Enterprise User Security und Single Sign On mit Oracle Discoverer und Oracle Reports

Transkript

1 Mittwoch, 10. November h00, Variohalle 4 Enterprise User Security und Single Sign On mit Oracle Discoverer und Oracle Reports Martin Deininger ORACLE Deutschland GmbH, STCC Frankfurt Schlüsselworte: Enterprise User Security, Single Sign On, Benutzerverwaltung, LDAP, Discoverer, Reports, Portal, Virtual Private Database, Identity Management, Internet Directory Zusammenfassung Der Beitrag befaßt sich mit den Möglichkeiten einer zentralen Benutzer- und Rechtepflege über LDAP (Oracle Internet Directory OID) im Oracle BI- Bereich. Oracle Discoverer und Oracle Reports benötigen sowohl einen Webbenutzer als auch einen Datenbankbenutzer, wenn sie über den SSO-Server von Portal aufgerufen werden. Damit die Datenbankbenutzer und deren Rechte nicht doppelt gepflegt werden müssen, können diese über Enterprise User Security (EUS) ebenfalls im LDAP-Server verwaltet werden. Zusätzlich kann die SSO-Anmeldung zur benutzerspezifischen Datenanzeige über Virtual Private Database verwendet werden. Einleitung Mit der Oracle Datenbank in Kombination mit dem Oracle Application Server ist eine zentrale Benutzer- und Rechtepflege über das OID im Oracle BI-Bereich möglich. Dabei werden die von Oracle Discoverer und Oracle Reports benötigten Datenbankbenutzer- und rechte über EUS im OID verwaltet. Die gleichen Benutzer werden für den Webzugriff über Oracle Portal und den SSO-Server verwendet. Damit entfällt die doppelte Pflege der Benutzer und deren Rechte in der Datenbank und in der Webanwendung (Oracle Portal). Zusätzlich kann die SSO-Anmeldung über Oracle Portal zur benutzerspezifischen Datenanzeige in Reports und Discoverer mittels der Datenbankfunktion Virtual Private Database verwendet werden. Oracle Portal selbst wiederum bietet mit seinen Sicherheitsmechanismen in Kombination mit den Discoverer und Reports Portlets eine elegante und einfache Möglichkeiten zum Aufbau eines BI-Portals an.

2 17.Deutsche ORACLE-Anwenderkonferenz Konfiguration von Enterprise User Security Bevor die Datenbankbenutzer und rechte im OID verwaltet werden können, muß die 10g Datenbank im OID registriert werden. Die Registrierung erfolgt über den Database Configuration Assistant (DBCA). Bevor dieser aufgerufen werden kann, muß im Pfad "ORACLE_DB_HOME/network/admin" eine Datei mit dem Namen "ldap.ora" vorhanden sein, die die Zugriffsdaten auf das OID enthält. Die Datei kann über den Network Configuration Assistant (NetCA) erstellt werden. Danach muß ein globales Datenbankschema erstellt werden, auf das die EUS- Benutzer bei der Datenbankanmeldung später gemappt werden. Das gleiche gilt für die Datenbank- und EUS-Rollen. Die Funktionsweise von EUS und dem Mapping ist in der folgenden Abbildung dargestellt: Abb. 1: Übersicht Enterprise User Security Für das hier beschriebene Beispiel wurden die Benutzer und Rollen wie folgt angelegt: Business Intelligence create user GLOBALUSER identified globally as ''; grant connect, resource, create session to GLOBALUSER; create role GRUPPE1 identified globally; create role GRUPPE2 identified globally; Den globalen Rollen können ganz normale Datenbankrechte und -rollen zugewiesen werden, die dann bei der Anmeldung des EUS-Benutzers gültig sind.

3 Im nächsten Schritt müssen die eigentlichen EUS-Benutzer und EUS-Gruppenbenutzer im OID angelegt werden. Das wird entweder über den OID Manager oder über den OID Delegated Administration Service (OIDDAS) des Oracle Application Servers gemacht (Beispiel-URL: Für das hier beschriebene Beispiel wurden folgende Benutzer und Gruppenbenutzer im OID angelegt: benutzer1 benutzer2 gruppenbenutzer1 gruppenbenutzer2 Zuletzt müssen über den Enterprise Security Manager zum einen die EUS- Rollen (Enterprise-Rollen) erstellt und auf die globalen Datenbankrollen gemappt, und zum anderen die EUS-Benutzer den EUS-Rollen zugeordnet werden. Für das hier beschriebene Beispiel wurden über den Enterprise User Security Manager folgende Zuordnungen definiert: EUS-Rolle "gruppe1" zugeordnet auf globale Datenbankrolle "GRUPPE1" EUS-Rolle "gruppe2" zugeordnet auf globale Datenbankrolle "GRUPPE2" EUS-Gruppenbenutzer "gruppenbenutzer1" zugeordnet auf EUS-Rolle "gruppe1" EUS-Gruppenbenutzer "gruppenbenutzer2" zugeordnet auf EUS-Rolle "gruppe2" Ob die Konfiguration von Enterprise User Security erfolgreich war läßt sich über SQL*Plus überprüfen:

4 17.Deutsche ORACLE-Anwenderkonferenz SQL> connect Connect durchgeführt. SQL> select * from session_roles; ROLE CONNECT RESOURCE GRUPPE1 SQL> connect gruppenbenutzer2/ias_admin1@orcl; Connect durchgeführt. SQL> select * from session_roles; ROLE CONNECT RESOURCE GRUPPE2 Rechtevergabe für Oracle Discoverer Nachdem die Benutzer, Gruppen und Rollen sowohl auf Datenbankseite als auch auf EUS-Seite definiert wurden, können jetzt die Rechte für die einzelnen Discoverer-Arbeitsmappen vergeben werden. Für das hier beschriebene Beispiel werden die mit dem Discoverer Lernprogramm mitgelieferten Arbeitsmappen "Analytic Function Examples" (AFE) und "Video Tutorial Workbook" (VT) verwendet. Der Besitzer der Endenutzerebene ist der Datenbankbenutzer "video5". Die Zuordnung der Discoverer-Arbeitsmappen erfolgt über den Oracle Discover Desktop. Die Rechtevergabe kann dabei entweder für Datenbankbenutzer und/oder rollen erfolgen. Allerdings kennt der Discoverer Desktop keine globalen Datenbankrollen, so daß die Zuordnung über normale Datenbankrollen erfolgt, die wiederum den globalen Datenbankrollen zugewiesen werden. Business Intelligence Für das hier beschriebene Beispiel wurden folgende Datenbankrollen angelegt und zugeordnet:

5 create role GRUPPE1_DISCOVERER; create role GRUPPE2_DISCOVERER; grant GRUPPE1_DISCOVERER to GRUPPE1; grant GRUPPE2_DISCOVERER to GRUPPE2; grant GRUPPE1_DISCOVERER to video5; grant GRUPPE2_DISCOVERER to video5; Die Arbeitsmappen wurden wie folgt zugeordnet: Arbeitsmappe AFE zugeordnet auf die Datenbankrolle "GRUPPE1_DISCOVERER" Arbeitsmappe VT zugeordnet auf die Datenbankrolle "GRUPPE2_DISCOVERER" Abb. 2: Arbeitsmappen Zuordnung Die korrekte Zuordnung kann über die Anmeldung mit dem "gruppenbenutzer1" und "gruppenbenutzer2" am Discoverer Desktop überprüft werden. Integration von Oracle Discoverer in Oracle Portal Durch die Integration von Oracle Discoverer in Oracle Portal über die Discoverer Portlets können abhängig vom dem am Portal angemeldeten SSO-Benutzer eine Liste der zugeordneten Arbeitsmappen und/oder eine spezielle Arbeitsmappe dargestellt werden. Dafür muß zunächst der Discover SSO-fähig gemacht werden. Dazu wird am Ende der Datei "mod_sso.conf" (Pfad: "ORACLE_AS_HOME/apache/ apache/conf") folgender Eintrag eingefügt:

6 17.Deutsche ORACLE-Anwenderkonferenz <Location /discoverer/plus*> require valid-user AuthType Basic </Location> <Location /discoverer/viewer> Header unset Pragma OssoSendCacheHeaders Off require valid-user AuthType Basic </Location> Der Eintrag wird nach einem Neustart des Oracle Application Servers aktiv. Damit die Discoverer Portlets in Oracle Portal sichtbar werden, muß der Discoverer Portlet Provider konfiguriert werden. Dies geschieht über die Administrationsoberfläche von Portal, in dem der Provider über folgende URL registiert wird: Damit die Liste der erlaubten Arbeitsmappen benutzer- bzw. gruppenspezifisch im Portal angezeigt werden können, müssen folgende Schritte ausgeführt werden: Erstellen einer neuen Page Group (im Beispiel DOAG) Erstellen zweier Portalgruppen (im Beispiel "Gruppe1" und "Gruppe2") Zuordnung des Portal-Benutzers "benutzer1" zu Portalgruppe "Gruppe1" und "benutzer2" zu Portalgruppe "Gruppe2" Erstellen von 2 Subpages (im Beispiel "Gruppe1" und "Gruppe2") Publishen der Subpages als Portlet Auf jede Subpage Discoverer Portlet List of Database Workbooks (LoDW) stellen Erstellen der Discoverer Connections "Gruppe1" (Datenbankbenutzer "gruppenbenutzer1") und "Gruppe2" (Datenbankbenutzer "gruppenbenutzer2") Konfiguration des Discoverer Portlets LoDW mit Discoverer Connection "Gruppe1" auf Subpage "Gruppe1". Dabei das Benutzerrecht aberkennen die Discoverer Connection ändern zu dürfen. Konfiguration des Discoverer Portlets LoDW mit Discoverer Connection "Gruppe2" auf Subpage "Gruppe2". Dabei das Benutzerrecht aberkennen die Discoverer Connection ändern zu dürfen. Zugriffsrechte (View) auf Subpage "Gruppe1" vergeben für Portalgruppe "Gruppe1" Zugriffsrechte (View) auf Subpage "Gruppe2" vergeben für Portalgruppe "Gruppe2" Business Intelligence

7 Erstellen einer neuen Page Group (im Beispiel "START") Als Portlet gepublishte Subpages "Gruppe1" und "Gruppe2" von Page Group "DOAG" auf Page Group "START" stellen Zugriffsrechte ("View") auf Page Group "START" vergeben für Portalgruppe "Gruppe1" und "Gruppe2" Für Portalgruppe "Gruppe1" und "Gruppe2" als Default Page Page Group "START" eintragen Für Portal-Benutzer "benutzer1" als Default Group Portalgruppe "Gruppe1" und für Portal-Benutzer "benutzer2" als Default Group Portalgruppe "Gruppe2" eintragen Bei Anmeldung unter Portal-Benutzer "benutzer1" erscheint die "START"-Seite folgendermaßen: Abb. 3: Portalsicht" START"-Seite Portal-Benutzer" benutzer1" Bei Anmeldung unter Portal-Benutzer "benutzer2" erscheint die "START"-Seite folgendermaßen: Abb. 4: Portalsicht "START"-Seite Portal-Benutzer "benutzer2" Integration von Oracle Reports in Oracle Portal Die Integration von Oracle Reports in Oracle Portal erfolgt über die Reports Security Portlets, die auf der entsprechenden Administrationsseite von Portal zu finden sind. Über Reports Security wird gesteuert welche Portal-Benutzer oder Gruppe welche Berichte ausführen darf. Der Benutzer muß für die Ausführung eines Reports am Portal angemeldet sein. Für das hier beschriebene Beispiel wurde der Reports-Server zudem so konfiguriert, daß nur im Portal registrierte Berichte ausgeführt werden dürfen.

8 17.Deutsche ORACLE-Anwenderkonferenz Für das Beispiel wurden außerdem über den Reports Builder zwei Beispielberichte ("gruppe1.rdf" und "gruppe2.rdf") erzeugt, die auf die Tabellen "DEPT" und "EMP" unter dem Schema "scott" zugreifen. Für den Zugriff auf die Tabellendaten wurden folgende Zugriffsrechte an auf die globalen Datenbankrollen vergeben: grant select on dept to GRUPPE1; grant select on dept to GRUPPE2; grant select on emp to GRUPPE2; Damit die Reports benutzer- bzw. gruppenspezifisch im Portal angezeigt werden können, müssen folgende Schritte ausgeführt werden: Reports Server Zugriff konfiguieren (z. B. Reports-Server Name "REP_DEI- NINGM-DE"; Option Run Only Registered Report Definition Files wählen; Oracle Reports Web Gateway eintragen,: " reports/rwservlet") Reports Server Dateizugriff für Reports "gruppe1.rdf" und "gruppe2.rdf" konfigurieren und als Portlet publishen Rechtevererbung vom DP Provider für "gruppe1.rdf" und "gruppe2.rdf" deaktivieren und "gruppe1.rdf" Portal-Gruppe "gruppe1", sowie "gruppe2.rdf" Portal-Gruppe "gruppe2" zuordnen Reportparameter "SSOConn" für "gruppe1.rdf" auf "gruppe1" und für "gruppe2.rdf" auf "gruppe2" setzen Als Portlet gepublishte Reports "gruppe1.rdf" und "gruppe2.rdf" auf Page Group "START" stellen Alternativ können die Reports auch als Report-Link auf die Page Group "START" gestellt werden. In diesem Fall muß in der entsprechenden Page Group Region die Item Level Security aktiviert und die einzelnen Items den jeweilige Portal- Gruppen zugeordnet werden. Business Intelligence Bei Anmeldung unter Portal-Benutzer "benutzer1" erscheint die "START" Seite folgendermaßen:

