ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Oracle [игнор отключен] [закрыт для гостей] / ограничение доступа
43 сообщений из 43, показаны все 2 страниц
  все  
ограничение доступа
    #32330430
zm
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
zm
Гость
Можно ли ограничить пользователя таким образом, что бы он работал только с одним конкретным приложением, запретить попытки обращения к базе с других приложений
...
Рейтинг: 0 / 0
20.11.2003, 16:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #32330552
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Полноценно - нет, а все выдрючивания можно обойти.
Кстати, запретить попытки уж никак нельзя ;-)
...
Рейтинг: 0 / 0
20.11.2003, 17:20
| Ответить | Цитировать | Написать  
ограничение доступа
    #32330869
Angel
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Angel
Участник
Создать роли, дающие возможность пользователю работать с базой.
Дать эти роли пользователю, но не по умолчанию.
Включать эти роли(alter session set role) только в приложении.
Лишить доступа к sqlplus и т.п.
...
Рейтинг: 0 / 0
21.11.2003, 06:05
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331047
Фотография Sergey Lookin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Sergey Lookin
Участник
Повесить на событие On Login в Oracle проверку приложения, и дальше либо пускать либо нет. (не проверял, но по моему это возможно).

----
Oracle 9.2.0.1.0
вероятно что я и не прав. но backup я уже сделал...
...
Рейтинг: 0 / 0
21.11.2003, 10:13
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331504
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Любые команды SQL (да и весь трафик к Oracle), можно посмотреть и выполнить все те же команды, которые делает "секретное приложение" из любой другой программы (хоть самому можно написать) - и все, пшик ваша защита. Полноценно не защитить, а от бабушки 50-летней, конечно, еще как-то можно.
...
Рейтинг: 0 / 0
21.11.2003, 14:27
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331528
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
2 Markelenkov
не уверен.. похоже, что команды "повышенонной секретности" не попадают в v$sql. или вы имеете в виду разбор именно сетевого трафика?

Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
SQL> create user test5 identified by test5
   2   /

User created

SQL> select sql_text from v$sql s
   2   where lower(sql_text) like '%create user test%'
   3   /

SQL_TEXT
 --------------------------------------------------------------------------------
 
select sql_text from v$sql s where lower(sql_text) like '%create user test%'

SQL>
...
Рейтинг: 0 / 0
21.11.2003, 14:40
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331546
KonstN
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
KonstN
Участник
2 Markelenkov
Можно сварганить собственный протокол логона аля Керберос и зашить его в своё приложение. Другим приложением это не повторить будет.
...
Рейтинг: 0 / 0
21.11.2003, 14:48
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331615
alexa_s
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexa_s
Гость
под sys создаешь следующий триггер
CREATE OR REPLACE TRIGGER trg$logon
AFTER LOGON
ON DATABASE
when (user not in ('SYS','SYSTEM'))
DECLARE
ln_sid NUMBER;
user_name VARCHAR2(30);
os_user VARCHAR2(30);
program_z VARCHAR2(30);
BEGIN
SELECT sid
INTO ln_sid
FROM v$mystat
WHERE ROWNUM < 2
;
SELECT v$session.username
, v$session.osuser
, v$session.program
into user_name, os_user, program_z
FROM v$session
WHERE v$session.sid = ln_sid
AND v$session.username = USER;
IF LTRIM(USER_name)=' SCOTT ' and program_z<> 'TOAD.exe' then
RAISE_APPLICATION_ERROR (
-20905, 'Вас возможность работать только в TOAD');
end if ;
end;
можешь навернуть на него что угодно например вход только с опреденнного терминала и т.д.
...
Рейтинг: 0 / 0
21.11.2003, 15:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331634
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
2 alexa_s

берем файл hack_oracle.exe и переименовываем его в Toad.exe
как будем держать оборону, товарищ полковник?
...
Рейтинг: 0 / 0
21.11.2003, 15:31
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331649
Violina
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Violina
Участник
to alexa\r
\r
Триггер будет работать только если у SCOTT нет роли DBA\r
\r
grant/revoke dba в триггере\r
\r
PS\r
Кроме того это можно обойти переименованием sqlplus.exe в toad.exe.\r
\r
Код: plaintext
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
D:\\oracle\\ora92\\bin>ren sqlplus.exe toad.exe\r
\r
D:\\oracle\\ora92\\bin>toad vio/msx386\r
\r
SQL*Plus: Release  9 . 2 . 0 . 4 . 0  - Production on Fri Nov  21   15 : 35 : 21   2003 \r
\r
Copyright (c)  1982 ,  2002 , Oracle Corporation.  All rights reserved.\r
\r
Connected to:\r
Oracle9i Enterprise Edition Release  9 . 2 . 0 . 4 . 0  - Production\r
With the Partitioning, OLAP and Oracle Data Mining options\r
\r
SQL> select username, program from v$session;\r
\r
USERNAME                       PROGRAM\r
 ------------------------------ ------------------\r
 
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
                               ORACLE.EXE\r
VIO                            toad.exe\r
\r
 9  rows selected.
...
Рейтинг: 0 / 0
21.11.2003, 15:37
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331674
alexa_s
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
alexa_s
Гость
Этож только пример незачем пользователю показавать все насвете что он имеет права или неимеет права
...
Рейтинг: 0 / 0
21.11.2003, 15:50
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331676
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
эх.. вы не знаете этих пользователей. такие проныры..
...
Рейтинг: 0 / 0
21.11.2003, 15:54
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331678
Обкуренная Обезьяна
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Обкуренная Обезьяна
Участник
И спросит тогда пользователь

тварь я дрожащая или право имею
...
Рейтинг: 0 / 0
21.11.2003, 15:56
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331684
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
и спустится с небес DBA и исполнит молитвы страждущего. и наступит тогда во всей информационной системе рай, благоухание и компот.
...
Рейтинг: 0 / 0
21.11.2003, 16:00
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331907
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
To Barkovsky
В v$sql и в подобные места не попадает только пароль пользователя (если я не забыл что-нибудь).

To alexa_s
Да, можно еще свой сетевой протокол написать, свою криптографию навесить, запретить юзерам пользоваться отладчиками. Так можно дойти и до того, что легче что-то вместо Oracle самому написать.

Вся проблема в том, что программа работает на клиенте , и имя программы идет от клиента. А он на своем компе может сделать все, что его душеньке угодно. Вот если вы на его машине уберете FDD, CD-ROM, уберете всякие C++, Delphi и прочая и прочая... Чтобы он, зараза, не мог ничего сам написать и принести откуда-нибудь - опечатать все нафиг. И охранника к каждому юзеру надо приставить, ведь найдется гад, который в простом редакторе наберет exe-файл (сляпаный, к примеру, дома) и запустит его.

В общем, или работа, или такая защита. А ради чего?
...
Рейтинг: 0 / 0
21.11.2003, 19:00
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331925
Фотография Barkovsky
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Barkovsky
Участник
тогда логично предположить, что если роль защищенна паролем, то при
Код: plaintext
aler session set role
тоже не попадет в v$sql..
следовательно, если зашить alter session set role в исполняемом коде, то доступ пользователям (не DBA) будет только из этого приложения.
не вижу граблей на этом пути:)
...
Рейтинг: 0 / 0
21.11.2003, 19:15
| Ответить | Цитировать | Написать  
ограничение доступа
    #32331944
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Да v$sql здесь совсем ни причем. Он простым юзерам не должен быть виден.

Да я же привел пример - перехватываем, сидя на своей машине сетевой трафик, все команды SQL можно записать в trace-файл. И Оракловая криптография не поможет, т.к. можно, конечно, не дать прав юзеру на изменение sqlnet.ora, но право установить нужную ему переменную окружения tns_admin у него не отобрать. После чего криптография отключается. Поэтому здесь катит только предложение от KonstN с маленьким уточнением - писать свою криптографию и на сервере и на клиенте. Но и против этого существует отладчик, при помощи которого все отсылаемые на сервер команды и алгоритм шифрования вскрываются. А так как вся защита будет основана на незнании юзером выдаваемых приложением команд и на алгоритме шифрования, а не на ключе - пишу свою программу и пшик всей затее.

Ну никак Oracle не узнает ничего о свойствах (в том числе и об имени exe-файла и пр.) программы клиента, если она ему сама об этом не расскажет!

Затраченные усилия на надежную реализацию требований, требуемых автором вопроса, наверняка не стоят этого. А от дурака можно придумать и 100 вариантов - описанные выше, вставка в "секретную" таблицу "секретной" строчки... ... :-))
...
Рейтинг: 0 / 0
21.11.2003, 19:51
| Ответить | Цитировать | Написать  
ограничение доступа
    #32332060
Вячеслав Любомудров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Вячеслав Любомудров
Участник
Да у вас не юзера - хакеры какие-то
Для обычных юзеров достаточно триггер на logon и проверка DBMS_APPLICATION.SET_MODULE (по-моему так).
А хакер - он и в африке хакер. Захочет - зайдет.
Другое дело, что этих хакеров надо производить в должность системных программистов, не давать никаких задач (или дать откровенно тупую) и сделать вид, что очень ждем результатов.
...
Рейтинг: 0 / 0
22.11.2003, 06:01
| Ответить | Цитировать | Написать  
ограничение доступа
    #32332122
Фотография Markelenkov
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Markelenkov
Участник
Да у меня-то юзеры обычные, бог миловал ;-)
Просто я по себе сужу - что бы я делал, если б мне сказали: "Дружок, вот тебе TOAD, и да наступит тебе феличита, а все другое - от Лукавого". Я же сразу сказал - полноценнно (т.е. на 99% хотя бы) я не знаю, как сделать. А от дурака - 100 способов можно придумать. Пока что хорошего и простого способа никто не предложил. Думаю, и не предложат. Ждем-с...
...
Рейтинг: 0 / 0
22.11.2003, 14:18
| Ответить | Цитировать | Написать  
Период между сообщениями больше года.
ограничение доступа
    #39451068
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
подскажите плз, можно ли запретить юзеру с ролью DBA доступ к em?
иначе говоря, доступ к em должен быть только у SYS-а (as sysdba)
можно ли так сделать?
ps. oracle 11g
...
Рейтинг: 0 / 0
11.05.2017, 01:38
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451136
Фотография env
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
env
Участник
dekloper,

Возникает резонный вопрос - зачем пользователю роль, к инструменту выполнения которой он не должен иметь доступ?
Может разумнее забрать у этого пользователя роль DBA, выданную ему скорее всего из-за отсутствия понимания необходимых для его задач привилегий?
...
Рейтинг: 0 / 0
11.05.2017, 09:50
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451139
tru55
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
tru55
Участник
Для сведения: все, что можно сделать через EM, можно сделать без EM. Разумеется, при определенной квалификации юзера.
...
Рейтинг: 0 / 0
11.05.2017, 09:57
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451218
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
envdekloper,
скорее всего из-за отсутствия понимания необходимых для его задач привилегий?
100% так и есть.. если б кто точно знал что надо для работы нашего кривософта, вопросов бы не было...

tru55Для сведения: все, что можно сделать через EM, можно сделать без EM. Разумеется, при определенной квалификации юзера.
сведения известные: мне скл+ за глаза хватает..
нужна именно защита от.. обезъяны с гранатой..
...
Рейтинг: 0 / 0
11.05.2017, 11:25
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451236
Фотография env
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
env
Участник
dekloper,

Триггер на логон с проверкой приложения и хоста. Будет мина замедленного действия, но зато в том же духе говнокода, что уже есть.
...
Рейтинг: 0 / 0
11.05.2017, 11:36
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451239
Q.Tarantino
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Q.Tarantino
Участник
dekloper100% так и есть.. если б кто точно знал что надо для работы нашего кривософта, вопросов бы не было...
для кривософта должна быть тестовая среда. ее нереально развернуть???
...
Рейтинг: 0 / 0
11.05.2017, 11:36
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451259
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
env,

