Palo Security Guide. Commercial Open Source Business Intelligence for Performance Management

Transkript

1 Palo Security Guide Commercial Open Source Business Intelligence for Performance Management

2 Palo Security Guide Deutsch Vladislav Malicevic Dominik Lenz Hendrik Schmieder Dominik Danehl Matthias Krämer Werner Kriehn Stand: 29.März 2010 Copyright 2010 Jedox AG Urheberrechtlich geschützt. Nachdruck inklusive elektronischer Vervielfältigung und inhaltliche Verwertung - auch von Teilen - nur mit ausdrücklicher Zustimmung der Jedox AG. Zuwiderhandlungen werden juristisch verfolgt. Jedox, Worksheet-Server, Supervision Server und Palo sind Warenzeichen bzw. eingetragene Warenzeichen der Jedox AG. Microsoft und Microsoft Excel sind Warenzeichen oder eingetragene Warenzeichen der Microsoft Corporation. Alle anderen Warenzeichen sind im Eigentum der jeweiligen Firmen. Aus Gründen der Lesbarkeit sind Markennamen und Warenzeichen im Text nicht speziell hervorgehoben. Aus dem Fehlen einer entsprechenden Bezeichnung (z.b. TM oder ) darf nicht geschlossen werden, dass der entsprechende Name frei verfügbar sei.

3 Inhaltsverzeichnis 1 Berechtigungskonzepte von Palo OLAP Rechtehierarchie Benutzerverwaltung Standard-Administrator-Konto "admin" Spezielles Palo-Administrator-Konto einrichten Verschlüsselung von Dateien Verschlüsselung von Datenbank-Dateien Weitere Verschlüsselungen von Benutzerdaten Verschlüsselung von ETL Prozessdefinitionen Sichere Kommunikation zwischen Client und Server Sichere Kommunikation über HTTPS Verwendung von Directory Services (LDAP, Windows Active Directory) User Authenticate User Authorize Windows Authentification (Single Sign on) Session Verwaltung von Palo OLAP Beispiel- Skript Supervision Server... 13

4 Berechtigungskonzepte von Palo OLAP -4-1 Berechtigungskonzepte von Palo OLAP Die Benutzerrechte regeln den Zugriff auf Datenbanken, Würfel, Dimensionen und Dimensions- Elemente. Es gibt Benutzer, Benutzergruppen und Rollen. Diese erhalten Rechte in Bezug auf Zelldaten sowie auf ausgewählte System-Operationen. Zu folgenden Bereichen können Rechte erteilt werden. Benutzer (User) Passworte (Password) Gruppen (Group) Datenbanken (Database) Würfel (Cube) Dimensionen (Dimensions) Dimensionselemente (Dimensionelement) Rechte (Rights) Zelldaten (Celldata) System-Operationen (SysOp) Regeln (Rule) SVS Ereignisse (Event Processor) User Info Objekte (User Info) Server gespeicherte Subsets (Subset View) Diese Bereiche werden nachfolgend als Rechteobjekte bezeichnet. Dabei werden die folgenden Zugriffsrechte verwendet. Die Zugriffsrechte sind hierarchisch angeordnet. Höhere Rechte beinhalten somit die untergeordneten Rechte. 2 Rechtehierarchie Die Rechte sind hierarchisch wie folgt definiert: S (splash): Existiert nur für das Rechteobjekt Zelldaten. Umfasst das Schreiben von konsolidierten Zellen und (indirekt) deren Kinder bis auf die unterste Ebene. D (delete): Erlaubt das Löschen von Rechteobjekten. W (write): Erlaubt das Schreiben von Rechteobjekten. R (read): Erlaubt das Lesen von Rechteobjekten. N (none): Keine Art von Zugriff gestattet. Höhere Rechte beinhalten automatisch die untergeordneten Rechte. Das höchste Zugriffsrecht wird durch Splash ausgedrückt, aber es bezieht sich lediglich auf die Zelldaten. Für alle anderen Rechteobjekte ist delete das höchste Zugriffsrecht. Die Hierarchie ist demnach splash, delete, write, read und none. Da für den Palo OLAP Server leere Zellen gleichbedeutend mit nicht-existenten Zellen sind, ist das Recht delete gleichbedeutend mit dem Recht, den Wert 0 in eine Zelle zu schreiben. D.h., dass nur User mit dem delete -Recht auf eine Zelle den Wert 0 schreiben können. Wenn kein Recht explizit definiert ist dann bestehen für das entsprechende Objekt die maximal möglichen Rechte.