9 Abb. 5: Portalsicht "START"-Seite Portal-Benutzer "benutzer1" Bei Anmeldung unter Portal-Benutzer "benutzer2" erscheint die "START"-Seite folgendermaßen: Abb. 6: Portalsicht "START"-Seite Portal-Benutzer" benutzer2" Applikations- und Datensicherheit In dem oben beschriebenen Szenario liegt die Zugriffssicherheit auf Applikationsebene. Die Benutzer werden über Gruppenverbindungen sowohl für Reports als auch für Discoverer an der Datenbank angemeldet. Das hat den Vorteil, daß der Administrator nicht für jeden Benutzer eine Einzelverbindung (Reports, Discoverer) pflegen muß. Der Benutzer selbst hat zudem keine Möglichkeit die vordefinierten Verbindungen zu ändern, da seine Zugriffe ausschliesslich über die Portalseiten gesteuert werden. Würde für jeden Benutzer eine Einzelverbindung (Reports, Discoverer) etabliert werden, müßten diese bei einem Passwortwechsel ebenfalls vom Benutzer oder durch eine automatisch ablaufende Routine angepasst werden. Dieser Aufwand wird durch die Gruppenverbindungen vermieden.

10 17.Deutsche ORACLE-Anwenderkonferenz Neben der Applikationssicherheit besteht über die Datenbankfunktion Virtual Private Database zusätzlich die Möglichkeit auch die Daten benutzer- und/oder gruppenspezifisch zu behandeln. Dazu werden in der Datenbank Regeln für Tabellen oder Views definiert, die abhängig vom angemeldeten Benutzer (Gruppe) die über eine Abfrage zurückgelieferten Zeilen einschränken. Die Einschränkung erfolgt über eine abhängig vom angemeldeten Benutzer angepasste WHERE-Bedingung, die der gestellten Abfrage dynamisch angehängt wird. Als Attribut für die Regeldefinition kann z. B. der aktuell angemeldete Datenbankbenutzer verwendet werden. Dies kann auch ein EUS-Benutzer sein, der über OID gepflegt wird. Im Fall von Oracle Discoverer wird oft nur eine einzige Datenbankverbindung für alle Benutzer gewählt. Durch ein neues Discoverer Feature besteht jetzt aber die Möglichkeit, der Datenbank den entsprechenden SSO-Benutzer bekanntzugeben. Darüber kann die Datensicherheit mit Virtual Private Database benutzerspezifisch trotz identischer Datenbankverbindung implementiert werden. Komplette Sicherheit Die Nutzung von Enterprise User Security und Virtual Private Database für Oracle Discoverer und Oracle Reports in Verbindung mit Oracle Portal bietet komplette Sicherheit sowohl für die Applikation als auch für die Daten. Die zentrale Benutzerverwaltung (SSO, EUS) über OID kombiniert das Web-basierte SSO des Oracle Application Servers Login-Servers und das Client-Server-basierte Login der Oracle Datenbank. Die Reports Security und Discoverer Portlets steuern mit den Sicherheitsmechanismen von Oracle Portal die Zugriffsrechte auf die einzelnen Arbeitsmappen und Reports. Die dort angezeigten Daten werden über die Mechanismen von Virtual Private Database benutzerspezifisch zurückgeliefert und angezeigt. Business Intelligence Abb. 7: Komplette Sicherheit

11 Ergänzende Literatur Oracle Application Server Reports Services Publishing Reports to the Web 10g (9.0.4) Oracle Database Advanced Security Administrator's Guide 10g Release 1 (10.1), Kapitel 11 Metalink Note : Step By Step Guide To Configuring 10g Password Authenticated Enterprise User Sec Metalink Note : Discoverer 10g ( ) - Discoverer Support for SSO Details Propagation Kontaktadresse: Martin Deininger ORACLE Deutschland GmbH Robert-Bosch-Str. 5 D Dreiech-Sprendlingen Telefon: +49(0) Fax: +49(0) martin.deininger@oracle.com Internet: