热门标签 | HotTags
当前位置:  开发笔记 > 数据库 > 正文

DB210新特性:RCAC基于行和列级别的权限控制

在客户环境中,有可能存在着一些表记载的信息需要被不同角色的用户来访问。应用需要控制表中的一些敏感信息只能被特定的用户访问。此前用户一般只能通过创建多个视图和开发应用增加逻辑等来做到这一点。

在客户环境中,有可能存在着一些表记载的信息需要被不同角色的用户来访问。应用需要控制表中的一些敏感信息只能被特定的用户访问。此前用户一般只能通过创建多个视图和开发应用增加逻辑等来做到这一点。

RCAC 通过对表里面行和列的访问权限控制,可以简单的实现这种安全性需求。安全访问得到控制,开发应用变的简单。

DB2 Galileo,也就是 DB2 的 V10 版本是 IBM 在 2012 年推出的新产品。原先的 DB2 pureScale 可以说是 DB2 中的一个独立分支,版本号为 9.8,现在也集成到了 DB2 Galileo 中。DB2 Galileo 不仅集成了 DB2 pureScale,在很多方面也都有大的改进,并且开发了许多新的功能。例如在原先杰出的压缩技术基础上引入了页内进一步压缩机制,获得更好的压缩效率;多温度控制功能,帮助客户解决如何优化利用不同的存储设备,获得更好的性能效果,与 DB2 的工作负载管理结合,最优系统资源利用;新的索引查询技术,无需建立冗余的索引,使用现有综合索引获得更快的查询速度;新的客户端导入数据的技术可以帮助客户能够并行更高效率导入数据,数据几乎实时可见等等。本文中将关注 DB2 中关于细粒度的权限控制 RCAC(Row and Column Access Control)特性。顾名思义,这个特性能够让用户的权限控制细化到行和列的级别。

RCAC 的应用场景

细粒度的权限控制并不是一个新兴的需求,这在长久的应用中一直会被提到。例如在客户环境中,有可能存在着一些表记载的信息需要被不同角色的用户来访问。应用需要控制表中的一些敏感信息只能被特定的用户访问。这些敏感信息,可能是一些列的内容不应被特定用户访问到,也有可能是表中的一些条目(行)不应被展示。为了做到这一点,用户一般需要通过创建视图或者开发应用增加逻辑等来做到这一点。即便如此,因为仅仅在应用层做了限制,并没有规避用户能够访问表中敏感数据的风险。RCAC 通过对表里面行和列的访问权限控制,可以简单的实现这种安全性需求。不仅安全访问得到控制,而且开发应用也变的简单。

RCAC 的技术介绍

RCAC 是对表中行和列的访问控制。对于行的控制,RCAC 使用的是创建 Permission(许可)的技术,能够控制用户对于表的访问只能查询到自己应该看到的信息,其他条目信息不应该被该用户察觉。假如一张表有 100 个条目,某个特定的角色只应访问 10 个条目,那么对于这个用户来说,他能看得的仅仅是一张具有 10 个条目的完整的表。他的任何查询,只会访问到这十个条目。对于列的控制,RCAC 的展示技术和行不太一样。RCAC 使用的是 Data Mask(面具)技术,也就是在敏感信息的列上可以创建面具,对于这些敏感的列,应该获得该信息的用户仍然可以正常查看,但是不应访问到此信息的只能看到数据返回的是一张面具,而不是真实的值。所以无论任何用户,都可以看到表的真实结构,不会给应用开发带来麻烦,使用同样的查询语句,最后的结果会因人而异。下面通过一个例子来看如何应用 DB2 10RCAC 技术。在这个例子中,使用了 DB2 的 sample 数据库。如果用户拿到 DB2 10 的安装介质,就可以来尝试下面的实现步骤。

RCAC 技术实现案例

安装 DB2 10 环境和 sample 数据库

首先在操作系统上安装 DB2 10 副本,然后为实例用户创建实例,本文中使用的实例用户是 db2inst1。查看 DB2 版本为 V10。然后创建 sample 示例数据库。

清单 1. 查看 DB2 版本

				
 db2inst1@idb1122a:~> db2level 
 DB21085I  Instance "db2inst1" uses "64" bits and DB2 code release "SQL10010"
 with level identifier "0201010E". 
 Informational tokens are "DB2 v10.1.0.0", "s111206", "LINUXAMD64101", and Fix 
 Pack "0". 
 Product is installed at "/opt//db2/V10.1". 

清单 2. 创建 sample 示例数据库

				
 db2inst1@idb1122a:~> db2inst1@idb1122a:~> db2sampl -dbpath /db2/sample -name sample 

  Creating database "sample" on path "/db2/sample"... 
  Connecting to database "sample"... 
  Creating tables and data in schema "DB2INST1"... 
  Creating tables with XML columns and XML data in schema "DB2INST1"... 

  'db2samp' processing complete. 

定义相关用户和角色

DB2 权限控制是针对访问者的控制,也就是最终用户。DB2 的用户认证是由操作系统或者第三方用户认证软件来完成的。所以本案例中需要在操作系统创建连接数据库的用户。本案例在操作系统创建了两个用户 pernal 和 sanders 用以展示。

清单 3. 创建角色

				
 db2inst1@idb1122a:~> db2 create role manager 
 DB20000I  The SQL command completed successfully. 

清单 4. 关联用户和角色

				
 db2inst1@idb1122a:~> db2 grant manager to sanders with admin option 
 DB20000I  The SQL command completed successfully. 

到此可以看到 , 案例的连接用户有两个。Sanders 是一个 manager,而 pernal 就是一个普通职员。本文设计的情景中,这两个用户多会去访问 staff 这张表。Sanders 可以看到 staff 里面自己和属于自己员工的信息。而 pernal 只能看到自己的信息。在 staff 这张表中有一列 SALARY,记载的是每个人的薪水信息,这个信息是机密的,只有员工自己能看到。所以无论是 Sanders 还是 pernal,他们都只能看到自己的 salary 信息,而不能看到其他人的,即使 Sanders 是 manager,他也不能看到自己员工的财务信息。

推荐阅读
  • 在成功安装和测试MySQL及Apache之后,接下来的步骤是安装PHP。为了确保安全性和配置的一致性,建议在安装PHP前先停止MySQL和Apache服务,并将MySQL集成到PHP中。 ... [详细]
  • 阿里云ecs怎么配置php环境,阿里云ecs配置选择 ... [详细]
  • 本文介绍了如何利用 Spring Boot 和 Groovy 构建一个灵活且可扩展的动态计算引擎,以满足钱包应用中类似余额宝功能的推广需求。我们将探讨不同的设计方案,并最终选择最适合的技术栈来实现这一目标。 ... [详细]
  • 采用IKE方式建立IPsec安全隧道
    一、【组网和实验环境】按如上的接口ip先作配置,再作ipsec的相关配置,配置文本见文章最后本文实验采用的交换机是H3C模拟器,下载地址如 ... [详细]
  • 在进行QT交叉编译时,可能会遇到与目标架构不匹配的宏定义问题。例如,当为ARM或MIPS架构编译时,需要确保使用正确的宏(如QT_ARCH_ARM或QT_ARCH_MIPS),而不是默认的QT_ARCH_I386。本文将详细介绍如何正确配置编译环境以避免此类错误。 ... [详细]
  • 本文介绍了数据库体系的基础知识,涵盖关系型数据库(如MySQL)和非关系型数据库(如MongoDB)的基本操作及高级功能。通过三个阶段的学习路径——基础、优化和部署,帮助读者全面掌握数据库的使用和管理。 ... [详细]
  • 目录一、salt-job管理#job存放数据目录#缓存时间设置#Others二、returns模块配置job数据入库#配置returns返回值信息#mysql安全设置#创建模块相关 ... [详细]
  • 福克斯新闻数据库配置失误导致1300万条敏感记录泄露
    由于数据库配置错误,福克斯新闻暴露了一个58GB的未受保护数据库,其中包含约1300万条网络内容管理记录。任何互联网用户都可以访问这些数据,引发了严重的安全风险。 ... [详细]
  • 本文详细介绍了优化DB2数据库性能的多种方法,涵盖统计信息更新、缓冲池调整、日志缓冲区配置、应用程序堆大小设置、排序堆参数调整、代理程序管理、锁机制优化、活动应用程序限制、页清除程序配置、I/O服务器数量设定以及编入组提交数调整等方面。通过这些技术手段,可以显著提升数据库的运行效率和响应速度。 ... [详细]
  • 简化报表生成:EasyReport工具的全面解析
    本文详细介绍了EasyReport,一个易于使用的开源Web报表工具。该工具支持Hadoop、HBase及多种关系型数据库,能够将SQL查询结果转换为HTML表格,并提供Excel导出、图表显示和表头冻结等功能。 ... [详细]
  • 1.执行sqlsever存储过程,消息:SQLServer阻止了对组件“AdHocDistributedQueries”的STATEMENT“OpenRowsetOpenDatas ... [详细]
  • 本章详细介绍SP框架中的数据操作方法,包括数据查找、记录查询、新增、删除、更新、计数及字段增减等核心功能。通过具体示例和详细解析,帮助开发者更好地理解和使用这些方法。 ... [详细]
  • Linux环境下进程间通信:深入解析信号机制
    本文详细探讨了Linux系统中信号的生命周期,从信号生成到处理函数执行完毕的全过程,并介绍了信号编程中的注意事项和常见应用实例。通过分析信号在进程中的注册、注销及处理过程,帮助读者理解如何高效利用信号进行进程间通信。 ... [详细]
  • 主调|大侠_重温C++ ... [详细]
  • Linux环境下C语言实现定时向文件写入当前时间
    本文介绍如何在Linux系统中使用C语言编程,实现在每秒钟向指定文件中写入当前时间戳。通过此示例,读者可以了解基本的文件操作、时间处理以及循环控制。 ... [详细]
author-avatar
135369一生真爱_890
这个家伙很懒,什么也没留下!
PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具
Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有