RAS 12c vs. VPD als Security Layer für das DWH

Transkript

1 RAS 12c vs. VPD als Security Layer für das DWH Bertrand Caradec, CGI Deutschland , DOAG Konferenz, Nürnberg CGI Group Inc.

2 Referent: Bertrand Caradec Senior Consultant bei CGI Deutschland (Frankfurt) Dipl. Ing. Informatik 10 Jahre Berufserfahrung BI, DWH, ETL, Reporting Oracle (DB, PL/SQL, Java, Apex) IBM Cognos BI Oracle Certified Expert Apex Oracle Certified Professional Advanced PL/SQL Sun Certified Java Programmer Cognos Professional Designer

3 Weltweit zuhause: Das Unternehmen CGI Erstklassige Business- und IT-Beratung Service für über Kunden von weltweit über 400 Standorten Über 100 führende IP-basierte Lösungen CGI ist der weltweit End-to-End IT- und Geschäftsprozess- Dienstleistungen Mitarbeiter in DE 10 Mrd. CAD$ Jahresumsatz fünftgrößte Fokussiertes Branchen- und Themen- Know-how 40 Jahre erfolgreiche Partnerschaft mit unseren Kunden Kundennähe in Kombination mit unserem globalen Delivery-Netzwerk unabhängige Anbieter von IT- & Geschäftsprozess- Dienstleistungen 3

4 Business Intelligence: Unser deutsches Team 150 Mitarbeiter in DE 4.000weltweit 2 Mitarbeiter Hamburg Erfahrenes Beraterteam mit tiefem fachlichen Verständnis & langjähriger Erfahrung in komplexen Projekten Immer die aktuellen Trends im Auge: z.b. Agile BI, Big Data, Multi Device BI, In-Memory Vertrauensvoller Partner für u.a. für Dt. Telekom, Dt. Bahn, Vodafone, KION, MAN, 1&1, EZB, Gothaer & buch.de Umfassende BI Betreuung BI Strategie, BI Methoden & Prozesse, Audits & Reviews, Organisation- und BICC, Architektur, ETL-, DWH-, Reporting-Implementierung 50 Mitarbeiter Düsseldorf Köln/Bonn Bremen 10 Mitarbeiter 64 Mitarbeiter 10 Mitarbeiter Frankfurt/M. Darmstadt Mannheim 10 Mitarbeiter Stuttgart Berlin München 4 Mitarbeiter Zusammenarbeit mit namhaften Partnern & tiefe Technologie- Expertise u.a.:

5 Agenda 1 Einleitung VPD - Virtual Private Database RAS Real Application Security Vergleich - Fazit

6 Oracle Security - Überblick Network Security Database Firewall Network data encryption Audit Data Auditing Audit Vault Authentication PROD -> Oracle Data Masking -> TEST Oracle Database Vault Oracle DB Application authorisation - Privileges - Roles - Column/Row Level Security Oracle Advanced Security Transparent Data Encryption Data redaction 12 c Virtual Private Database (VPD) Real Application Security (RAS) 12 c Oracle Label Security 6

7 Security im BI Umfeld Identity Manager ETL Tool Admin. Tool BI Clients BI Application Server Middle-Tier DWH Database Ext. interfaces Option 1 Option 2 Security Policy? 7

8 Beispiel von Sicherheitsanforderungen - Jeder Mitarbeiter darf seinen eigenen Datensatz sehen, inklusiv Gehalt Information (Spalte Salary) - IT Leute dürfen nur die Datensätze des IT Department, ohne Gehalt Information. - HR Leute dürfen alle Datensätze sehen und ändern, inklusiv Gehalt Information 1) Definition von Rollen in der Applikation 2) Einen Weg finden um dynamisch die SQL Statements je nach Rolle der Users anzupassen 8

9 Alternativen zu VPD oder RAS? Views! Werden zur Laufzeit gebaut und können unterschiedliche Zeilen trotz gleichem SQL zurückgeben Nutzung von VIEWS ist für die Applikation transparent CREATE OR REPLACE v_emp AS SELECT * FROM emp WHERE ename = SYS_CONTEXT('userenv','current_user') Komplex zu schreiben ohne PL/SQL für manche Sicherheitsanforderungen Performance Problem zu erwarten (View von Views von Views ) Insert, update, delete sind bei komplexen Views über PL/SQL Prozeduren zu schreiben 9

10 VPD Virtual Private Database

11 VPD - Überblick Seit Oracle 8i (1998) in Enterprise Edition zur Verfügung Kostenlos Implementiert RLS (Row level Security) bei der Ergänzung von SQL Statements aufgrund einer PL/SQL Policy Funktion Verbunden mit einem Applikation Kontext Spaltenmaskierung auch möglich Basiert auf Oracle PL/SQL package DBMS_RLS 11

