APEX - OUD - VPD. Steffi Geiser-Metz & Mathias Weber & Björn Hötschl & Markus Geis CAMPUS INNENSTADT

Transkript

1 CAMPUS INNENSTADT APEX - OUD - VPD Steffi Geiser-Metz & Mathias Weber & Björn Hötschl & Markus Geis

2 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 2

3 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 3

4 APEX-OUD-VPD > INM KLINIKUM DER UNIVERSITÄT Campus Großhadern und Campus Innenstadt Betten Patienten ambulant, teilstationär und stationär Beschäftigte: Mediziner / Pflegekräfte ca. 1 Mrd. Umsatz Studenten-Wintersemester 2014/15 4

5 APEX-OUD-VPD > INM Interdisziplinäre Forschungseinrichtung Qualitätsmanagement in der Medizin, Notfallmedizin und im Rettungswesen derzeit ca. 40 Mitarbeiter DWH: Einsatz-, medizinischen- / GEO-Daten HSC 5

6 APEX-OUD-VPD > INM HW / SW / ORACLE-SW Betrieb eines 12c 3 Knoten Clusters ( EE) / Oracle-Linux -> 3 DB s mit ca. 2TB / ca DB-Usern Netapp Metro Cluster / VMWARE Umgebung Shared Disk Spaces sind über NFS (dnfs) eingebunden (kein ASM) DB-Optionen: Partitioning Spatial (Routenberechnung und Geo-Analysen) WEBLOGIC 12 / TOMCAT ORACLE - mapviewer OUD (Oracle Unified Directory ) APEX 5.1 / ORDS 3.0 ORACLE-HTTP / Apache 6

7 APEX-OUD-VPD > INM HISTORIE ALTE APPLIKATION alte JSP Applikation (TOMCAT) DB-Usern Applikation hielt immer die Session VPD für die Einschränkung der User-Sichten Versuch mit JAVA + ADF 7

8 APEX-OUD-VPD > INM NEUE APPLIKATION APEX 5.1 ORDS 3.0 Oracle VPD für die Einschränkung der User-Sichten Userverwaltung auf Basis LDAP (keine DB-USER) Nutzung des LDAP s für weitere APEX-Applikation und zusätzliche Applikationen wie z.b. owncloud + joomla 8

9 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 9

10 APEX-OUD-VPD > INM OUD Oracle Unified Directory LDAP v. 3.0 compatible durchgängige Nutzung von Oracle-Produkten einfache Installation Lizenzierung über Anzahl User einfacher Betrieb und Sicherung Passwort-Verwaltung über SELF-Service-Portal Verwaltung über einfache OpenSource-Software (ODSM / oud_domain/bin/startweblogic.sh) 10

11 APEX-OUD-VPD > INM OUD 11

12 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 12

13 APEX-OUD-VPD > INM OUD APEX ANBINDUNG APEX bietet mehrere Möglichkeiten um User zu authentifizieren Default: klassische APEX User (für die Entwicklung) LDAP (3-Tier Application / stateless) die Authentifizierung kann pro Applikation gewählt werden Einstellung unter Shared Components 13

14 APEX-OUD-VPD > INM OUD APEX ANBINDUNG Über CREATE eine neue Authentifizierung-Möglichkeit erstellen die gewünschte Authentifizierung-Möglichkeit wird mit CURRENT der Applikation zugeordnet 14

15 APEX-OUD-VPD > INM OUD APEX ANBINDUNG Parameter für die LDAP-Konfiguration Distinguished Name (DN) -> Beginn des LDAP-Verzeichnisses SEARCH-Filter: Applikation > LDAP - Gruppen zuordnen &(uid=%ldap_user%)(ismemberof=cn=apex_tcpr,ou=gruppen,dc=inm-online,dc=de) 15

16 APEX-OUD-VPD > INM OUD APEX ANBINDUNG 16

17 APEX-OUD-VPD > INM OUD APEX ANBINDUNG Aufbau einer ACL (Access Control List) für den LDAP Zugriff: BEGIN DBMS_NETWORK_ACL_ADMIN.CREATE_ACL(acl => ldap_acl_file.xml', description => LDAP ACL', principal => 'APEX_050100', is_grant => true, privilege => 'connect'); DBMS_NETWORK_ACL_ADMIN.ADD_PRIVILEGE(acl => ldap_acl_file.xml', principal => 'APEX_050100', is_grant => true, privilege => 'resolve'); DBMS_NETWORK_ACL_ADMIN.ASSIGN_ACL(acl => ldap_acl_file.xml', host => 'xurca.inm-online.de' lower_port => 1234, upper_port => 1235 ); END; 17

18 APEX-OUD-VPD > INM OUD APEX ANBINDUNG Test LDAP-Connect 18

19 APEX-OUD-VPD > INM APEX ERGÄNZUNG AUTHORISIERUNG LDAP-Connect -> reine Authentifizierung APEX bietet auch die Möglichkeit einer Autorisierung 19

20 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 20

21 APEX-OUD-VPD > INM WAS IST VPD (GRUNDGEDANKE)? Steuerung der Daten-Zugriffe bei Tabellen auf Zeilenebene Objektprivilegien -> select, insert, update, delete beziehen sich auf alle ROWS einer Table Daten können gruppen-/userbezogen dargestellt werden (mandantenfähig) 21

22 APEX-OUD-VPD > INM WAS IST VPD? ist ein Feature der Oracle Enterprise Edition Anfang: Trusted Oracle 7 / Label Security relativ altes Feature -> ab Version 8i Transparent für die Applikation Einsatz im Institut ab der Version LABEL-Security -> nicht lizensfrei 22

