Oracle Deep Data Security (Deep Sec) — АльфредЖао

Что касается безопасности данных, ранее представленный Oracle RAS является мощным, но определение правил все еще слишком сложное

01 | Предварительные требования: обновление базы данных Oracle AI до версии 23.26.2.

Поскольку Deep Sec — это новая функция, представленная в версии 23.26.2, поэтому для данной версии программного обеспечения требуется база данных Oracle AI Database (23.26.2 или более поздняя версия), в настоящее время этот RU можно загрузить с MOS.

Текущая тестовая среда — 23.26.1, поэтому вам необходимо скачать это приложение и заполнить его:

• Патч 39093711: ОБНОВЛЕНИЕ БАЗЫ ДАННЫХ ВЕРСИИ 23.26.2.0.0.

Примечание. В файле readme рекомендуется использовать версию opatch 12.2.0.1.49 или выше. 6880880 Загрузите последнюю версию opatch.

$ $ORACLE_HOME/OPatch/opatch version

Версия opatch не соответствует требованиям, поэтому выберите загрузку последней версии opatch:

Компромисс OPatch 小，例文帳に追加的剧情介绍:

• p6880880_230000_Linux-x86-64.zip

Затем мы обновляем opatch, новая применимость opatch 23.26.2 的今丁, можно выполнить операцию непосредственно в соответствии с файлом readme. Учитывая, что в настоящее время во времена ИИ пользователь базы данных еще не имеет опыта администратора базы данных, найдите помощника администратора базы данных, и этот вид фундаментального кольца. Рабочие условия по-прежнему не рекомендуется передавать ИИ. (поскольку разные версии могут иметь небольшие различия, ИИ может быть неисправен), и, в конечном итоге, нужны реальные люди, чтобы подтвердить, что проверка относительно стабильна, поэтому вот ключевые команды операции для справки, полная информация по-прежнему предназначена для справки, пожалуйста, внимательно прочитайте меня для справки:

Сначала создайте резервную копию предыдущего OPatch, замените новый OPatch, подтвердите успешную замену новой версии opatch, операция: 如份

[oracle@alfred-aibs-db ~]$ cd $ORACLE_HOME
[oracle@alfred-aibs-db dbhome_1]$ mv OPatch OPatch_bak
[oracle@alfred-aibs-db dbhome_1]$ unzip /u01/media/p6880880_230000_Linux-x86-64.zip 
[oracle@alfred-aibs-db dbhome_1]$ $ORACLE_HOME/OPatch/opatch version
OPatch Version: 12.2.0.1.51

OPatch succeeded.

Обновление opatch Версия OPatch: 12.2.0.1.51.

Затем используйте этот патч для применения 蝡丁，следуйте инструкциям readme в инструкциях readme 蝡丁包包包名，可以表丁包的, некоторые параметры readme могут быть забыты, выполняйте вручную в соответствии с фактическими ситуация, 荝上, 笔者安全电影工в соответствии с реальной ситуацией, 蝡上可, 笔者帋帋卮况:

unzip p39093711_230000_Linux-x86-64.zip
cd 39093711
$ORACLE_HOME/OPatch/opatch prereq CheckMinimumOPatchVersion -ph /u01/media/39093711
$ORACLE_HOME/OPatch/opatch prereq CheckConflictAgainstOHWithDetail -phBaseDir /u01/media/39093711

Подтвердите эти предварительные проверки, выполнив проверку следующим образом:

Вот один пример, необходимо остановить базу данных и послушать:

Если это не среда Oracle RAC, закройте все экземпляры и прослушиватели, связанные с обновляемым домашним сервером Oracle. Дополнительную информацию см. в Руководстве администратора базы данных Oracle AI.

[oracle@alfred-aibs-db 39093711]$ lsnrctl stop
[oracle@alfred-aibs-db 39093711]$ sqlplus / as sysdba
SQL> shutdown immediate;

Убедившись, что он закрывается нормально, примените патч:

$ cd /u01/media/39093711
$ $ORACLE_HOME/OPatch/opatch apply

然到图像安全开动在线,电影y电影, 天全都问我介绍安全设计, 下载前新这些下载下载的打花丁了。

Подождите несколько минут, затем примените его:

Далее продолжайте выполнять readme, затем выполните datapatch, этот процесс займет еще несколько минут:

[oracle@alfred-aibs-db 39093711]$ sqlplus / as sysdba
SQL> startup
SQL> alter pluggable database all open;
SQL> quit
[oracle@alfred-aibs-db OPatch]$ ./datapatch -sanity_checks
[oracle@alfred-aibs-db OPatch]$ ./datapatch -verbose

После завершения выполнения проверьте журнал.

