Oracle Label Security fine grained access control 10

Oracle Label Security (fine grained access control) 10. Februar 2004 Thomas Tretter, 10. Februar 2004 Oracle Label Security 1

Gliederung des Vortrags • Nutzung dieser Funktion • Installation • Administration und Konfiguration • Vorgehensweise • Beispiele • Fazit/Referenzen Thomas Tretter, 10. Februar 2004 Oracle Label Security 2

Nutzung dieser Funktion • weitergehende Berechtigung an Tabelleninhalten definieren (row level security) • verschiedene User sehen unterschiedlichen Inhalt (Mandantenfähigkeit) • Nutzung über integrierte Datenbank Packages • verschiedene Sensitivitätslevel Thomas Tretter, 10. Februar 2004 Oracle Label Security 3

Installation • VPD, bzw Oracle Label Security (OLS) ist eine extra Option und muss daher im Oracle Installer auch extra ausgewählt werden (OLS wird defaultmäßig nicht mit installiert • Überprüfung: > sqlplus / SQL*Plus: Release 9. 2. 0. 3. 0 - Production on Wed Apr 23 13: 45: 26 2003 Copyright (c) 1982, 2002, Oracle Corporation. All rights reserved. Connected to: Oracle 9 i Enterprise Edition Release 9. 2. 0. 3. 0 - 64 bit Production With the Partitioning, Oracle Label Security, OLAP and Oracle Data Mining options JServer Release 9. 2. 0. 3. 0 - Production Thomas Tretter, 10. Februar 2004 Oracle Label Security 4

Installation • Einspielen der Objekte (Oracle intern) • Aufruf des Scripts: $ORACLE_HOME/rdbms/admin/catols. sql als User sys • User: LBACSYS • Role: LBAC_DBA • Oracle Label Security (OLS) ist eine Option von Oracle 9 i. Bereits ab Oracle 8 i gab es etwas ähnliches: Row Level Securtity (RLS). Dies Funktionalität wurde über das Package dbms_rls zugänglich gemacht. Die Funktionsweise ist ähnlich. Thomas Tretter, 10. Februar 2004 Oracle Label Security 5

Administration und Konfiguration • Tool Oracle Policy Manager (ist Bestandteil der Enterprise Manager Installation) • Proceduren und Funktionen des Packages SA_SYSDBA Thomas Tretter, 10. Februar 2004 Oracle Label Security 6

Vorgehensweise 1. Anlegen der Policies 2. Definition der Komponenten von Labels: levels, compartments, groups 3. Identifizierung der Menge der korrekten Daten Lables, um sie Tabellen und Zeilen zuzuordnen 4. Set Up der User Labels (für alle betroffenen User) 5. Zuordnung der Policies zu Tablellen und Schematas 6. User authorisieren 7. Updaten der Spalten der durch OLS geschützten Tablellen, bzw Label Functions beim Insert der Tablellen benutzen 8. Bitmap Index auf den Label Spalten Anlegen der Policies anlegen (optional) 9. Anlegen und Authorisieren Trusted Program Units (optional) 10. Auditing konfigurieren(optional)) Thomas Tretter, 10. Februar 2004 Oracle Label Security 7

Beispiel: Tabelle locations Thomas Tretter, 10. Februar 2004 Oracle Label Security 8

1. Anlegen der Policies PL/SQL Procedure: EXECUTE SA_SYSDBA. CREATE_POLICY( 'FACILITY', -- Policy 'FACLAB', -- hidden column 'READ_CONTROL, CHECK_CONTROL, LABEL_DEFAULT, HIDE' default options ); zugehörige View: Thomas Tretter, 10. Februar 2004 -- DBA_SA_POLICIES Oracle Label Security 9

2. 1. Definition von Levels PL/SQL Procedure: EXEC SA_COMPONENTS. CREATE_LEVEL( 'FACILITY', -- Policy 2000, -- level Nummer (hoch=sensitiv) 'S', -- Kurzname 'SENSITIVE' -- voller Name ); zugehörige View: DBA_SA_LEVELS • Mit Labels können aufsteigende Sensitivitäten abgebildet werden. • Mit Compartments sind beliebige, wahllose Aufzählungen möglich. • Mit Groups lassen sich Hierarchien (Baumstrukturen) nachbilden. Thomas Tretter, 10. Februar 2004 Oracle Label Security 10

2. 2. Definition von Compartments PL/SQL Procedure: EXEC SA_COMPONENTS. CREATE_COMPARTMENT( 'FACILITY', -- Policy 100, -- compartment Nummer 'ED', -- Kurzname 'Education' -- voller Name ); zugehörige View: Thomas Tretter, 10. Februar 2004 DBA_SA_COMPARTMENTS Oracle Label Security 11

2. 3. Definition von Groups PL/SQL Procedure: EXEC SA_COMPONENTS. CREATE_GROUP( 'FACILITY', -- Policy 11, -- group Nummer 'US', -- Kurzname 'United States', -- voller Name 'G' -- Kurzname der Vater Group ); zugehörige View: Thomas Tretter, 10. Februar 2004 DBA_SA_GROUPS Oracle Label Security 12

2. 4. Definition von Labels PL/SQL Procedure: EXEC SA_LABEL_ADMIN. CREATE_LABEL( 'FACILITY', -- Policy 2011, -- eindeutiger Label 'S: : US' -- zugehöriger Char String (Level: Compertment: Group) ); zugehörige View: DBA_SA_LABELS (alle) DBA_SA_DATA_LABELS (nur Data Labels) Thomas Tretter, 10. Februar 2004 Oracle Label Security 13

2. 4. Definition von User Labels PL/SQL Procedure: EXEC SA_USER_ADMIN. SET_USER_LABELS( 'FACILITY', -- Policy 'PLANNING', -- Username 'S: : US, EUR, ASIA' -- Zugriffsrechte (level: compartment: group) ); zugehörige View: DBA_SA_LABELS (alle) DBA_SA_USER_LABELS (nur User Labels) DBA_SA_USER_LEVELS (nur User Levels) DBA_SA_USER_COMPARTMENTS (nur User Compartments) DBA_SA_USER_GROUPS (nur User Groups) Thomas Tretter, 10. Februar 2004 Oracle Label Security 14

2. 5. Zuordnung der Policies zu Tabelle/Schema PL/SQL Procedure: begin sa_policy_admin. apply_table_policy ( POLICY_NAME => 'FACILITY', SCHEMA_NAME => 'HR', TABLE_NAME => 'LOCATIONS', TABLE_OPTIONS => NULL, LABEL_FUNCTION => NULL, PREDICATE => 'to_char(sysdate, ' || '''' || 'd' || '''' || ')in (2, 3, 4, 5, 6)'); end; PREDICATE ist eine Zusatzbedingung, die erfüllt sein muss (hier: Zugriff nur zwischen 2. -6. des Monats) zugehörige View: DBA_SA_TABLE_POLICIES Thomas Tretter, 10. Februar 2004 Oracle Label Security 15

3. User authorisieren PL/SQL Procedure: EXEC SA_USER_ADMIN. SET_USER_PRIVS ( 'FACILITY', -- Policy 'HR', -- Schema ownwer 'FULL, PROFILE_ACCESS' -- Privs ); zugehörige View: Thomas Tretter, 10. Februar 2004 DBA_SA_USERS Oracle Label Security 16

4. Update der durch OLS geschützten Daten SQL Statement: update hr. locations set faclab = char_to_label('FACILITY', 'S: : ASIA') where upper(city) in ('BEIJING', 'TOKYO'); Abfrage: select city, substr(label_to_char(FACLAB), 1, 20) fac from hr. locations; Thomas Tretter, 10. Februar 2004 Oracle Label Security 17

Fazit • eigene Erfahrungen • von ‚innen nach außen‘ die Sicherheit aufbauen • nur wenige Objekte mit OLS belegen • genau Vorüberlegungen anstellen • mehr Security behindert meistens auch den ‚normalen‘ Betrieb • Referenzen Oracle Doku Metalink Doc. Id 230980. 1 Examples Metalink Doc. Id 99250. 1 INSERT (8 i) Metalink Doc. Id 171155. 1 Thomas Tretter, 10. Februar 2004 Oracle Label Security Admin Guide (Part No. A 96578 -01) Oracle Label Security – Concepts (Policies and Labels) and Understanding Fine-Grained Access Control (DBMS_RLS) on Install/Deinstall Oracle Label Security Data Dictionary in Oracle 9 i Oracle Label Security 18