12 Komponenten der VPD Oracle object Table oder View Oracle DB 4) Query Rewriting VPD Policy PL/SQL Policy Function RETURN varchar2 IF SYS_CONTEXT('APP_CONT','IsEmployee') = 'Y' THEN RETURN '1=0'; IF SYS_CONTEXT ('APP_CONT','IsManager') = 'Y' THEN RETURN 'EXIST (SELECT )'; IF SYS_CONTEXT ('APP_CONT','IsAdmin') = 'Y' THEN RETURN '1=1'; 5) SQL Ausführung 3) Applikation Kontext wird im Loggon Trigger gesetzt Application Kontext IsEmployee = 'Y' IsManager = 'N' IsAdmin = 'N' 2) Logon trigger Matching zwischen eingeloggten DB User und Applikation User / Rollen User und Rollen in der Daten 1) SQL statement via Proxy connection Connection Pool Applikation 12

13 VPD How to 1) Sensibel Tabellen und Rollen identifizieren 2) PL/SQL Policy Function schreiben FUNCTION emp_rls_func(p_owner VARCHAR2, p_object VARCHAR2 VARCHAR2) RETURN VARCHAR AS BEGIN IF SYS_CONTEXT('my_context', 'IsEmployee') = 'Y' THEN RETURN '1=0'; ELSIF SYS_CONTEXT('my_context', 'IsManager') = 'Y' THEN RETURN 'EXISTS (SELECT 1 FROM EMPL '; ELSIF SYS_CONTEXT('my_context', 'IsAdmin') = 'Y' THEN RETURN '1=1'; END IF; END; 3) Policy Function an die Tabelle zuordnen SYS.DBMS_RLS.ADD_POLICY('APP_OWNER','EMPLOYEE','emp_rls_func'); 4) Gut Testen! 13

14 Beispiel einer BI Applikation mit der VPD 1) Aufruf eines Cognos Report 3) Proxy Connection öffnen (mit firstname.lastname als OCI_ATTR_USERNAME) 4) Logon Trigger: Application context wird aus dem Profil des Users gesetzt Cognos Clients 2) Authentication LDAP (identity manager) IBM Cognos BI Server BI Portal (Data Uploads, Admin ) Oracle DWH 5) Ausführung des SQL Statements mit VPD Query Rewriting 14

15 VPD Pain points Sicherheitslogik versteckt in PL/SQL Code Kein richtiger Framework Keine graphische Oberfläche für die Administration Alte Technologie

16 RAS Real Application Security

17 RAS - Überblick Seit Oracle 12c (2013) in Enterprise Edition zur Verfügung Kostenlos Nächste Generation von Oracle Security Framework für die Kontrolle vom Applikationszugriff Deklarative Definition von Sicherheitsanforderungen -> kein PL/SQL Code mehr zu schreiben Einheitliches Sicherheitsmodell in 3 Dimensionen: 1) Welche Application Users / Rollen (Principals) 2) können welche Operationen 3) auf welchen Daten ausführen? Unterstützung von Patterns in der Definition von Datasets (Data Realms) Neue Technologie, bessere Performance Eine GUI unterstützt die RAS Verwaltung 17

18 RAS Komponenten RAS Security grammar: <Principal> perform <operation> on <data> subject to <privilege> RAS Application Privileges select, update, delete viewsalary LINKED TO PRIVILEGE(S) Grant select to Manager Grant viewsalary to Manager Access Control List (ACL) Access Control Entry (ACE) RAS Constraints LINKED TO ACL(s) SCOPE RAS Principals RAS Application Users RAS Application Roles Manager Security Class Inherits SYS.DML + Priv. viewsalary Column Constraints Column Salary Data Realms (Row Level) My Employees records DEFINE RAS Data security policy APPLY TO DB object(s) 18

19 Principals Application Users RAS Principals: Applications users + Application Roles Application users: Ohne Schema und DB Objekte Simple Application User (SAU): Darstellung eines realen End User, keine direkte Datenbank Verbindung möglich. Direct Login Application User (DLAU): kann sich an die Datenbank verbinden, typisch nötig für RAS Pool account 19

20 Principals Application Roles Application roles: Können nur an RAS Application User oder an andere RAS Application Role vergeben werden Role XSPUBLIC wird automatisch an jeden RAS User gegranted (ähnlich wie PUBLIC User) RAS Application Role 2 Standard DB role GRANT ST_R TO RAS_R; RAS Application Role 1 SYS.XS_PRINCIPAL.GRANT_ROLES RAS Application User Regular Roles: disable/enable Dynamic Roles: können dynamisch in einer Application Session aktiviert werden 20

