Oracle Database 10 g : 為 DBA 提供的最佳前 20 位的特性（十四）
2024-08-29 13:46:57
供稿：網友
Oracle Database 10 g : 為 DBA 提供的最佳前 20 位的特性（十四） 作者 Arup Nanda 來源： OTN 第 14 周
虛擬專用數據庫 五種類型的策略、列相關策略以及列屏蔽使得 VPD 成為 DBA 的安全工具箱中一種功能更加強大的工具 虛擬專用數據庫 (VPD) 也稱為細粒度訪問控制，它提供強大的行級安全功能。它是在 Oracle8 i 中推出的，已經受到廣泛的歡迎，并且在從教育軟件到金融服務等各種應用程序得到采用。 VPD 的工作方法是，通過透明地更改對數據的請求，基于一系列定義的標準向用戶提供表的局部視圖。在運行時，所有查詢都附加了謂詞，以便篩選出準許用戶看到的行。例如，假如只答應用戶查看帳戶治理員 SCOTT 的帳戶，則 VPD 設置自動地將查詢： select * from accounts; 重寫為： select * from accounts where am_name = 'SCOTT'; DBA 在表 ACCOUNTS 上設置了一項安全策略。該策略具有一個相關函數，稱為 policy function ，它返回一個用作謂詞的字符串 where am_name = 'SCOTT' 。假如您不熟悉該特性的全部功能，我建議您閱讀 Oracle 雜志 的文章 “ 利用 VPD 保持信息的私密性 ” 。 策略類型 生成謂詞所需的重復分析是一種在某些情況下可以進行修整的開銷。例如，在大部分實際情況中，謂詞并不象 am_name = 'SCOTT' 那樣是靜態的；它基于用戶的身份、用戶的權限級別、用戶向哪個帳戶治理員進行報告等情況 , 可能更具有動態性。由策略函數創建并返回的字符串可能會具有很強的動態性，而為了保證其結果， Oracle 必須每次重新執行策略函數，既浪費資源又降低性能。在這種類型的策略中，謂詞每次執行時可能會有很大的差別，該策略稱為 “ 動態 ” 策略，在 Oracle9 i 數據庫以及以前的版本中已經提供了這種策略。 除了保留動態策略之外， Oracle 數據庫 10 g 還基于謂詞的構造推出了幾種新類型的策略，為提高性能提供了更好的控制： context_sensitive 、 shared_context_sensitive 、 shared_static 和 static ?，F在，讓我們來了解每種策略類型的意義以及如何在適當的場合中使用它們。 動態策略。 為保持向后兼容性， 10 g 中的默認策略類型為 “dynamic” — 正如 Oracle9 i 中一樣。在這種情況下，對于每行以及每位用戶，在每次訪問表時都對策略函數進行重新求值。讓我們來具體分析策略謂詞： where am_name = 'SCOTT' 忽略掉 where 子句，謂詞就具有兩個不同的部分：在等式操作符之前的部分 ( am_name ) 和等式操作符之后的部分 ( 'SCOTT' ) 。在大多數情況下，后面的部分更象是變量，因為它是由用戶的數據提供的（假如用戶是 SCOTT ，則其值為 'SCOTT' ）。在等號前面的部分是靜態的。因此，即使函數不必為生成適當的謂詞而對每行求出策略函數的值，由于了解前面部分的靜態性以及后面部分的動態性，也可以提高性能。在 10 g 中，可以在 dbms_rls.add_policy 調用中使用 "context_sensitive" 類型的策略作為參數來實現這種方法： policy_type => dbms_rls.context_sensitive 在另一個示例中，我們有一個稱為 ACCOUNTS 的表，它擁有幾列，其中一列是 BALANCE ，表示帳戶余額。假設答應某個用戶查看低于某特定余額的帳戶，而該余額由應用程序上下文所決定。我們并不在策略函數中將此余額值固定，而是 3 是根據應用程序上下文確定，如： create or replace vpd_pol_func ( p_schema in varchar2,
p_table in varchar2 ) return varchar2 is begin return 'balance < sys_context(''vpdctx'', ''maxbal'')'; end; 應用程序上下文 VPDCTX 的屬性 MAXBAL 可以在會話的前期設定，而函數在運行時可以輕易地獲得該數值。 請仔細注重該示例。謂詞有兩部分：小于號之前的部分和之后的部分。之前的部分是 “balance” 一詞，它是文字符。后面的部分從某種程度而言是靜態的，因為應用程序上下文變量在改變之前一直是常量。假如應用程序上下文屬性不變，則整個謂詞是常量，因此不需要重新執行函數。假如策略類型定義為對上下文敏感，則 Oracle 數據庫 10 g 可以識別此情況以用于優化。假如在會話期間沒有發生會話上下文的變化，則不重新執行該函數，從而顯著提高了性能。 靜態策略。 有時業務操作可以確保謂詞更加靜態。例如，在上下文敏感的策略類型示例中，我們將用戶所見的最大余額定義為一個變量。當 web 應用程序中的 Oracle userid 由許多 web 用戶共享，并且應用程序基于這些用戶的權限來設置該變量（應用程序上下文）時，這種方法很有用。因此， web 用戶 TAO 和 KARTHIK 都是以用戶 APPUSER 連接到數據庫的，二者可以在其會話中擁有兩個不同的應用程序上下文的值。此時 MAXBAL 的值并不依靠于 Oracle userid ，而是依靠 TAO 和 KARTHIK 各自的會話。 在靜態策略的情況下，謂詞更具有可猜測性，其說明如下。 LORA 和 MICHELLE 分別是 Acme Bearings 和 Goldtone Bearings 的帳戶治理員。當他們連接數據庫時，他們使用自己的 id ，并且只應該看到屬于他們的那些行。在 Lora 方面，謂詞變成 where CUST_NAME = 'ACME' ；而對于 Michelle ，則是 where CUST_NAME = 'GOLDTONE' 。在這里，謂詞依靠于他們的 userid ，因此他們所創建的任何會話在應用程序上下文中始終具有相同的值。 10 g 可以利用這種情況，在 SGA 中對謂詞進行高速緩存，并在會話中重用該謂詞，而不必重新執行策略函數。策略函數類似于以下形式： create or replace vpd_pol_func ( p_schema in varchar2, p_table in varchar2 ) return varchar2 is begin return 'cust_name = sys_context(''vpdctx'', ''cust_name'')'; end; 而策略定義為： policy_type => dbms_rls.static 這種方法確保策略函數只執行一次。即使應用程序上下文在會話中改變，也從不重新執行該函數，使得此過程的速度非?？臁?建議將靜態策略用于在幾個用戶中托管應用程序的情況。在這種情況下，單個數據庫擁有幾個用戶的數據。當每個用戶登錄時，登錄后觸發器可以設置用于策略函數的應用程序上下文的值，以便快速生成謂詞。 但是，將策略定義為靜態也是一把雙刃劍。在以上的示例中，我們假設應用程序上下文屬性 VPDCTX.CUST_NAME 的值在會話中不改變。假如這種假設不正確，將會怎樣呢？假如該值改變，策略函數將不會執行，因此在謂詞中將不會使用新值，而返回 錯誤 的結果！因此，在將策略定義為靜態時要非常小心；您必須絕對確信該值不會改變。假如您不能作這種假設，則最好將策略定義為對上下文敏感。 共享策略類型。 為了重用代碼并最大限度地利用已經分析過的代碼，您可以決定為幾個表使用通用的策略函數。例如，在上述示例中，我們可能對于不同類型的帳戶擁有不同的表 — SAVINGS 和 CHECKING — 但是規則仍然是相同的：限制用戶查看余額超過其授權范圍的帳戶。這種情況要求為 CHECKING 和 SAVINGS 表上的策略使用統一的函數。該策略創建為 context_sensitive 。 假設事件按如下順序發生： 1. 連接會話
2. 設置應用程序上下文
3. select * from savings;
4. select * from checking; 即使應用程序上下文在第 3 步與第 4 步之間沒有改變，策略函數也會重新執行，因為現在所選擇的表已經不同。這不是我們所希望的情況，因為策略函數相同，不需要重新執行該函數。
10 g 中的新功能是能夠在對象間共享策略。在上述示例中，您可以將這些策略的策略類型定義為： policy_type => dbms_rls.shared_context_sensitive 將策略聲明為 "shared" 可以在以上所示的情況中不再執行該函數，從而提高了性能。 選擇性的列 現在設想一種情況，只有在選擇了特定列時才會應用 VPD 策略。在上述示例的表 ACCOUNTS 中，各行如下所示： ACCTNO ACCT_NAME BALANCE ------ ------------ ------- 1 BILL CAMP 1000 2 TOM CONNOPHY 2000 3 ISRAEL D 1500 不答應 Michelle 查看余額超過 1600 的帳戶。當她執行類似以下的查詢時： select * from accounts; 她將看到： ACCTNO ACCT_NAME BALANCE ------ ------------ ------- 1 BILL CAMP 1000 3 ISRAEL D 1500 acctno 2 的余額超過 1600 ，它已禁止顯示。對于 Michelle 而言，表中只有兩行，而不是三行。當她執行類似以下的查詢時： select count(*) from accounts; 該查詢只計算表中的記錄數，輸出是二，而不是三。 但是，此時我們可以決定將安全策略稍微放松一些。在本查詢中， Michelle 不能查看帳戶余額等秘密數據；她只是計算表中所有記錄的數目。在與安全策略一致的情況下，我們可以答應此查詢計算所有記錄的數目，無論是否答應她查看這些記錄。假如需要這樣，則在對 10 g 的 dbms_rls.add_policy 的調用中的另一個參數答應實現此功能： sec_relevant_cols => 'BALANCE' 現在，當用戶選擇列 BALANCE 時，無論是顯式選擇還是隱含在 select * 中， VPD 策略都會介入，對行作出限制。否則將會選擇表中所有的行，因為在查詢中用戶只選擇了總計行數，而沒有選擇列 BALANCE 。假如將以上參數設置為所示的形式，則查詢 select count(*) from accounts; 將顯示三列，而不是兩列。但是查詢： select * from accounts; 仍將只返回兩條記錄，與預期的情況相同。 列屏蔽 現在，讓我們對當前的示例再增加些要求。我們不禁止顯示那些余額高于閾值的行，而是希望顯示所有的行，同時屏蔽那些數值超過閾值的余額列。與安全性相關的列仍然是 BALANCE 。 不答應 Michelle 看到余額超過 1600 的帳戶。當她執行類似以下的查詢時： select * from accounts; 她將只看到兩行， acctnos 1 和 3 。但是，我們可能希望她看到： ACCTNO ACCT_NAME BALANCE ------ ------------ ------- 1 BILL CAMP 1000 2 TOM CONNOPHY <null> 3 ISRAEL D 1500 注重，顯示都所有行，但是 acctno 2 的列 BALANCE 的值顯示為空（顯示為 <null> ），它的余額實際上是 2000 ，超過閾值 1600 。這種方法稱為 “ 列屏蔽 ” ，可以通過在對 dbms_rls.add_policy 的調用中指定參數來實現： sec_relevant_cols_opt => dbms_rls.all_rows 在只有某些特定列值很重要的情況下，這種策略才可能非常有用，并且不需要復雜的自定義代碼。它也是一種很好的變通方法，不需要對存儲數據進行加密。
結論 在 Oracle 數據庫 10 g 中， VPD 已經發展為一種功能非常強大的特性，它能夠支持多種需求，例如基于策略有選擇性地屏蔽列，只在訪問特定列時應用策略等。利用應用程序特有的性質，還可以通過多種類型的策略來提高策略的性能，使得該特性適用于多種情況。 有關 VPD 和 dbms_rls 程序包的更多信息，請參閱 PL/SQL 程序包和類型參考 的 第 79 章 以及 Oracle 數據庫安全指南 。您還可以閱讀由我與 Don Burleson 合著的一本關于該主題的書籍 Oracle 保密安全性審計 (Rampant TechPRess) 。