дык вроде говорят с ролью дба триггеры не срабатывают..
Violinato alexa

Триггер будет работать только если у SCOTT нет роли DBA

grant/revoke dba в триггере

PS
Кроме того это можно обойти переименованием sqlplus.exe в toad.exe.
...
Рейтинг: 0 / 0
11.05.2017, 12:01
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451266
dekloper
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dekloper
Гость
Q.Tarantinodekloper100% так и есть.. если б кто точно знал что надо для работы нашего кривософта, вопросов бы не было...
для кривософта должна быть тестовая среда. ее нереально развернуть???
есть конечно.. тока там тестятся более страшные вещи..
невозможность работы без дба привилегии у нас пока не считается кривизной..
...
Рейтинг: 0 / 0
11.05.2017, 12:05
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451277
аз сисьдба
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
аз сисьдба
Гость
dekloperдык вроде говорят с ролью дба триггеры не срабатывают..
алиона очепаталась. Событийные триггеры не прерывают действо только для SYSа.
...
Рейтинг: 0 / 0
11.05.2017, 12:17
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451292
Q.Tarantino
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Q.Tarantino
Участник
dekloperQ.Tarantinoпропущено...

для кривософта должна быть тестовая среда. ее нереально развернуть???
есть конечно.. тока там тестятся более страшные вещи..
невозможность работы без дба привилегии у нас пока не считается кривизной..
ну раз наличие роли DBA не критично, то тему можно закрывать :)
...
Рейтинг: 0 / 0
11.05.2017, 12:33
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451342
Вячеслав Любомудров
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Вячеслав Любомудров
Участник
аз сисьдбаdekloperдык вроде говорят с ролью дба триггеры не срабатывают..
алиона очепаталась. Событийные триггеры не прерывают действо только для SYSа.Для имеющих ADMINISTER DATABASE TRIGGER
...
Рейтинг: 0 / 0
11.05.2017, 13:38
| Ответить | Цитировать | Написать  
ограничение доступа
    #39451358
dba123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dba123
Участник
Aliona,Violina - это разные люди
...
Рейтинг: 0 / 0
11.05.2017, 13:54
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453041
Фотография Viewer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Viewer
Участник
dba123Aliona,Violina - это разные люди
...кхм..если сравнить 2 профиля, то Aliona есьм Violina, в..кхм..девичестве, imho..
...
Рейтинг: 0 / 0
15.05.2017, 12:44
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453636
Фотография Ozornitca
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ozornitca
Участник
а мне на этом форуме советовали fgac)) хорошая такая штука, которой парвда нельзя злоупотреблять))

у вас же для отдельного приложения свой отдельный пользователь, под которым оно коннектиться к схеме ?

написать процедуру, которая будет выдавать фигу конкретно этому пользователю

не ? норм мысль?
...
Рейтинг: 0 / 0
16.05.2017, 10:56
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453684
Фотография Viewer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Viewer
Участник
Ozornitcaмне советовали fgac...правда нельзя злоупотреблять
... будет выдавать фигу конкретно этому пользователю
use FGAC with EM (кузькина мать или фига с маслом) "Вертит Очками fgac так и сяк:
То к темю их прижмет, то их на хвост нанижет,
То их понюхает, то их полижет;"
...
Рейтинг: 0 / 0
16.05.2017, 12:00
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453712
Фотография Ozornitca
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ozornitca
Участник
ViewerOzornitcaмне советовали fgac...правда нельзя злоупотреблять
... будет выдавать фигу конкретно этому пользователю
use FGAC with EM (кузькина мать или фига с маслом) "Вертит Очками fgac так и сяк:
То к темю их прижмет, то их на хвост нанижет,
То их понюхает, то их полижет;"

да блин, я же сказала - не злоупотребляя)

можно ли навесить fgac на процесс авторизации ? там же тоже обращается к системной какой таблице с логинами паролями?
...
Рейтинг: 0 / 0
16.05.2017, 12:29
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453717
Фотография Ozornitca
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ozornitca
Участник
вообще тут принято отвечать то стихами, то выписками из классической прозы...