[oracle@alfred-aibs-db OPatch]$ export PATH=$PATH:$ORACLE_HOME/bin
[oracle@alfred-aibs-db OPatch]$ cd $ORACLE_HOME/rdbms/admin
[oracle@alfred-aibs-db admin]$ $ORACLE_HOME/perl/bin/perl $ORACLE_HOME/rdbms/admin/catcon.pl -n 1 -e -b utlrp -d $ORACLE_HOME/rdbms/admin utlrp.sql

Подтверждено успешное обновление 23.26.2:

Наконец запустите, послушайте, восстановите внешний сервис.

[oracle@alfred-aibs-db admin]$ lsnrctl start

02 | Проверьте функциональный эффект Deep Sec

В этом тексте проверяется проверка при отсутствии интегрированного сценария IAM, как использовать функцию Deep Sec конфигурации локального конечного пользователя и проверять ее.

Ссылка на официальный документ:

① Создайте наименьшую выборку данных.

-- 笔者本次测试用到的PDB：orclpdb1
ALTER SESSION SET CONTAINER = orclpdb1;

-- Create the HR user
-- 注：这里是创建一个“没有密码、无法直接登录”的模式（Schema）用户 HR
CREATE USER hr NO AUTHENTICATION
  DEFAULT TABLESPACE users
  QUOTA UNLIMITED ON users;
 
-- Create the employees table
CREATE TABLE hr.employees (
    employee_id   NUMBER PRIMARY KEY,
    first_name    VARCHAR2(50),
    last_name     VARCHAR2(50),
    email         VARCHAR2(128),
    manager       VARCHAR2(128),
    ssn           VARCHAR2(20),
    salary        NUMBER(10,2),
    phone         VARCHAR2(20)
);

-- 插入示例数据
INSERT INTO hr.employees VALUES
  (100, 'Victoria', 'Williams', 'vwilliams',
   NULL, '219-09-9999', 13000, '555-0100');
 
INSERT INTO hr.employees VALUES
  (200, 'Marvin', 'Anderson', 'manderson',
   'vwilliams', '457-55-5462', 12030, '555-0200');
 
INSERT INTO hr.employees VALUES
  (300, 'Chris', 'Evans', 'cevans',
   'vwilliams', '321-12-4567', 6900, '555-0300');
 
INSERT INTO hr.employees VALUES
  (400, 'Emma', 'Baker', 'ebaker',
   'manderson', '733-02-9821', 8200, '555-0400');
 
INSERT INTO hr.employees VALUES
  (500, 'Taylor', 'Mills', 'tmills',
   'manderson', '558-76-1243', 9000, '555-0500');
 
COMMIT;

Данные примера подготовлены следующим образом: вся таблица содержит всего 5 строк данных, чтобы читатель мог прочитать больше.

② 图像 Местные конечные пользователи

Обратите внимание здесь End User Не традиционный пользователь базы данных.

CREATE END USER "manderson" IDENTIFIED BY "Test_20260513";
CREATE END USER "ebaker" IDENTIFIED BY "Test_20260513";

Хотя приведенный выше SQL выполняется в базе данных, его существенное отличие состоит в следующем. End User У пользователя нет собственной схемы и нет объектов базы данных.

Они получают доступ к данным именно через гранты данных, назначенные их ролям данных.

когда один End User войти в базу данных,

ORA_END_USER_CONTEXT.username возвращает имя пользователя.
При назначении данных в этой главе используются предикаты, которые сравнивают это значение со столбцами электронной почты и менеджера в таблице hr.employees. Чтобы предикаты совпадали, имена создаваемых вами локальных конечных пользователей должны соответствовать значениям, хранящимся в этих столбцах.

③ Роли данных.

Заметка создана здесь Data Role На данный момент дана только привилегия подключения к разговору:

-- Create data roles that are managed locally in the database
CREATE DATA ROLE employee_role;
CREATE DATA ROLE manager_role;
 
-- Create a standard database role for connection privileges
CREATE ROLE db_role;
GRANT CREATE SESSION TO db_role;
 
-- Grant the connection privileges to the data role used for direct logon
GRANT db_role TO employee_role;
GRANT db_role TO manager_role;

Вышеупомянутое создано Data Role Информация о продукте для конечного пользователя:
пользователь терминала manderson у меня есть два Data Role；
пользователь терминала ebaker есть один Data Role；

-- Grant data roles to Marvin (manager and employee)
GRANT DATA ROLE manager_role TO "manderson";
GRANT DATA ROLE employee_role TO "manderson";
 
-- Grant the employee data role to Emma
GRANT DATA ROLE employee_role TO "ebaker";

④ 图像Контроль доступа к данным

Это тяжелая игра, подробные правила авторизации доступа к данным подробно описаны в этом разделе, предыдущий RAS представлял собой множество сложных вызовов внутренних определений, теперь в Deep Sec может быть реализован только декларативный SQL, содержание конкретного определения также легко понять людям.

Определите соглашения о данных, чтобы контролировать, к каким строкам и столбцам может получить доступ каждый конечный пользователь. В предикатах предоставления данных ORA_END_USER_CONTEXT.username возвращает имя конечного пользователя в текущем контексте безопасности конечного пользователя.

Создайте разрешение на доступ к данным, позволяющее сотрудникам просматривать только свои записи.

CREATE DATA GRANT hr.employees_own_record
  AS SELECT
  ON hr.employees
  WHERE email = ORA_END_USER_CONTEXT.username
  TO employee_role;

Создайте авторизацию данных, разрешите менеджеру просмотреть запись

CREATE DATA GRANT hr.manager_direct_reports
  AS SELECT (ALL COLUMNS EXCEPT ssn)
  ON hr.employees
  WHERE manager = ORA_END_USER_CONTEXT.username
  TO manager_role;

⑤ проверить эффект Deep Sec

பிர்கியுக்க்குய் END USER Войдите в систему и проверьте реализацию Deep Sec эффекта детального доступа к данным.

我们下载手机, 使用 END USER авторизоватьсяORA_END_USER_CONTEXT.username 值 меняется, а также тот же запрос hr.employees Разница в записи:

Тот же тест SQL выглядит следующим образом, удобное прямое копирование:

SELECT ORA_END_USER_CONTEXT.username FROM dual;

SET LINESIZE 120
SET TRIMSPOOL ON
SET PAGESIZE 50

COL FIRST_NAME FORMAT A10
COL LAST_NAME  FORMAT A10
COL EMAIL      FORMAT A20
COL MANAGER    FORMAT A15
COL SSN        FORMAT A11
COL SALARY     FORMAT 99999.9
COL PHONE      FORMAT A12

SELECT * FROM hr.employees;

Сценарий 1: Использование manderson тест входа в систему пользователя терминала:

sqlplus '"manderson"'/Test_20260513@//localhost:1521/ORCLPDB1

Вы можете видеть из результата сцены 1, manderson После входа пользователя терминала в системуORA_END_USER_CONTEXT.username 值是 mandersonПроверьте таблицу сотрудников, вы можете увидеть свои собственные записи, а также все записи следующего человека, но вы не можете увидеть значение поля SSN следующего человека.

Сценарий 2: Использование ebaker тест входа в систему пользователя терминала:

sqlplus '"ebaker"'/Test_20260513@//localhost:1521/ORCLPDB1

Вы можете видеть по результатам сцены 2, ebaker После входа пользователя терминала в системуORA_END_USER_CONTEXT.username 值是 ebakerпроверьте штатное расписание, там видны только свои записи.

Он соответствует нашим предыдущим правилам определения.

03 | Метод быстрого развертывания Deep Sec

Выше, чтобы пользователи могли ясно видеть, что делается на каждом этапе, эти шаги показаны.

Если пользователь уже понимает механизм Deep Sec, хочет быстро развернуть или очистить тестовую среду с помощью встроенного сценария SQL, официальный представитель также предоставляет примеры сценариев, которые можно использовать напрямую или изменять в соответствии с реальной ситуацией.

A.1 Скрипты для прямого соединения с локальными конечными пользователями

至此，Oracle Deep Data Security (Deep Sec) 初利生已电影，电影有时间再微看下下Как можно комбинировать приложения Deep Sec и ИИ.