21 Data Realms (Row Level Security) Definition von Gruppen von Datensätzen, die ein Business Objekt darstellen Definition unterstützt mit Data Security Patterns Pattern Session Attribute Based Relational Beschreibung Datensätze sind aus Session Attributen gefiltert = xs_sys_context('xs$session','username') Selektion basiert auf Join Bedingungen mit anderen Tabellen Master-Detail (inherited) Parameterized Exceptions Die Policy der Details Datensätze sind auf die Policy der entsprechenden Master Record basiert Selektion basiert auf Parameter der ACL product=&p_product Nachdem die Data Realms definiert sind, ist es möglich Ausnahme zu vorhandenen Policies für Datensätze zu definieren 21

22 RAS Application Sessions Lightweight Session: beinhaltet den eingeloggten Applikation User, seine Rolle und den Session Context (RAS Namespace genannt) N:1 Verbindung zu einer traditionellen DB session Ablauf: 1) Die RAS Session soll zuerst attached zu einer DB Session werden 2) Ausführung von Applikation Code innerhalb der RAS Session 3) RAS Session soll detached werden Die RAS Sessions sind automatisch gecached im Application Session Cache auf dem Application Server 22

23 RAS Architektur JEE Application Authent. Identity Manager Oracle Platform Security Service (OPSS) RAS Sessions Cache Web users Connection Pool Sessions Attach, detach Oracle DB 12c DB Sessions JDBC Database Sessions APEX 5.0 apps RAS Sessions Data Security Policy Direct Access (Sql*Plus) DB Objects Tables / Views 23

24 RAS PL/SQL API 9 neue XS_ PL/SQL Packages (XS steht für extended Security) Die API ist Objekt orientiert geschrieben -- Define the realm constraint with a rule that parameterizes regions rows_secs := XS$REALM_CONSTRAINT_LIST( Oracle Type Object constructor XS$REALM_CONSTRAINT_TYPE( realm => 'COUNTRY_ID in (select COUNTRY_ID from SH.COUNTRIES where COUNTRY_REGION = &REGION)')); -- create the policy sys.xs_data_security.create_policy( name => 'SH.CUSTOMER_DS', realm_constraint_list => rows_secs, description => 'Policy to protect sh.customers table'); Alternative: RAS Admin Tool (APEX GUI) 24

25 RAS Demo Basiert auf die Tabelle Employees im HR Schema Sicherheitsanforderungen: - Jeder Mitarbeiter darf seinen eigenen Datensatz sehen, inklusiv Gehalt Information (Spalte Salary) - IT Leute dürfen nur die Datensätze des IT Department, ohne Gehalt Information. - HR Leute dürfen alle Datensätze sehen und ändern, inklusiv Gehalt Information 25

26 RAS Demo RAS Application Privileges SELECT VIEW_SALARY UPDATE INSERT DELETE App. Roles App. Users RAS Principals IT_ROLE EMP_ROLE HR_ROLE DEMO_IT_USER DEMO_HR_USER LINKED TO PRIVILEGE GRANT Access Control Lists (ACL) SELECT VIEW_SALARY TO EMP_ROLE -> SCOPE EMP_ACL Security Class Inherits SYS.DML + Priv. View_Salary GRANT SELECT TO IT_ROLE -> IT_ACL GRANT SELECT VIEW_SALARY TO HR_ROLE -> RAS Constraints Data Realms (Row Level) Column Constraints All employees Column SALARY ) IT employees My record HR_ACL LINKED TO ACL DEFINE RAS Data security policy 26 APPLY TO DB object HR.EMPLOYEES

27 Vergleich - Fazit

28 RAS im Vergleich zu VPD - Mächtiges neues Security Framework in der Oracle Datenbank - RAS bietet ein einheitliches und deklaratives Security Model <> maßgefertigter Ansatz mit der VPD - Große Flexibilität durch Patterns wie Master-Detail und parametrisierte Policies - Einfacher Deployment ohne PL/SQL Code zu schreiben - Bessere Performance 28

29 RAS im Vergleich zu VPD - Lange Lernkurve durch die neue Denkweise von RAS und Größe des Frameworks - Reifbarkeit des Framework schwer einzuschätzen da erst ab 12c zur Verfügung - Integration von Oracle RAS in nicht Oracle BI Tools wie IBM Cognos, BO? - Keine umgesetzte Projekte und somit keine Best Practices vorhanden 29

30 Danke