5 3 Benutzerverwaltung Benutzerverwaltung -5- Benutzer, Gruppen und Rollen werden datenbankübergreifend verwaltet. Diese Informationen haben für alle Datenbanken Gültigkeit. Palo speichert Benutzer, Gruppen und Passwörter in der Palo OLAP Systemdatenbank. Diese von der Systemdatenbank erteilten Rechte können für jede einzelne Datenbank weiter eingeschränkt (aber nicht erweitert!) werden. Somit können die Systemwürfel in zwei Kategorien unterteilt werden: Die Systemwürfel in der Systemdatenbank erteilen allgemein die Rechte für alle vom PALO Server Service verwalteten Datenbanken (allgemeine Rechte = Rollenbereich). Die Systemwürfel in der jeweiligen Datenbank können weitere Einschränkungen der Zugriffsrechte für genau diese Datenbank vornehmen (einzelne Datenbankrechte = Datenbereich). Mit dem Programm Palo OLAP können Zugriffe auf eine Palo Datenbank nur mit Hilfe eines gültigen Logins erfolgen. Diese Logins müssen entsprechend durch Passwörter geschützt werden. Die Palo Datenbanken liegen als spezielle CSV Dateien im Palo Data Verzeichnis. Um einen ungewollten Zugriff auf diese Dateien zu vermeiden sollte dieses Verzeichnis mit Hilfe der im Betriebssystem vorhandenen Sicherheitseinschränkungen und Verschlüsselungs-Algorithmen geschützt werden. Standardmäßig wird das Passwort für den Benutzer "admin" sowie für alle anderen Benutzer unverschlüsselt in Textform in der Systemdatenbank im cube "# _USER_USER_PROPERTIES" gespeichert. Dieser cube entspricht der Datei database_cube_0.csv. Jeder, der Lese- bzw. Schreib- Rechte auf dieser Datei hat, kann dessen Inhalt lesen bzw. ändern. Deshalb ist es notwendig, diese Systemdatenbank entsprechend zu schützen. Vom Benutzer "admin" eingerichtete Palo Nutzer werden zurzeit nicht automatisch zum Ändern des Passworts veranlasst. 3.1 Standard-Administrator-Konto "admin" Der Palo MOLAP-Server wird mit dem vordefinierten Administrator-Benutzer "admin" ausgeliefert. Standard-Passwort für den "admin" Benutzer ist "admin". Bitte ändern Sie als Benutzer "admin" Ihr Passwort zunächst in ein sicheres Passwort bevor Sie sich den weiteren Administratoraufgaben zuwenden. Alternativ können Sie den Palo Supervision Server verwenden um Anmeldeinformationen von einem Directory Service (z.b. dem Windows Active Directory) zu holen. 3.2 Spezielles Palo-Administrator-Konto einrichten Das Standard Palo Server Setup installiert den Palo Service als Systemdienst. Für die Palo-Installation benötigen Sie Administratorrechte. Es ist aber auch möglich, ein spezielles Palo-Administrator-Konto ("palorunner") mit eigenen/reduzierten Administrator-Rechten einzurichten. Der Vorteil dieses Vorgehens ist, dass der Palo-Administrator "palorunner" nicht alle Administrator- Rechte erhaltenn muss und Windows Server 2008 es ermöglicht, den allgemeinen System-Administrator vom Zugang zu den Palo-Datenbanken auszuschließen und somit ist es möglich, dem Palo- Administrator als einzigem Konto den Zugang zu den Palo-Datenbank-Dateien zu ermöglichen.

6 Benutzerverwaltung -6- Um ein spezielles Palo-Administrator-Konto ("palorunner") einzurichten gehen Sie wie folgt vor: 1. Erstellen Sie ein Konto mit Administrator-Rechten (z.b. palorunner) 2. Melden Sie sich als palorunner an. 3. Erstellen Sie ein eigenes Verzeichnis für die Palo-Installation (z.b. C:\palo). 4. Vergeben Sie die Benutzerrechte und RW-Rechte von diesem Verzeichnis C:\palo nur an den Benutzer "palorunner".

7 Benutzerverwaltung Installieren Sie dann Palo in dem Verzeichnis C:\Palo. 6. Bevor Sie auf "Fertigstellen" im letzten Installationsdialog klicken öffnen Sie dann bitte die Dienste (Start Ausführen: services.msc) und klicken mit rechts auf Palo Server Service. Wählen Sie im Kontextmenü Eigenschaften und dann die Registerkarte Anmelden. Wählen Sie "palorunner" als Benutzer anstelle des Systems eins. Geben Sie das Passwort ein und klicken Sie dann auf Aktivieren. An dieser Stelle kann als weitere Sicherheitsmaßnahme eine Datenverschlüsselung (siehe Kap. 4) vorgenommen werden. 7. Beenden Sie das Palo-Setup. 8. Melden Sie sich als Benutzer palorunner ab. 9. Melden Sie sich als Administrator an und verringern Sie die Rechte des Benutzers palorunner. Stellen Sie sicher, dass der Benutzer "palorunner" noch ausreichend Rechte hat um den Palo-Service zu starten und zu stoppen.

8 4 Verschlüsselung von Dateien Verschlüsselung von Dateien Verschlüsselung von Datenbank-Dateien Neben den in Kap. 3.2 beschriebenen Schritten kann man einen weiteren Schritt zwischen den Punkten 6) und 7) hinzufügen. Dieser Schritt findet an dieser Stelle statt, weil danach die Rechte für den Palo- Administrator reduziert werden. In diesem Schritt führen wir eine EFS-Verschlüsselung des Daten- Verzeichnisses durch (EFS = Encrypting File System). Klicken Sie im Windows Explorer mit rechts auf das Verzeichnis C:\palo und starten im Kontextmenü den Befehl "Eigenschaften". Klicken Sie auf den Schalter "Erweitert " und aktivieren Sie "Inhalt verschlüsseln, um Daten zu schützen": Nach dem Klick auf OK sind alle Dateien unter C:\Palo\data verschlüsselt, insbesondere die Datei database_cube_0.csv der Systemdatenbank mit den Benutzern und den Passwörtern:

9 Verschlüsselung von Dateien -9- Sie können den Zugriff auf bestimmte Dateien (z. B. palo.ini und palo.ini.sample) auf weitere Benutzer ausdehnen, indem Sie sie in die Liste der Benutzer, die Zugriff auf diese Dateien haben, eintragen. Weitere Informationen zu EFS finden Sie unter: Jetzt fahren Sie bitte mit Punkt 7 von Kap. 3.2 fort. Nach Durchführung aller Schritte ist der Inhalt des Verzeichnisses C:\palo nur noch für den Benutzer palorunner und den Administrator zugänglich. Unter Windows Server 2008 nur noch für palorunner. 4.2 Weitere Verschlüsselungen von Benutzerdaten Palo ETL kann Verbindungen zu Palo Datenbanken in den ETL Skripten speichern. Hier werden die Passwörter mittels MD5 verschlüsselt und sind somit vor Missbrauch geschützt. Palo ETL verschlüsselt das Passwort sofort nach der Eingabe in die Textbox, die ebenfalls das Passwort als * darstellt. Somit wird niemals ein Passwort ohne Verschlüsselung abgelegt. Die Übertragung des Passworts erfolgt in verschlüsselter Form. Lokale Nutzerdaten des Palo Client (z.b. Excel) können auf Wunsch lokal gespeichert werden um eine automatische Anmeldung erreichen. Dazu werden Benutzername und Passwort in der Windows System Registry gespeichert. Das Benutzerpasswort wird verschlüsselt gespeichert.

10 Verschlüsselung von Dateien Verschlüsselung von ETL Prozessdefinitionen Es ist möglich, die komplette ETL-Prozess-Definitions-Datei repository.xml zu verschlüsseln, so dass externe Benutzer nicht die ETL-Definitionen für Verbindungen, Extrakte, Transforms und Loads lesen können. Dazu muss die ETL-Server-Konfigurationsdatei config.xml geändert werden. Standardmäßig befindet sie sich im Ordner C:\Programme\Jedox\PaloSuite\tomcat\webapps\etlserver\config. Der Parameter "repositoryencryption" wird auf "true" gesetzt und anschließend wird der Palo Tomcat Dienst neu gestartet. Diese Option ist für Palo Partner sehr nützlich zur Entwicklung ihrer eigenen ETL-Prozesse. So kann z.b. ein Partner mit detaillierten Kenntnissen ein konkretes ERP-System mit automatisierten Extraktionen und Ladevorgängen für Palo ETL erstellen. Durch die Verschlüsselung der ETL-Datei kann das Wissen (oder das geistige Eigentum) gesichert werden.

11 Sichere Kommunikation zwischen Client und Server Sichere Kommunikation zwischen Client und Server Der Palo OLAP Server wird von Clients wie ein Web Server angesprochen. Die Passwörter werden standardmäßig mit MD5 verschlüsselt über das HTTP Protokoll vom Client (Palo Excel oder Palo Web) an Palo OLAP übertragen. Andere Daten werden über HTTP unverschlüsselt als CSV Mitteilungen übertragen. Wenn diese Mitteilungen zwischen Client und Server weder auf einer von außen abgeschirmten Maschine stattfinden noch über einen sicheren Tunnel (z. B. VPN-Tunnel) vorgenommen werden, dann gibt es ein Sicherheitsrisiko bei der Datenübertragung. 5.1 Sichere Kommunikation über HTTPS Palo MOLAP Server unterstützt die Kommunikation über HTTPS, d.h. mit SSL kann die HTTP Kommunikation zwischen Client und Server ab der Palo-Version 2.5 verschlüsselt werden. Diese Funktion wird mit dem Standard-Setup nicht installiert. Die Unterstützung von HTTPS ist standardmäßig noch ausgeschaltet. Ab Release 3.1 wird HTTPS für den Client standardmäßig aktiviert werden (Palo 3.1 ist für den geplant). Mit folgenden Schritten kann die HTTPS-Unterstützung für Versionen vor 3.1 eingeschaltet werden: Serverseitig: Clientseitig: 1. Sie benötigen entweder ein Zertifikat für die IP-Adresse oder den DNS-Namen der Maschine, auf der der Palo MOLAP-Server installiert ist. 2. Erstellen Sie ein Verzeichnis "Module" im Palo-Server-Verzeichnis und legen die Datei "palohttps.dll" dort ab (nur Windows). 3. Legen Sie das Server- und Rootca-Zertifikat in den data-ordner. 4. Fügen Sie in der Ini-Datei die Schlüsseldateieinträge <ca> <private> <diffie-hellman> hinzu, (siehe palo.ini.sample). 5. Fügen Sie schließlich einen http-eintrag und genau einen https-eintrag in der Ini-Datei hinzu. 6. Fügen Sie der Ini-Datei die erforderliche Verschlüsselung hinzu. 7. Erstellen Sie ein Verzeichnis "cert" im Palo-Client-Installationsverzeichnis und legen Sie die Datei "client.pem" dort an. Diese Datei enthält alle ca-zertifikate, denen Sie vertrauen. Der Inhalt dieser Dateien sieht folgendermaßen aus: -----BEGIN CERTIFICATE----- <certicate for ca 1> -----END CERTIFICATE BEGIN CERTIFICATE----- <certicate for ca 2> -----END CERTIFICATE----- Wichtig: Diese Datei muss das ca-zertifikat des verwendeten Server-Zertifikates enthalten. 8. Beim Excel-Addin verwenden Sie für die Verbindung zum Server entweder die IP-Adresse oder den DSN-Namen (abhängig vom Server-Zertifikat) und einen HTTP-Port. Der Client verwendet automatisch HTTPS, wenn die erforderlichen Bedingungen erfüllt sind.

12 Verwendung von Directory Services (LDAP, Windows Active Directory) Verwendung von Directory Services (LDAP, Windows Active Directory) Palo kann für die Authentifizierung eines Benutzers auch externe Verzeichnisdienste wie Microsoft Active Directory Services oder andere LDAP Verzeichnisdienste verwenden. Dazu muss Palo OLAP entsprechend mit Palo Supervision Server eingerichtet sein. Der Palo Supervision Server dient dazu, Aktionen im Palo OLAP Server zu überwachen. Wird eine Aktion wie z.b. das Anmelden eines Benutzers überwacht, dann können über ein PHP Skript weitere gewünschte Aktionen durchgeführt werden. Bei der Benutzeranmeldung werden die zwei folgenden Supervisions-Aktionen verwendet: 6.1 User Authenticate Wird dieses Event überwacht, dann wird die vom Client übermittelte Benutzer/Passwort Kombination nicht von Palo selbst authentifiziert, sondern vom Supervision Server an den eingerichteten Directory Service weitergeleitet. Dieser authentifiziert den Benutzer und bei Erfolg kann dieser mit Palo arbeiten. Die Berechtigungen (Autorisierung) werden weiterhin in Palo gepflegt. Der Benutzer muss sowohl im Directory Service als auch in Palo gepflegt werden. Gruppen des Benutzers werden in Palo gepflegt. 6.2 User Authorize Zusätzlich zur Authentifizierung eines Benutzers werden bei diesem Event auch die Gruppen des Benutzers dem Directory Service zurückgeliefert. Vorteil hierbei ist, dass der Benutzer nicht zwingend in Palo angelegt sein muss. Die Autorisierung erfolgt entsprechend nur auf Gruppenebene. In Palo selbst müssen nur noch die Gruppen sowie ihre Zuordnung zu Rollen gepflegt werden. Wird ein Benutzer im Directory Service gelöscht oder anderen Gruppen zugewiesen, muss keine weitere Aktion in Palo erfolgen. Auch neue Benutzer können so einfach und zentral hinzugefügt werden. Nur wenn im Directory Service Gruppen gelöscht oder umbenannt werden, muss in Palo die Gruppe entsprechend angepasst werden. Ein Beispielskript ist im Anhang sowie im Sample-Ordner einer SVS Installation zu finden. 7 Windows Authentifizierung (Single Sign on) Eine weitere Möglichkeit zur Anmeldung bietet die integrierte Windows Anmeldung (Windows Authentifizierung). Der am Microsoft Windows System angemeldete Benutzer wird ohne weitere Abfrage von Benutzerdaten beim Anmelden direkt mit Palo OLAP verbunden. Um die Windows Authentifizierung zu verwenden muss die Palo Datenbankverbindung im Palo Datenbank Manager entsprechend konfiguriert werden. Bitte selektieren Sie dazu im Server Dialog die Option Use Windows Authentication. Bei der Autorisierung können wieder die zwei zur Verfügung stehenden Supervision Server Events überwacht werden. (Siehe Verwendung von Directory Services)

13 Session Verwaltung von Palo OLAP Session Verwaltung von Palo OLAP Jede neue Anmeldung an Palo OLAP erzeugt auf der Datenbank eine neue Session. Palo verwendet hierfür 4 stellige Session IDs. Eine Gültigkeitsdauer ist konfigurierbar. Standardwert ist 3600 Sekunden (eine Stunde). Die Konfiguration von Palo kann in der Datei palo.ini geändert werden. Diese befindet sich in dem Daten-Verzeichnis von Palo (standardmäßig C:\Programme\Jedox\Palo\data). In diesem Verzeichnis ist auch eine Beispieldatei, die palo.ini.sample, abgelegt, die ebenfalls die verfügbaren Parameter kurz beschreibt. Eine genaue Beschreibung der Palo Ini und aller Parameter ist im Palo OLAP Handbuch in Absatz 2.5 zu finden. 9 Beispiel- Skript Supervision Server <?php /** * Sample showing how event handlers shall be implemented by the user * Dominik Danehl <dominik.danehl@jedox.com> SupervisionServer User defined */ /** * SEPEventHandler class * * Implements the event handler class. Must extend SEPEventHandlerBase. (sample) * SupervisionServer User defined public SEPEventHandlerBase */ class SEPEventHandler extends SEPEventHandlerBase { public function OnUserLogin($username) { // void sep_log("<< User logged in: $username >>"); public function OnUserLogout($username) { // void sep_log("<< User logged out: $username >>"); public function OnUserAuthenticate($username, $password) { // bool sep_log("<< User authenticate >>"); // LDAP Adminuser $adminuser = "myuser"; $adminpass = "mypass"; // LDAP Server $servername = "sql2005.palotest.jedox.internal"; $serverport = 389; $serverversion = 3; // connect to LDAP $conn = ldap_connect( $servername, $serverport ); ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, $serverversion); ldap_set_option($conn, LDAP_OPT_REFERRALS, 0);

14 Beispiel- Skript Supervision Server -14- // bind to LDAP server $oldapbind = ldap_bind( $conn, $adminuser, $adminpass ); if(!$oldapbind) { sep_log('unable to bind to LDAP Server'); return false; // get username and DC $tmp = explode('@', $username); $username = $tmp[0]; $dc = explode('.', $tmp[1]); // find the requested user $sldapfilter = 'CN='.$username; $sbasedn = 'CN=Users,DC='.$dc[0].',DC='.$dc[1].',DC='.$dc[2]; $oldapsearch = ldap_search($conn, $sbasedn, $sldapfilter); if ($oldapsearch === false) { sep_log('error searching LDAP Server'); return false; // get the list of entries $oldapresult = ldap_get_entries($conn, $oldapsearch); // if getting entries failed then notify user if ($oldapresult === false) { sep_log('error getting entries from LDAP Server'); return false; // get all groups if user is ok if (ldap_count_entries($conn, $oldapsearch) == 1) { $ogroupsresult = $oldapresult[0]['memberof']; $agroups = array(); $tmp = explode(",", $ogroupsresult[0]); foreach($tmp as $key=>$value) { $agroup[] = substr($value, strpos($value, '=')+1); return true; else { sep_error('cannot find user'); return false; public function OnUserAuthorize($username, $password, array& $groups) {// bool sep_log("<< User authorize >>"); // LDAP Adminuser $adminuser = "myuser"; $adminpass = "mypass"; // LDAP Server $servername = "sql2005.palotest.jedox.internal";

15 Beispiel- Skript Supervision Server -15- $serverport = 389; $serverversion = 3; // connect to LDAP $conn = ldap_connect( $servername, $serverport ); ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, $serverversion); ldap_set_option($conn, LDAP_OPT_REFERRALS, 0); // bind to LDAP server $oldapbind = ldap_bind( $conn, $adminuser, $adminpass ); if(!$oldapbind) { sep_log('unable to bind to LDAP Server'); return false; // get username and DC $tmp = explode('@', $username); $username = $tmp[0]; $dc = explode('.', $tmp[1]); // find the requested user $sldapfilter = 'CN='.$username; $sbasedn = 'CN=Users,DC='.$dc[0].',DC='.$dc[1].',DC='.$dc[2]; $oldapsearch = ldap_search($conn, $sbasedn, $sldapfilter); if ($oldapsearch === false) { sep_log('error searching LDAP Server'); return false; // get the list of entries $oldapresult = ldap_get_entries($conn, $oldapsearch); // if getting entries failed then notify user if ($oldapresult === false) { sep_log('error getting entries from LDAP Server'); return false; // get all groups if user is ok if (ldap_count_entries($conn, $oldapsearch) == 1) { $ogroupsresult = $oldapresult[0]['memberof']; $tmp = explode(",", $ogroupsresult[0]); foreach($tmp as $key=>$value) { $groups[] = substr($value, strpos($value, '=')+1); return true; else { sep_error('cannot find user'); return false; public function OnServerShutdown() {// void sep_log("<< Server shutdown handler >>"); public function OnDatabaseSaved($database) { // void sep_log("<< Databased saved : $database >>");

16 Beispiel- Skript Supervision Server -16- public function OnTermination() { // void sep_log("<< Termination handler >>"); public function OnCellChange($database, $cube) { // void sep_log("<< Get triggering area >>"); public function OnDrillThrough( $database, $cube, $mode, $arg ) { // string sep_log("<< OnDrillThrough >>"); return "not implemented;\r\n"; ]