эрудированный форум!
...
Рейтинг: 0 / 0
16.05.2017, 12:31
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453749
Фотография Viewer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Viewer
Участник
dekloperподскажите плз, можно ли запретить юзеру с ролью DBA доступ к em?
dekloperмне скл+ за глаза хватает..
нужна именно защита от.. обезъяны с гранатой..
Лучшее средство от перхоти: ./emctl stop dbconsoleTo access the Oracle Enterprise Manager Console from a client browser, the dbconsole process needs to be running on the server.
Starting and Stopping the Oracle Enterprise Manager Console
...
Рейтинг: 0 / 0
16.05.2017, 12:58
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453765
dba123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dba123
Участник
Ozornitcaа мне на этом форуме советовали fgac)) хорошая такая штука, которой парвда нельзя злоупотреблять))
у вас же для отдельного приложения свой отдельный пользователь, под которым оно коннектиться к схеме ?
написать процедуру, которая будет выдавать фигу конкретно этому пользователю
не ? норм мысль?
Ozornitcaпо моему - это вы пренебрегаете элементарными логическими рассуждениями со своими выводами : у вас все работают под владельцем (феерично), затем - у пользователей есть что-то кроме навигатора ... я валяюсь, чесслово

Довольно просто сделать приложение с несколькими схемами

Например, клиент-серверное приложение:
- изъяты все any privileges от известных тебе людей

- пользователи оракловые, со своими профилями(смена пароля, лимиты..)
--имеют привилегию create session, как минимум, для ЕЕ достаточно)

- схема данных OZDATA(таблицы, представления, OZPROC(пакеты, процедуры), триггеры ...) пользователь заблокирован

- схема ограниченного доступа OZSECURITY (таблицы логов/аудита, представления, пакеты, процедуры, триггеры) пользователь заблокирован
--имеет возможность создавать новых пользователей
--раздавать им права от имени других

- пользователь OZPROXY для прокси подключения к схеме данных

- созданы роли для любых производственных групп(как минимум, у всех insert в АУД/ЛОГ табле)

Даже синонимы не нужны(если нет тестовых схем).

Юзер
зашел в приложение
,попал в схему OZDATA
,имеет доступ к данным/процедурам в этой схеме согласно ролям.

Вот теперь можно использовать разграничение доступа к таблицам на уровне строк или меток.
Что сложного в такой структуре?
...
Рейтинг: 0 / 0
16.05.2017, 13:15
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453776
Фотография Viewer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Viewer
Участник
dba123,
Это вы кому... столько много букв... и цитата из 19197817 к чему?
...
Рейтинг: 0 / 0
16.05.2017, 13:31
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453787
dba123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dba123
Участник
Viewer,

Это всё ей на вопрос
"у вас же для отдельного приложения свой отдельный пользователь, под которым оно коннектиться к схеме ?"
...
Рейтинг: 0 / 0
16.05.2017, 13:42
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453846
Фотография Ozornitca
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ozornitca
Участник
dba123Ozornitcaа мне на этом форуме советовали fgac)) хорошая такая штука, которой парвда нельзя злоупотреблять))
у вас же для отдельного приложения свой отдельный пользователь, под которым оно коннектиться к схеме ?
написать процедуру, которая будет выдавать фигу конкретно этому пользователю
не ? норм мысль?
Ozornitcaпо моему - это вы пренебрегаете элементарными логическими рассуждениями со своими выводами : у вас все работают под владельцем (феерично), затем - у пользователей есть что-то кроме навигатора ... я валяюсь, чесслово

Довольно просто сделать приложение с несколькими схемами

Например, клиент-серверное приложение:
- изъяты все any privileges от известных тебе людей

- пользователи оракловые, со своими профилями(смена пароля, лимиты..)
--имеют привилегию create session, как минимум, для ЕЕ достаточно)

- схема данных OZDATA(таблицы, представления, OZPROC(пакеты, процедуры), триггеры ...) пользователь заблокирован

- схема ограниченного доступа OZSECURITY (таблицы логов/аудита, представления, пакеты, процедуры, триггеры) пользователь заблокирован
--имеет возможность создавать новых пользователей
--раздавать им права от имени других

- пользователь OZPROXY для прокси подключения к схеме данных

- созданы роли для любых производственных групп(как минимум, у всех insert в АУД/ЛОГ табле)

Даже синонимы не нужны(если нет тестовых схем).