23 APEX-OUD-VPD > INM WAS IST VPD? mehre Begriffe werden synonym verwendet: VIRTUAL PRIVATE DATABASE (VPD) ROW LEVEL SECURITY (RLS) FINE GRAINED ACCESS CONTROL VPD Wichtig: Context (z.b. 3-tier architecture / Connection-Pool) 23

24 APEX-OUD-VPD > INM WAS IST VPD? VPD hat immer eine TABLE zur BASIS VPD wird über eine Policy an eine Table gehängt als Basis für die Policy dient eine stored function mehrere Policys können pro Table genutzt werden VPD ergänzt die Statements auf eine Tabelle mit einer zusätzlichen -> WHERE-Bedingung um die Anzahl der zu selektierten Zeilen einzuschränken VPD ermöglicht ebenfalls Spalten aus einer Table für gewisse User zu maskieren bzw. nicht anzuzeigen 24

25 APEX-OUD-VPD > INM AUFBAU EINER VPD-UMGEBUNG CONTEXT um aus der Applikation Werte in die Datenbank zu übertragen Ein Tabellenmodell, welches als Basis für den Aufbau dient (Planung) Table: Userverwaltung (User + Rechte / Was darf wer sehen) Function, welche die Rechte für die User zusammenstellt und einen Rückgabe-String für die Nutzung von VPD aufbaut Policy, welche über die Function mit einem Rückgabewert versorgt wird, um die Einschränkungen durchzuführen 25

26 APEX-OUD-VPD > INM AUFBAU EINER VPD-UMGEBUNG POLICY Aufbau mit CONTEXT / LOGIN PACKAGE CREATE OR REPLACE CONTEXT RDB_CONTEXT USING RDB_LOGIN_PACKAGE; CREATE OR REPLACE package rdb_login_package is procedure set_context(p_userid in varchar2); end rdb_login_package; CREATE OR REPLACE package body rdb_login_package Is procedure set_context(p_userid in varchar2) is v_rdb wasserw_verwaltung.userverwaltung.id_rdb%type := 1; begin for cl in (select id_rdb from wasserw_verwaltung.userverwaltung where upper(user_name) = upper(p_userid)) loop v_rdb := cl.id_rdb; end loop; dbms_session.set_context('rdb_context','id_rdb', v_rdb); end set_context; end rdb_login_package;

27 APEX-OUD-VPD > INM AUFBAU EINER VPD-UMGEBUNG POLICY Aufbau mit CONTEXT / Function CREATE OR REPLACE function WASSERW.f_rdb_policy(p_schema varchar2, p_object varchar2) return varchar2 is v_sql varchar2(32767); begin if sys_context('rdb_context','id_rdb') = 0 then null; elsif sys_context('rdb_context','id_rdb')!= 0 then v_sql := ' ID_RDB = ( ' sys_context('rdb_context','id_rdb') ')'; end if; return v_sql; end; /

28 APEX-OUD-VPD > INM AUFBAU EINER VPD-UMGEBUNG POLICY anlegen BEGIN SYS.DBMS_RLS.ADD_POLICY (,object_name => 'TAB1',policy_name => 'ZUGRIFFSKONTROLLE_TAB1',policy_function => 'F_ZUGRIFF_RDB_XXX',statement_types => 'SELECT,INSERT,UPDATE,DELETE',policy_type => dbms_rls.dynamic,long_predicate => FALSE,update_check => TRUE,static_policy => FALSE,enable => TRUE ); END; BEGIN SYS.DBMS_RLS.DROP_POLICY ( object_schema => Null,object_name => 'TAB1',policy_name => 'ZUGRIFFSKONTROLLE_TAB1'); END; 28

29 APEX-OUD-VPD > INM AUFBAU EINER VPD-UMGEBUNG POLICY Aufbau mit CONTEXT / 3-Tier Application / APEX Shared Komponents -> Security Attributes -> Security / Database Session

30 APEX-OUD-VPD > INM APPLIKATION

31 APEX-OUD-VPD > INM APPLIKATION

32 APEX-OUD-VPD > INM APPLIKATION

33 APEX-OUD-VPD > INM APPLIKATION

34 APEX-OUD-VPD > INM APPLIKATION

35 APEX-OUD-VPD > INM APPLIKATION

36 APEX-OUD-VPD > INM APPLIKATION

37 APEX-OUD-VPD > INM AGENDA Institut für Notfallmedizin und Medizinmanagement - INM Oracle Unified Directory Verknüpfung APEX mit OUD VPD + Verknüpfung mit APEX Fazit 37

38 APEX-OUD-VPD > INM FAZIT APEX -> Einarbeitung; schnelle Entwicklung von Prototypen; große, agile Community, DB-nah; komplexe Applikationen möglich die Verbindung OUD / APEX / VPD stabil und einfach VPD ist einfach einzusetzten (trivial) VPD bietet viele Möglichkeiten die Datenbestände vor neugierigen Blicken zu schützen VPD ist für die Applikation völlig transparent Berechtigungskonzepte können über VPD ohne Applikationsänderungen modifiziert werden (flexibel) einziger VPD-Nachteil -> Enterprise Edition weniger GUT: Oracle-HTTP / WEBLOGIC

39 VIELEN DANK FÜR IHRE AUFMERKSAMKEIT! M. Weber / M. Geis Klinikum der Universität München Institut für Notfallmedizin und Medizinmanagement Phone: 089 / mathias.weber@med.uni-muenchen.de markus.geis@med.uni-muenchen.de Internet:

40