柔軟なセキュリティー

Transcription

1 6. 柔軟なセキュリティー - 新しい行および列のアクセス制御機能 本資料掲載事項は ある特定の環境 使用状況においての正確性が IBM によって確認されていますが すべての環境において同様の結果が得られる保証はありません これらの技術を自身の環境に適用する際には 自己の責任において十分な検証と確認を実施いただくことをお奨めいたします 1

2 内容 RCAC (Row and Column Access Control) 機能 2

3 RCAC ( 行および列のアクセス制御 ) 3

4 要件 現状 行および列のアクセス制御機能のポジション この機能が必要となる背景 マネージャーが自分の部下のデータのみを見れるように 確実に制限したい! 許可されていないユーザーに対し 口座情報や電話番号 カード番号といった情報を確実にマスキングしたい! VIEW やアプリケーションロジックで制限を行っている ただし DATAACCESS 権限を持っているユーザーであれば VIEW やアプリケーションロジックの制限をバイパスして参照が可能 4

5 行および列のアクセス制御機能概要 機能特徴 データセキュリティの新しいレイヤー 行 列 またはその組合せで 以下のアクセス制御を実現 行に対する参照可否の権限設定 列に対するマスキング ユーザー ロール グループを利用 お客様にとっての価値 より詳細なアクセス制御が可能 より強固なアクセス制御が可能 実装が容易 アプリケーションからは透過的に利用可能 5

6 アクセス制御のイメージ アクセス制御を行うデータは見えない 全ての情報が見える ADAM JOHN CUSTID EMPNAME CUSTNAME ACCOUNT BALANCE 001 MARY SALLY MARY MICHAEL PETER EMILY MARY 担当顧客の情報だけ見える ACCOUNT が XXXX-XXXXX に見える BOB 6

7 アクセス制御の作成方法と手順 行レベルのアクセス制御 (CREATE PERMISSION) 誰が どの行にアクセスできるか create permission cust on db2admin.sales for rows where ( verify_role_for_user(session_user, ACCOUNTANT )=1 ) OR ( verify_role_for_user(session_user, CUSTOMER ) =1 ) enforced for all access enable alter table db2admin.sales activate row access control 列レベルのアクセス制御 (CREATE MASK) 列 ( データ ) に対して 誰に どのようなマスキングを行うか create mask account_mask on db2admin.sales for column account return case when verify_role_for_user(session_user,'accountant')=1 then 'XXXX-XXXXX else account end enable alter table db2admin.sales activate column access control 7

8 Note: 作成されたアクセス制御に関してはカタログ表に保存される SYSCAT.CONTROLS SYSCAT.CONTROLSDEP アクセス制御の有効 / 無効については SYSCAT.TABLES 表に保存されている CONTROL 列 ブランク 何のアクセス制御も有効になっていない C 列のアクセス制御のみ有効 (MASK) R 行のアクセス制御のみ有効 (PERMISSION) B 行および列のアクセス制御が有効 8

9 Note:SYSCAT.CONTROLS データ タイデータ 列の スケ 列名 プ スキーマタイプ名 長さ ール NULL CONTROLSCHEMA SYSIBM VARCHAR いいえ CONTROLNAME SYSIBM VARCHAR いいえ OWNER SYSIBM VARCHAR いいえ OWNERTYPE SYSIBM CHARACTER 1 0 いいえ TABSCHEMA SYSIBM VARCHAR いいえ TABNAME SYSIBM VARCHAR いいえ COLNAME SYSIBM VARCHAR いいえ CONTROLID SYSIBM INTEGER 4 0 いいえ CONTROLTYPE SYSIBM CHARACTER 1 0 いいえ ENFORCED SYSIBM CHARACTER 1 0 いいえ IMPLICIT SYSIBM CHARACTER 1 0 いいえ ENABLE SYSIBM CHARACTER 1 0 いいえ VALID SYSIBM CHARACTER 1 0 いいえ RULETEXT SYSIBM CLOB いいえ TABCORRELATION SYSIBM VARCHAR いいえ QUALIFIER SYSIBM VARCHAR いいえ FUNC_PATH SYSIBM CLOB いいえ COLLATIONSCHEMA SYSIBM VARCHAR いいえ COLLATIONNAME SYSIBM VARCHAR はい COLLATIONSCHEMA_ORDERBY SYSIBM VARCHAR いいえ COLLATIONNAME_ORDERBY SYSIBM VARCHAR はい CREATE_TIME SYSIBM TIMESTAMP 10 6 いいえ ALTER_TIME SYSIBM TIMESTAMP 10 6 いいえ REMARKS SYSIBM VARCHAR はい 24 レコードが選択されました 9

10 Note: select substr(controlname,1,40)controlname, substr(tabname,1,10)tabname, substr(owner,1,10)owner, substr(colname,1,10)colname, controltype as type, enable,implicit, substr(ruletext,1,100)ruletext from syscat.controls CONTROLNAME TABNAME OWNER COLNAME TYPE ENABLE IMPLICIT CUST CUSTOMER TAKAYA R Y N SYS_DEFAULT_ROW_PERMISSION CUSTOMER CUSTOMER SYSIBM R Y Y ACCOUNT_MASK CUSTOMER TAKAYA ACCOUNT C Y N PARTROW PARTTBL TAKAYA R Y N SYS_DEFAULT_ROW_PERMISSION PARTTBL PARTTBL SYSIBM R Y Y PART_MASK PARTTBL TAKAYA C2 C Y N RULETEXT ( verify_role_for_user(session_user,'accountant')=1 ) OR 1 = 0 case when verify_role_for_user(session_user,'accountant')=1 ( verify_role_for_user(session_user,'accountant')=1 ) OR 1 = 0 case when verify_role_for_user(session_user,'accountant')=1 10

11 Note: 権限を ACTIVATE すると SYS_DEFAULT_* のアクセス制御が自動的に内部的に作成される それらは RULE_TEXT で (1=0) となっている (1=0) という条件は 他の行レベルのアクセス制御が作成されて ACTIVATE されるまでそのデータは誰にも見せないというもの (NOACCESS) これにより 不本意なデータ公開を防いでいる 後述で アクセス制御が有効になっているパーティション表からパーティションをデタッチすると デタッチされた表に (1=0) のアクセス制御が自動的に適用される 表をデタッチすることで データが公開されることを防いでいる 11

12 Note:SYSCAT.CONTROLDEP アクセス制御の従属関係を保存する >db2 describe table syscat.controldep データ タイデータ 列の スケ 列名 プ スキーマタイプ名 長さ ール NULL DSCHEMA SYSIBM VARCHAR いいえ DNAME SYSIBM VARCHAR いいえ DTYPE SYSIBM CHARACTER 1 0 いいえ BTYPE SYSIBM CHARACTER 1 0 いいえ BSCHEMA SYSIBM VARCHAR いいえ BMODULENAME SYSIBM VARCHAR はい BNAME SYSIBM VARCHAR いいえ BMODULEID SYSIBM INTEGER 4 0 はい BCOLNAME SYSIBM VARCHAR はい 9 レコードが選択されました 12

13 Note: select substr(dname,1,20)dname, dtype,btype, substr(bname,1,10)bname, substr(bcolname,1,20)bcolname from syscat.controldep DNAME DTYPE BTYPE BNAME BCOLNAME CUST y C DBAUTH GRANTEE CUST y C DBAUTH SECURITYADMAUTH CUST y C CUSTOMER EMPNAME PARTROW y C DBAUTH GRANTEE PARTROW y C DBAUTH SECURITYADMAUTH PARTROW y C PARTTBL C1 ACCOUNT_MASK 2 C CUSTOMER ACCOUNT PART_MASK 2 C PARTTBL C2 CUST y V DBAUTH - CUST y T CUSTOMER - PARTROW y V DBAUTH - PARTROW y T PARTTBL - SYS_DEFAULT_ROW_PERM y T CUSTOMER - SYS_DEFAULT_ROW_PERM y T PARTTBL - ACCOUNT_MASK 2 T CUSTOMER - PART_MASK 2 T PARTTBL - 16 レコードが選択されました 13

14 Note:SYSCAT.TABLES の CONTROL select substr(tabname,1,10)tabname,control from syscat.tables where tabname='customer' TABNAME CONTROL CUSTOMER B alter table customer deactivate column access control select substr(tabname,1,10)tabname,control from syscat.tables where tabname='customer TABNAME CONTROL CUSTOMER R alter table customer deactivate row access control select substr(tabname,1,10)tabname,control from syscat.tables where tabname='customer' TABNAME CONTROL CUSTOMER alter table customer activate column access control select substr(tabname,1,10)tabname,control from syscat.tables where tabname='customer' TABNAME CONTROL CUSTOMER C 14

15 アクセス制御の動き 基本ルール SELECT できないデータは UPDATE/DELETE できない エラーにはならず あたかもデータが存在しないような振る舞いをする (SQL0110W) SELECT できないデータは INSERT できない エラー (SQL20471N) になる 詳細はテスト結果を参照 UPDATE 後に SELECT できなくなるデータは UPDATE できない エラー (SQL20471N) になる 詳細はテスト結果を参照 マスキングは結果を表示する際に行われる DB2 が内部的に行う処理はマスキングされない ORDER BY GROUP BY HAVING SELECT DISTINCT ORDER BY 例えば ORDER BY で指定されたカラムがマスキングされていた場合 指定されたカラムのオリジナルデータで order by されるが ユーザに表示する際にはデータはマスキングされる 15

16 アクセス制御が無視される動作 DB2 が内部的に行う処理ではアクセス制御は無視される EXPLAIN 表への挿入 EVENT モニター表への挿入 MQT のリフレッシュ MQT のステージング表への挿入 Temporal 履歴表への挿入 AS OF クエリーでの Temporal 履歴表へのアクセス Query reroute optimization で MQT にアクセス 主キー ユニークキー チェック制約のスキャン RI スキャン トリガー内の変位変数 変位表 16

17 Note: 例えば RI 制約で親表からデータを DELETE すると子表からもデータを DELETE する必要がある (cascade delete の場合 ) もし 子表から DELETE する表がアクセス制御で参照不可能であっても 削除される DELETE 親表 cascade delete USER1 子表 USER1 には見えないデータでも削除可能 17

18 Note: テスト結果 create table ptbl(c1 int, c2 int not null unique, c3 char(10)); create table ctbl(c1 int, c2 int references ptbl(c2) on delete cascade, c3 char(10)); insert into ptbl values(1,1,'pdata'); insert into ctbl values(1,1,'cdata'); insert into ctbl values(10,1,'cdata'); >db2 select * from ctbl C1 C2 C CData 10 1 CData 2 レコードが選択されました >db2 "create permission delperm on ctbl for rows where c1=10 enforced for all access enable >db2 alter table ctbl activate row access control >db2 select * from ctbl C1 C2 C CData 1 レコードが選択されました RCAC が有効になっているため 1 行しか参照できていない 18

19 Note: テスト結果 >db2 delete from ptbl where c2=1 >db2 select * from ctbl C1 C2 C この DELETE により 子表から (1,1, CData ) が削除される 0 レコードが選択されました >db2 alter table ctbl deactivate row access control >db2 select * from ctbl C1 C2 C レコードが選択されました ユーザーには (1,1, CData ) は参照できないデータだが cascade delete により削除されるデータは子表からエラーなく削除された 19

20 自動的に行レベルのアクセス制御が引継がれる操作 アクセス制御が有効になっている表に対する MQT の作成 アクセス制御が有効になっている表に対して作成された MQT のステージング表の作成 MQT の元表に対するアクセス制御の有効化 アクセス制御が有効になっている Temporal 表の履歴表の作成 履歴表が存在する Temporal 表のアクセス制御の有効化 アクセス制御が有効になっているパーティション表からデタッチした表 下線の表が引き継がれる対象となる表 20

21 Note: ただし 同じアクセス制御が引き継がれるわけではない データ漏れを防ぐため NO ACCESS のアクセス制御が作成される 同じアクセス制御を行いたければ再度アクセス制御を定義し ACTIVATE しなければならない 21

22 Note: テスト結果 アクセス制御が有効になっているパーティション表からデタッチした場合 パーティション表の COLUMN と ROW の RCAC が定義されている SYSCAT.CONTROLS CONTROLNAME TABNAME OWNER COLNAME TYPE ENABLE IMPLICIT RULETEXT PARTR PARTTBL TAKAYA R Y N ( verify_role_for_ SYS_DEFAULT_ROW_PERMISSION PARTTBL PARTTBL SYSIBM R Y Y 1 = 0 PARTC PARTTBL TAKAYA C3 C Y N case when verify_ro 3 レコードが選択されました SYSCAT.CONTROLDEP DNAME DTYPE BTYPE BNAME BCOLNAME PARTR y C PARTTBL C1 PARTC 2 C PARTTBL C3 PARTR y T PARTTBL - SYS_DEFAULT_ROW_PERM y T PARTTBL - PARTC 2 T PARTTBL - 5 レコードが選択されました 22

23 Note: テスト結果 alter table parttbl detach partition q5 into table dettbl SYSCAT.CONTROLS CONTROLNAME TABNAME OWNER COLNAME TYPE ENABLE IMPLICIT RULETEXT PARTR PARTTBL TAKAYA R Y N ( verify_role_for_ SYS_DEFAULT_ROW_PERMISSION PARTTBL PARTTBL SYSIBM R Y Y 1 = 0 PARTC PARTTBL TAKAYA C3 C Y N case when verify_ro SYS_DEFAULT_ROW_PERMISSION DETTBL DETTBL SYSIBM R Y Y 1 = 0 SYSCAT.CONTROLDEP DNAME DTYPE BTYPE BNAME BCOLNAME PARTR y C PARTTBL C1 PARTC 2 C PARTTBL C3 PARTR y T PARTTBL - SYS_DEFAULT_ROW_PERM y T PARTTBL - PARTC 2 T PARTTBL - SYS_DEFAULT_ROW_PERM y T DETTBL - select * from dettbl C1 C2 C レコードが選択されました (1=0) のアクセス制御だけ作られる (1=0) とは 他にアクセス制御を定義する もしくはアクセス制御を DEACTIVATE しないと誰も見れないというもの 誰もデタッチした表からデータを見ることはできない 見るためには デタッチした表の RCAC を DEACTIVATE する もしくは新たに RCAC をデタッチ表に対して作成する 23

24 ユーティリティとの互換性 EXPORT アクセス制御が有効となる Export したユーザに応じて Export される件数が異なる IMPORT アクセス制御が有効となる 権限の無いデータを INSERT しようとするとエラーになる SQL20471N INSERT または UPDATE ステートメントは 結果の行が行の許可を満たさないため失敗しました SQLSTATE=22542 LOAD アクセス制御は無視される db2look アクセス制御の定義を出力可能 24

25 EXPLAIN と NORCAC EXPLAIN に NORCAC オプションが追加された オプション無し アクセス制御を追加した SQL 文に書き換え 実行される アクセス制御の定義によってはアクセスプランも変わる NORCAC 有り アクセス制御がないものとして実行される SET CURRENT EXPLAIN MODE EXPLAIN NORCAC 25

26 Note: NORCAC 指定無し (RCAC を含めた Explain) SET CURRENT EXPLAIN MODE EXPLAIN 実行 SQL:select * from customer SELECT Q3."CUSTID" AS "CUSTID", Q3."EMPNAME" AS "EMPNAME", Q3."CUSTOMER" AS "CUSTOMER", $INTERNAL_FUNC$() AS "ACCOUNT", Q3."BALANCE" AS "BALANCE" FROM TAKAYA.CUSTOMER AS Q3 WHERE (((VERIFY_ROLE_FOR_USER(3, $INTERNAL_FUNC$(), USER, 'ACCOUNTANT') = 1) OR ((VERIFY_ROLE_FOR_USER(3, $INTERNAL_FUNC$(), USER, 'CUSTOMER') = 1) AND (Q3."EMPNAME" = USER))) OR ($INTERNAL_FUNC$() = (SELECT Q1."GRANTEE" FROM SYSIBM.SYSDBAUTH AS Q1 WHERE (Q1."SECURITYADMAUTH" = 'Y')))) NORCAC 指定有り (RCAC を含めない Explain) SET CURRENT EXPLAIN MODE EXPLAIN NORCAC 実行 SQL:select * from customer SELECT Q1."CUSTID" AS "CUSTID", Q1."EMPNAME" AS "EMPNAME", Q1."CUSTOMER" AS "CUSTOMER", Q1."ACCOUNT" AS "ACCOUNT", Q1."BALANCE" AS "BALANCE" FROM TAKAYA.CUSTOMER AS Q1 26

27 権限に関する考慮点 CREATE PERMISSION/MASK には SECADM 権限が必要 ALTER TABLE にてアクセス制御を有効にするためには SECADM 権限 AND (DBADM 権限 OR ALTER 特権 ) が必要 SECADM 権限を持つユーザーに DBADM 権限を付与するとオールマイティになるので注意 以下の操作は従属するパッケージを無効にする アクセス制御のActivate/Deactivate アクセス制御のCreate/Drop/Alter 先に アクセス制御を作成するようにしましょう 27

28 Note: SECADM 権限なしで ALTER TABLE ACTIVATE/DACTIVATE しようとすると以下のようなエラーになる > db2 alter table takaya.customer deactivate row access control DB21034E コマンドが 有効なコマンド行プロセッサー コマンドでないため SQL ステートメントとして処理されました SQL 処理中に 次のエラーが返されました SQL0551N "DB2ADMIN" は オブジェクト "TABLE" で処理 "ALTER ACCESS CONTROL を実行する必要な権限または特権を持っていません SQLSTATE=42501 SECADM 権限のみで ALTER TABLE ACTIVATE/DACTIVATE しようとすると以下のようなエラーになる > db2 alter table takaya.customer deactivate row access control DB21034E コマンドが 有効なコマンド行プロセッサー コマンドでないため SQL ステートメントとして処理されました SQL 処理中に 次のエラーが返されました SQL0551N "DB2ADMIN" は オブジェクト "TAKAYA.CUSTOMER" で処理 "ALTER TABLE を実行する必要な権限または特権を持っていません SQLSTATE=

29 考慮点 (1/3) アクセス制御を定義できるのは表のみ 以下は対象外 ニックネーム 作成済み一時表 宣言済み一時表 ビュー シノニム 型付き表 別名 カタログ表 29

30 考慮点 (2/3) アクセス制御定義内では以下のオブジェクトは参照できない 作成済みのグローバル一時表または宣言済みのグローバル一時表 ニックネーム 表関数 メソッド パラメーター マーカー 非セキュアとして定義されているユーザー定義関数 非決定論的である または外部アクションを持つ関数や式 (ROW CHANGE 式 シーケンス式など ) XMLQUERY スカラー関数 XMLEXISTS 述部 OLAP 指定 SELECT 文節内の * または name.* 疑似列 SELECT 節を指定しない集約関数 前記のいずれかの制限が定義に含まれるビュー 30

31 考慮点 (3/3) 以下のデータに関してはマスキングを行えない XML LOB 生成列 アクセス制御が定義されている表に対して UDF やトリガーを作成する場合は SECURE 属性が必要 SQL20470N 31

32 Note: トリガーのテスト例 アクセス制御されている表に対して SECURED 指定の無いトリガーを作成使用とした場合 DB21034E コマンドが 有効なコマンド行プロセッサー コマンドでないため SQL ステートメントとして処理されました SQL 処理中に 次のエラーが返されました SQL20470N TRIGGER の TAKAYA.SEC_INSTRIG がセキュアなものとして定義されておらず TABLE の TAKAYA.CUSTOMER がそれに依存しているため CREATE または ALTER ステートメントが失敗しました LINE NUMBER=3. SQLSTATE=428H8 トリガーにより更新される表に対してユーザの許可が無い場合 > db2 insert into takaya.t1 values( 222, PETER ) DB21034E コマンドが 有効なコマンド行プロセッサー コマンドでないため SQL ステートメントとして処理されました SQL 処理中に 次のエラーが返されました SQL0723N トリガー TAKAYA.SEC_INSTRIG2 のトリガー SQL ステートメントでエラーが発生しました エラーに関して戻された情報には SQLCODE SQLSTATE およびメッセージ トークン が含まれています SQLSTATE=09000 SQL20471N INSERT または UPDATE ステートメントは 結果の行が行の許可を満たさないため失敗しました 32

33 LBAC との比較 LBAC のセキュリティモデル US の政府機関や情報機関を対象とした ラベルベースのセキュリティーモデル 例えば US 国防総省やその関連機関のように データあるいは組織に対して アクセスコントロールを明確に階層定義できるようなモデル RCAC のセキュリティーモデル より一般的なユーザーにも利用可能となるよう データあるいは組織に対する階層構造を必要としないセキュリティーモデル LBAC と RCAC LBAC は非常に強固なセキュリティーモデル そのため設計や構築において多少手間がかかる 対して RCAC はより容易に望むセキュリティモデルを実現できる 33

34 参考資料 DB2 best practices: A practical guide to implementing row and column access control 行および列のアクセス制御 (RCAC) の概要 ec.doc/doc/c html SYSCAT.CONTROLS oc/doc/r html SYSCAT.CONTROLDEP oc/doc/r html CREATE/ALTER TABLE CREAT/ALTER PERMISSION CREATE/ALTER MASK にも様々な記載あり ( マニュアル ) 34

35 まとめ RCAC 新しいセキュリティー モデル 容易に行 列 その組合せでアクセス制御が可能 行のフィルタリング 列のマスキング アプリケーションからは透過的に実装可能 35

36 ( 参考 ) テスト結果 36

37 シンプル シナリオ 登場人物 ADAM セキュリティー管理者 権限の管理を行う JOHN 管理者 全てのデータを見ることができる BOB 経理担当 支払い残高のみを管理する 顧客の口座番号などはマスキングされる MARY 役割 ( ロール ) CUSTOMER 顧客担当者 MARY 自分が担当する顧客の支払い金額の残高のみ参照できる権限を持っている ACCOUNTANT 経理 BOB 口座番号がマスキングされる MANAGER 管理者 JOHN 全てのデータを見ることができる 販売会社の顧客担当者 自分の支払い金額の残高のみ参照できる権限を持っている 37

38 シンプル シナリオ概要図 アクセス制御を行うデータは見えない 全ての情報が見える ADAM JOHN CUSTID EMPNAME CUSTNAME ACCOUNT BALANCE 001 MARY SALLY MARY MICHAEL PETER EMILY MARY 担当顧客の情報だけ見える ACCOUNT が XXXX-XXXXX に見える BOB 38

39 シンプル シナリオ実行結果 (1/12) ユーザーを OS ユーザーに作成する ( 例は Windows) 39

40 シンプル シナリオ実行結果 (2/12) 権限の付与 C: labscript rcac>db2 -tvf 01crtuser.sql connect to rcacdb user Administrator using データベース接続情報 < 省略 > grant secadm,dbadm on database to user adam select substr(grantor,1,10)grantor, substr(grantee,1,10)grantee, connectauth, CREATETABAUTH, dbadmauth, securityadmauth from syscat.dbauth GRANTOR GRANTEE CONNECTAUTH CREATETABAUTH DBADMAUTH SECURITYADMAUTH SYSIBM ADMINISTRA N N Y Y SYSIBM PUBLIC Y Y N N ADMINISTRA ADAM N N Y Y 3 レコードが選択されました 40

41 シンプル シナリオ実行結果 (3/12) ロールの作成 C: labscript rcac>db2 -tvf 02crtrole.sql connect to rcacdb user adam using データベース接続情報 < 省略 > create role ACCOUNTANT create role CUSTOMER create role MANAGER grant role ACCOUNTANT to user BOB grant role CUSTOMER to user MARY grant role MANAGER to user JOHN 41

42 シンプル シナリオ実行結果 (4/12) テスト表の作成とデータの挿入 C: labscript rcac>db2 -tvf 03crttbl.sql connect to rcacdb user db2admin using < 省略 > create table sales(custid char(3), empname char(10), customer char(10), account char(10), balance int) DB20000I SQL コマンドが正常に完了しました insert into sales values('001','mary','sally',' ',100000) insert into sales values('002','mary','michael',' ',5000) insert into sales values('003','peter','emily',' ',0) select * from sales CUSTID EMPNAME CUSTOMER ACCOUNT BALANCE MARY SALLY MARY MICHAEL PETER EMILY レコードが選択されました

43 シンプル シナリオ実行結果 (5/12) 行のフィルタリング C: labscript rcac>db2 -tvf 04crtrcac.sql connect to rcacdb user adam using < 省略 > create permission cust on db2admin.sales for rows where ( verify_role_for_user(session_user, ACCOUNTANT )=1 ) OR ( verify_role_for_user(session_user, CUSTOMER ) =1 AND db2admin.sales.empname=session_user ) OR ( verify_role_for_user(session_user,'manager')=1 ) enforced for all access enable alter table db2admin.sales activate row access control 43 表にアクセスしたユーザーのロールが CUSTOMER の場合は SALES 表の EMPNAME = アクセスしたユーザー の行のみ表示する 表にアクセスしたユーザーのロールが ACCUNTANT や MANAGER であれば全てを表示する PERMISSION 作成後 ALTER TABLE 文にて行の PERMISSION を有効にする

44 シンプル シナリオ実行結果 (6/12) 列のマスキング create mask account_mask on db2admin.sales for column account return case when verify_role_for_user(session_user,'accountant')=1 then 'XXXX-XXXXX else account end enable alter table db2admin.sales activate column access control 表にアクセスしたユーザーのロールが ACCOUNTANT の場合は SALES 表の ACCOUNT 列を XXXX-XXXXX で表示する その他のロールに対しては マスキングは行わない MASK 作成後 ALTER TABLE 文にて列のマスキングを有効にします 44

45 シンプル シナリオ実行結果 (7/12) テスト表へのアクセス権限 C: labscript rcac>db2 -tvf 05grant.sql connect to rcacdb user adam using < 省略 > grant select on db2admin.sales to role CUSTOMER grant update on db2admin.sales to role CUSTOMER grant insert on db2admin.sales to role CUSTOMER grant delete on db2admin.sales to role CUSTOMER grant select on db2admin.sales to role MANAGER < 省略 > grant select on db2admin.sales to role ACCOUNTANT < 省略 > 45

46 シンプル シナリオ実行結果 (8/12) データの参照 各ユーザーが全て同じ SQL を実行 ロール別に列フィルタリングやマスキングが行われているため 同じ SQL を実行しても ユーザーに応じて見えるデータが異なる C: labscript rcac>db2 -tvf 06runsql.sql connect to rcacdb user john using < 省略 > select * from db2admin.sales CUSTID EMPNAME CUSTOMER ACCOUNT BALANCE MARY SALLY MARY MICHAEL PETER EMILY 管理者の JOHN が SALES 表に対して SELECT * を実行 管理者のため 全てのデータを見ることができる 3 レコードが選択されました 46

47 シンプル シナリオ実行結果 (9/12) データ参照 connect to rcacdb user mary using < 省略 > select * from db2admin.sales CUSTID EMPNAME CUSTOMER ACCOUNT BALANCE MARY SALLY MARY MICHAEL 顧客担当の MARY が SALES 表に対して SELECT * を実行 MARY は自分が担当する顧客の情報しか見れない 2 レコードが選択されました 47

48 シンプル シナリオ実行結果 (10/12) データ参照 connect to rcacdb user bob using < 省略 > select * from db2admin.sales CUSTID EMPNAME CUSTOMER ACCOUNT BALANCE MARY SALLY XXXX-XXXXX MARY MICHAEL XXXX-XXXXX PETER EMILY XXXX-XXXXX 0 経理担当の BOB が SALES 表に対して SELECT * を実行 BOB は顧客の口座番号を見ることは許されていないため ACCOUNT 列が XXXX-XXXXX にマスキングされている 3 レコードが選択されました 48

49 シンプル シナリオ実行結果 (11/12) データの更新 49 PERMISSION を作成するだけで 許可の無いデータに対して更新ができなくなる 例では MARY が自分の担当する顧客データを表に挿入することはできるが 自分の顧客以外のデータを挿入しようとした場合や 自分の顧客以外のデータを更新した場合にエラーになる C: labscript rcac>db2 -tvf 07insert.sql connect to rcacdb user mary using < 省略 > 自分の顧客情報は INSERT 可能 insert into db2admin.sales values( 020, MARY, SAM, ,9000) insert into db2admin.sales values('010','peter','scott',' ',500) DB21034E コマンドが 有効なコマンド行プロセッサー コマンドでないため SQLステートメントとして処理されました SQL 処理中に 次のエラーが返されました SQL20471N INSERT または UPDATE ステートメントは 結果の行が行の許可を満たさないため失敗しました SQLSTATE=22542 PETER 担当の顧客情報はINSERT できない

50 シンプル シナリオ実行結果 (12/12) データの更新 update db2admin.sales set empname='mary' where custid='003 SQL0100W FETCH UPDATE または DELETE の対象となる行がないか または照会の結果が空の表です SQLSTATE=02000 select * from db2admin.sales CUSTID EMPNAME CUSTOMER ACCOUNT BALANCE MARY SALLY MARY MICHAEL MARY SAM レコードが選択されました 自分の担当顧客情報は更新できない 結果 更新できるものは自分のデータのみ 50