups => 'MO'); END; /

खैर, अब देखते हैं कि क्या हुआ:

सुनिश्चित करें कि big_boss सभी प्रविष्टियों को देखता है:

 $ sqlplus big_boss/qw SQL> select label_to_char (ols_payments) label, id, cname, amount from test.payments; LABEL ID CNAME AMOUNT ---------- ---------- ------------------------------ ---------- S::MO 3   ,  2000 S::NW 5   ,  3000 M::MO 2   ,  7000 B::MO 1   ,  100000 B::NW 4   ,  150000

हम यह सुनिश्चित करते हैं कि med_boss सभी क्षेत्रों में 10,000 से कम की राशि वाले रिकॉर्ड देखता है:

 sqlplus med_boss/qw SQL> select label_to_char (ols_payments) label, id, cname, amount from test.payments; LABEL ID CNAME AMOUNT ---------- ---------- ------------------------------ ---------- S::MO 3   ,  2000 S::NW 5   ,  3000 M::MO 2   ,  7000

हम यह सुनिश्चित करते हैं कि mo_big_boss किसी भी राशि के साथ रिकॉर्ड करता है, लेकिन केवल मास्को क्षेत्र में:

 $ sqlplus mo_big_boss/qw SQL> select label_to_char (ols_payments) label, id, cname, amount from test.payments; LABEL ID CNAME AMOUNT ---------- ---------- ------------------------------ ---------- S::MO 3   ,  2000 M::MO 2   ,  7000 B::MO 1   ,  100000

पुनश्च। Oracle लेबल सुरक्षा INSERT / DELETE / UPDATE के लिए अभिगम नियंत्रण का समर्थन करता है, लेकिन लेख का आकार आपको हर चीज के बारे में बात करने की अनुमति नहीं देता है। प्रलेखन यहाँ उपलब्ध है ।

Oracle लेबल सुरक्षा। पहले परिचित थे

प्राथमिक अथवा प्रारम्भिक लक्षण

OLS घटक

समस्या का बयान

कार्यान्वयन

More articles: