Mandantenfähigkeit von Daten mit Oracle FGAC Axel Kraft

Transkript

1 Mandantenfähigkeit von Daten mit Oracle FGAC Axel Kraft BASEL BERN BRUGG DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MÜNCHEN STUTTGART WIEN ZÜRICH

2 Unser Unternehmen. Trivadis ist führend bei der IT-Beratung, der Systemintegration, dem Solution Engineering und der Erbringung von IT-Services mit Fokussierung auf - und -Technologien in der Schweiz, Deutschland, Österreich und Dänemark. Trivadis erbringt ihre Leistungen aus den strategischen Geschäftsfeldern: B E T R I E B Trivadis Services übernimmt den korrespondierenden Betrieb Ihrer IT Systeme

3 Mit über 600 IT- und Fachexperten bei Ihnen vor Ort. KOPENHAGEN HAMBURG 14 Trivadis Niederlassungen mit über 600 Mitarbeitenden. Über 200 Service Level Agreements. Mehr als 4'000 Trainingsteilnehmer. DÜSSELDORF Forschungs- und Entwicklungsbudget: CHF 5.0 Mio. / EUR 4.0 Mio. FRANKFURT Finanziell unabhängig und nachhaltig profitabel. GENF BASEL BERN LAUSANNE FREIBURG BRUGG ZÜRICH STUTTGART MÜNCHEN WIEN Erfahrung aus mehr als 1'900 Projekten pro Jahr bei über 800 Kunden

4 Axel Kraft Senior Consultant IMS Seit 1990 im IT-Bereich tätig Seit 2012 bei der Trivadis GmbH in Stuttgart IT Erfahrung Consultant für Oracle Datenbank Administration und Oracle Datenbank Security Lösungen Administration von komplexen und heterogenen Oracle Datenbank Umgebungen Spezialgebiet Oracle Datenbankbetrieb und Security Standardisierung Oracle Datenbankbetrieb Oracle Backup & Recovery Skills Oracle Backup & Recovery Oracle Database Security Oracle Advanced Security Audit Vault und Database Firewall, Database Vault Oracle Database Administration

5 Technik allein bringt Sie nicht weiter. Man muss wissen, wie man sie richtig nutzt

6 Agenda 1. Einleitung 2. Application Context, Application User 3. Policy 4. Policy Types 5. Policy Group 6. Policy Check 7. Policy Statement Types 8. New Features 9. Tablespace Partitioning 10. Oracle FGAC und andere Oracle Features 11. Pro und Contra

7 Einleitung

8 Einleitung Wie kann man Mandantenfähigkeit von Daten innerhalb eines Schemas in einer Datenbank erreichen? Lösungsansatz: Bereitstellung eines selektiven Zugriffs auf Spalten und Zeilen einer Tabelle Zugriff durch Policies und Prozeduren, die dynamisch Prädikate an Abfragen hinzufügen Applikationskontexte, oder eine Global Temporary Table (GTT) stellt die geeigneten Sitzungseigenschaften (Session Properties) bereit. Einschränkung Multitanent Umgebung: Policies können nicht PDB übergreifend verwendet werden

9 Einleitung Herausforderungen Identifikation des wirklichen Applikationsbenutzers auf Datenbankebene Implementierung des wirklichen Applikationsbenutzers in Policies Partitionierung der Daten Performance

10 Application Context Application User

11 Application Context, Application User Ein Application Context besteht aus Variablen die im Arbeitsspeicher der Datenbank angelegt werden. Ein Application Context kann lokal (Arbeitsbereich des Anwenders (UGA) ) oder global (Arbeitsbereich der Datenbank (SGA) ) angelegt sein. Ein Application Context wird mit der Oracle Virtual Private Database verwendet. Oracle Virtual Private Database ist auch als Fine Grained Access Control bekannt

12 Application Context, Application User Local Application Context SQL> CREATE OR REPLACE CONTEXT sess_ctx USING fgacdemo.pkg_sess_ctx; Global Application Context SQL> CREATE OR REPLACE CONTEXT sess_ctx USING fgacdemo.pkg_sess_ctx ACCESSED GLOBALLY;

13 Application Context, Application User Oracle PL/SQL-Funktion SYS_CONTEXT Diese Funktion stellt Informationen über die Umgebung der Session bereit SELECT SYS_CONTEXT('USERENV','SESSION_USER') FROM DUAL; SYS_CONTEXT('USERENV','SESSION_USER') FGACDEMO SELECT SYS_CONTEXT('USERENV','NLS_DATE_FORMAT') FROM DUAL; SYS_CONTEXT('USERENV','NLS_DATE_FORMAT') DD.MM.YYYY HH24:MI:SS

14 Application Context, Application User Benutzer ist der Datenbank bekannt. connect SELECT SYS_CONTEXT('USERENV','SESSION_USER') FROM DUAL; SYS_CONTEXT('USERENV','SESSION_USER') AXKRAFT Proxy-User connect SELECT SYS_CONTEXT('USERENV', PROXY_USER') FROM DUAL; SYS_CONTEXT('USERENV' PROXY_USER') AXKRAFT

15 Application Context, Application User Benutzer wird durch Applikation gesetzt. connect Connected. EXECUTE DBMS_SESSION.SET_IDENTIFIER('AXKRAFT'); PL/SQL procedure successfully completed. SELECT SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER') FROM DUAL; SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER') AXKRAFT

16 Policy

17 Policy Eine Policy wird auf eine Tabelle angewendet Eine Policy kann die Zeilenauswahl einschränken die Spaltenauswahl einschränken (Nur für SELECT möglich.) Die Zeilenauswahl wird mit einer Policy Function bestimmt, indem ein Prädikat als WHERE-Klausel als Rückgabewert bestimmt wird. Die Spaltenauswahl wird mit einer Policy Function bestimmt, indem der Rückgabewert ein boolscher Wert ist. (TRUE oder FALSE) Eine Policy wird immer der SYS_DEFAULT Policy Group zugeordnet und ist immer aktiv wenn sie eingeschaltet ist. Es sind mehrere Policy-Funktionen für die selbe Aktion erlaubt

18 Policy Zeilen Policy Steuert den Zugriff auf die Tabelle PROJECTS SQL> EXECUTE dbms_rls.add_policy(object_name=>'projects', - policy_name=>'check_sel', - policy_function =>'projects_row_sec', - statement_types=>'select');

19 Policy Policy Function, die ein Prädikat verwendet CREATE OR REPLACE FUNCTION projects_row_sec (owner VARCHAR2, objname VARCHAR2) RETURN VARCHAR2 IS empid emp.emp_id%type; BEGIN IF sys_context('userenv', 'client_identifier') NOT IN ('SYS', 'SYSTEM', 'FGACDEMO') THEN SELECT emp_id INTO empid FROM emp WHERE upper(last_name) = UPPER(sys_context('userenv', 'client_identifier')); RETURN 'project_id in (select project_id from emp_projects where emp_id =' empid ')'; END IF; END projects_row_sec;

20 Policy Spalten Policy Steuert den Zugriff auf die Spalte PROJECT_VALUE der Tabelle PROJECTS DBMS_RLS.ALL_ROWS, zeigt Zeile an, aber mit NULL für die zu schützende Spalte. SQL> EXECUTE dbms_rls.add_policy(object_name=>'projects', - policy_name=>'check_pv', - policy_function =>'projects_sec_pv', - statement_types=>'select', - sec_relevant_cols=>'project_value', - sec_relevant_cols_opt => DBMS_RLS.ALL_ROWS);

21 Policy Policy Function, die den Zugriff auf eine Spalte aktiviert/deaktiviert CREATE OR REPLACE FUNCTION projects_sec_pv (owner VARCHAR2, objname VARCHAR2) RETURN VARCHAR2 IS BEGIN IF sys_context('userenv', 'client_identifier') = 'AXKRAFT' THEN RETURN '1=1'; ELSE RETURN '1=2'; END IF; END projects_sec_pv; /

22 Policy Types

23 Policy Types Policy Typ DYNAMIC STATIC SHARED_STATIC Ausführung der Policy Policy Funktion wird bei jedem Zugriff auf ein geschütztes Objekt ausgeführt. (Default.) Einmalige Ausführung. Prädikat wird in der SGA zwischen gespeichert. Annahme: Prädikat ist für jeden der auf das Objekt zugreift dasselbe. Wie STATIC. Jedoch wird die gleiche Policy/Policy Function auf mindestens ein weiteres Datenbankobjekt angewendet. STATIC oder SHARED_STATIC Policies sind ideal für Umgebungen, bei der die Abfragen immer das selbe Prädikat brauchen und die performant sein sollen

24 Policy Types Policy Typ CONTEXT_SENSITIVE SHARED_CONTEXT_SENSITIVE Ausführung der Policy Das Prädikat wird nicht zwischen gespeichert. Die Datenbank nimmt an, dass sich das Prädikat nach dem Statement-Parsen ändert. Bei Nicht- Änderung eines Application Context erfolgt keine Re-Execution der Policy Function. [1] Wie CONTEXT_SENSITIVE. Jedoch wird die gleiche Policy/Policy Function auf mindestens ein weiteres Datenbankobjekt angewendet. [1] Bei Änderung eines Attributes im Context, auch wenn die aktuelle Policy nicht betroffen ist, wird die Policy nochmals ausgeführt. Gilt bis Oracle 11g. Lösung Oracle 12c

25 Policy Group

26 Policy Group Eine Policy Group ist ein Set von Policies, die zu einer Applikation gehören. Durch einen Application Context wird bestimmt, welche Policies aktiv sind. wird als Driving Context bezeichnet. Eine Policy Group ist sinnvoll, wenn sich verschiedene Applikationen mehrere Policies auf die gleiche Tabelle teilen. Eine Policy Group kann in der SYS_DEFAULT Group definiert sein. (Immer aktiv). Jedes Datenbankobjekt hat seine eigene SYS_DEFAULT Group

27 Policy Group SQL> BEGIN - Policy Group erstellen dbms_rls.create_policy_group(object_schema => USER, object_name => 'projects', policy_group => 'group_select'); END; SQL> BEGIN - Policy der Policy Group zuweisen dbms_rls.add_grouped_policy(object_schema => USER, - object_name => 'projects', - policy_group => 'group_select', - policy_name => 'projects_select', - function_schema => USER, - policy_function=> 'fgacdemo_security.projects_sec', - statement_types => 'SELECT'); END;

28 Policy Group SQL> BEGIN - Policy der Policy Group zuweisen dbms_rls.add_grouped_policy(object_schema => USER, - object_name => 'emp_address', - policy_group => 'group_select', - policy_name => 'emp_address_select', - function_schema => USER, - policy_function=> 'fgacdemo_security.emp_address_sec', - statement_types => 'SELECT'); END;

29 Policy Group Policy Function CREATE OR REPLACE PACKAGE BODY fgacdemo_security IS FUNCTION projects_sec (owner VARCHAR2, objname VARCHAR2) RETURN VARCHAR2 IS predicate VARCHAR2(2000); BEGIN IF sys_context('userenv', 'client_identifier') IS NOT NULL THEN predicate := 'project_id in (select project_id from emp_projects where emp_id = sys_context(''projects_ctx'', ''emp_id''))'; END IF; RETURN predicate; END projects_sec;

30 Policy Group Application Context (Driving Application Context) SQL> CREATE OR REPLACE CONTEXT projects_ctx USING fgacdemo.pkg_projects_ctx; SQL> BEGIN DBMS_RLS.ADD_POLICY_CONTEXT(object_schema=> USER, - object_name=>'projects', - namespace=>'projects_ctx', - attribute=>'activate_select'); END; # Application Context setzen. PL/SQL-Procedur z.b. durch LOGON-Trigger BEGIN... DBMS_SESSION.SET_CONTEXT('projects_ctx','ACTIVATE_SELECT','GROUP_SELECT');... END;

31 Policy Check

32 Policy Check Dynamischer View: V$VPD_POLICY SELECT object_name, policy, predicate FROM v$vpd_policy WHERE object_owner = 'FGAACDEMO' AND sql_id = 'dcthaywgmzra7'; OBJECT_NAME POLICY PREDICATE PROJECTS FILTER_PROJECT_VALUE PROJECTS PROJECTS_SELECT project_id in (select project_id from emp_projects where emp_id = sys_context('projects_ctx','emp_id')) PROJECTS FILTER_PROJECT_VALUE 1=

33 Policy Statement Types

34 Policy Statement Types Eine Policy/Policy Group kann auf folgende Statement Typen angewendet werden. SELECT, INSERT, UPDATE, DELETE, INDEX Ohne Angabe eines Statement Types in der Policy gilt die Policy für alle oben genannten Typen außer INDEX. Der Statement Type INDEX bedeutet, dass Policies bei der Verwaltung von Indexes geschützt werden. ORA-28133: full table access is restricted by fine-grained security

35 Policy Statement Types Beim Erzeugen eines Function-Based-Index übergibt Oracle alle Werte der Tabelle in die Funktion. SQL> CREATE TABLE hack_emp(last_name varchar2(30)) TABLESPACE users; SQL> CREATE OR REPLACE FUNCTION hack_policy (pemp_id IN NUMBER) RETURN VARCHAR2 DETERMINISTIC IS p_emp_id BEGIN NUMBER; SELECT last_name INTO p_last_name FROM emp WHERE emp_id = pemp_id; INSERT INTO hack_emp VALUES (p_last_name); RETURN p_last_name; END hack_policy; / SQL> CREATE INDEX f_hack_policy ON emp (hack_policy (emp_id));

36 New Features

37 New Features DBMS_RLS.ADD_GROUPED_POLICY Neue Parameter DBMS_RLS.ALTER_GROUP_POLICY Nur für Typ CONTEXT_SENSITIVE, SHARED_CONTEXT_SENSITIVE DBMS_RLS.ALTER_POLICY Nur für Typ CONTEXT_SENSITIVE, SHARED_CONTEXT_SENSITIVE

38 New Features NAMESPACE, ATTRIBUTE Policy Type muss CONTEXT_SENSITIVE oder SHARED_ CONTEXT_SENSITIVE sein. Verhindert, dass die Policy Funktion bei einem beliebigen Attribute Change ausgeführt wird. SQL> BEGIN dbms_rls.add_grouped_policy(object_schema => USER, - object_name => 'projects', - policy_group => 'group_select', - namespace => 'PROJECTS_CTX', - attribute => 'ACTIVATE_SELECT');); END;

39 Tablespace Partitioning

40 Tablespace Partitioning Bei grossen Datenmengen ist eine physikalische Partitionierung der Daten sinnvoll. Kriterien für die Partitionierung können z.b. Mandanten sein, die den Application Context steuern

41 Oracle FGAC und andere Features

42 Oracle FGAC und andere Oracle Features Edition-Based Redefinition Die Policies müssen am Editioning View angehängt sein. SELECT FOR UPDATE Kein FOR UPDATE Clause sollte benutzt werden. Kann funktionieren oder auch nicht. OUTER-JOIN Da FGAC SQL-Statements verändert, kann es sein dass bestimmte Indexe nicht benutzt werden. (Performance Problem) Flashback Query Die aktuellen Policies werden auch auf die alten Daten angewendet

43 Oracle FGAC und andere Oracle Features Label Security FGAC kann mit Label Security zusammen verwendet werden. Exportieren von Daten Einschränkungen wenn nicht EXEMPT ACCESS POLICY Systemprivileg verwendet wird. EXP_FULL_DATABASE Role enthält EXEMPT ACCESS POLICY Systemprivileg

44 Pro und Contra