|
操作清单
- 识别敏感的表和列。
- 识别要访问的敏感度——例如，工资低于 500 的。
- 将所有可能的组合放在一张纸上，然后将这些组合合并成 WHERE 条件（谓词），在这种方式下，只要一个谓词就将满足任何给定的条件。
- 在那些谓词中构建 FGA 策略。
- 启动 FGA 策略。
- 之后，分析 FGA 审计线索文件。
- 制作清除计划，清除 FGA 线索表。
4.2 激活虚拟专用数据库
背景
如果您已经很熟悉应用程序环境和虚拟专用数据库（也称为行级安全性或细粒度访问控制），您可以跳过该节，直接查看策略节。
虚拟专用数据库 (VPD) 是一个很大的主题，因此我在这里只将一些基本的。 要了解背景知识，请参考我的 Oracle 杂志中有关该主题的 文章；您也可以在我的书里面找到关于 FGA 方面的更多信息。
假设您有一个称为 ACCOUNTS 的表，表中有以下数据： SQL> select * from rates;
ACCNO ACC_NAME ACC_BAL
---------- -------------------- ----------
1 John 1000
2 Jill 1500
3 Joe 1200
4 Jack 1300
您想确保只有得到适当授权的人才可以查阅授权范围的帐户余额。也就是说，级别 1 看到的余额应该小于 1,000，级别 2 看到的余额应该小于 1,200，级别 3 可以看到所有的余额。 您还有另一张显示用户和级别的表。 SQL> select * from tab;
USERNAME USERLEVEL
------------------------------ ----------
CLERK1 1
CLERK2 2
CLERK3 3
要存储用户首次登录时的用户级别，因此需要创建应用程序环境： create context user_level_ctx using set_user_level_ctx; 以及相关的可信过程： create or replace procedure set_user_level_ctx
(
p_level in number
)
as
begin
dbms_session.set_context (
'USER_LEVEL_CTX',
'LEVEL',
p_level
);
end;
接着，您需要创建登录触发器以设置适当的应用程序环境。 create or replace trigger tr_set_user_level
after logon
on database
declare
l_level number;
begin
select userlevel
into l_level
from arup.userlevels
where username = user;
set_user_level_ctx (l_level);
exception
when NO_DATA_FOUND then
null;
when OTHERS then
raise;
end;
这设置了一个阶段，您可以按照该阶段在应用程序环境属性设置用户级别。 我们测试一下，以确保： SQL> conn clerk1/clerk1
Connected.
SQL> select sys_context('USER_LEVEL_CTX','LEVEL') from dual;
SYS_CONTEXT('USER_LEVEL_CTX','LEVEL')
--------------------------------------
1
SQL> conn clerk2/clerk2
Connected.
SQL> select sys_context('USER_LEVEL_CTX','LEVEL') from dual;
SYS_CONTEXT('USER_LEVEL_CTX','LEVEL')
--------------------------------------
2
SQL> conn clerk3/clerk3
Connected.
SQL> select sys_context('USER_LEVEL_CTX','LEVEL') from dual;
SYS_CONTEXT('USER_LEVEL_CTX','LEVEL')
(编辑:aniston)
|