Юзер
зашел в приложение
,попал в схему OZDATA
,имеет доступ к данным/процедурам в этой схеме согласно ролям.

Вот теперь можно использовать разграничение доступа к таблицам на уровне строк или меток.
Что сложного в такой структуре?

очень интересно

вопрос: если приложений много больше 5- для каждого создавать по несколько схем ?

а вообще честно говоря что-то я плохо ориентируюсь в нарисованной вами архитектуре, надо мне чет почитать.
...
Рейтинг: 0 / 0
16.05.2017, 14:35
| Ответить | Цитировать | Написать  
ограничение доступа
    #39453953
dba123
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
dba123
Участник
Ozornitca,

как хочешь
- можно ролями разделить
- можно именами схем, я сделал бы именно так, выделив общие схемы

Для теста создай 4 файла и наполняй их с появлением новых знаний
Код: plsql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
45.
46.
47.
48.
49.
50.
51.
52.
53.
54.
55.
56.
57.
58.
--install.sql:
@01create_schema.sql  ~01create_schema.log
@02ozsecurity.sql     ~02ozsecurity.log     ozsecurity/ozsecurity@orcl
@03ozdata.sql         ~03ozdata.log         ozdata/ozdata@orcl


--01create_schema.sql:
spool &1
set verify off
whenever sqlerror exit failure;
whenever oserror exit failure;

-- 1) удаляем схемы, роли, контексты 
--    OZDATA, OZSECURITY, OZROLE1, OZROLE2, OZCTX,...
declare
 user_does_not_exist    exception;
 role_does_not_exist    exception;
 context_does_not_exist exception;
 synonym_does_not_exist exception;
 pragma exception_init(user_does_not_exist, -01918);
 pragma exception_init(role_does_not_exist, -01919);
 pragma exception_init(context_does_not_exist, -04043);
 pragma exception_init(synonym_does_not_exist, -01432);
begin

 begin
   execute immediate 'drop user OZDATA cascade';

   exception when user_does_not_exist then
     dbms_output.put_line(dbms_utility.format_error_stack);
 end;
 ...
-- 2) Создаем схемы, роли, контексты, тестюзера
 ...
-- 3) Раздаем права на системные таблицы и пакеты 
 ...

end;
/

spool off
set verify on



--03ozdata.sql:
spool &1
connect &2
set verify off
whenever sqlerror exit failure;
whenever oserror exit failure;

-- 1) создаем таблицу T1
...
-- 10) выдаем права to OZROLE1

spool off
set verify on
...
Рейтинг: 0 / 0
16.05.2017, 16:19
| Ответить | Цитировать | Написать  
ограничение доступа
    #39454099
Фотография Ozornitca
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ozornitca
Участник
dba123,
спасибо я посмотрю!
...
Рейтинг: 0 / 0
16.05.2017, 18:55
| Ответить | Цитировать | Написать  
43 сообщений из 43, показаны все 2 страниц
  все  
Форумы / Oracle [игнор отключен] [закрыт для гостей] / ограничение доступа
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/search_topic.php?author=KPOK&author_mode=last_posts&do_search=1]:
 0ms
get settings:
 9ms
get forum list:
 16ms
get settings:
 10ms
get forum list:
 20ms
check forum access:
 4ms
check topic access:
 4ms
track hit:
 201ms
get topic data:
 13ms
get forum data:
 3ms
get page messages:
 102ms
get tp. blocked users:
 2ms
others: 489ms
total:  873ms
созд. / загр.: 873ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]