oracle里的ols机制,[Oracle] 数据库安全之 - Oracle标签安全（OLS）

在上一篇文章中讨论了如何利用VPD对Oracle表中的行进行访问控制(见《

[Oracle] 数据库安全之 - 虚拟私有数据库 (VPD)

》)，下面介绍一种比VPD复杂一点的访问控制技术——OLS (Oracle Label Security)。

启用OLS

如果你的数据库版本是10g，则需要额外安装OLS组件，但如果是11g，只要启用OLS即可，因为11g里OLS是默认安装的，下面是11g下启动OLS的语句：

C:\Users\xianzhu>chopt enable lbac

Writing to C:/app/xianzhu/product/11.2.0/dbhome_1/install/enable_lbac.log...

movefile C:\app\xianzhu\product\11.2.0\dbhome_1/bin/oralbac11.dll.dbl C:\app\xianzhu\product\11.2.0\dbhome_1/bin/oralbac11.dll

OLS启动成功，并重启数据库之后，再用sqlplus登陆数据库时，会发现多了"Oracle Label Security"的提示信息：

C:\Users\xianzhu>sqlplus test/test

SQL*Plus: Release 11.2.0.1.0 Production on 星期日 6月 9 09:40:17 2013

Copyright (c) 1982, 2010, Oracle. All rights reserved.

连接到:

Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit Production

With the Partitioning, Oracle Label Security, OLAP, Data Mining

and Real Application Testing options

启动OLS还是不够的，还需要用dbca配置OLS，其主要步骤如下：

OLS机制

OLS和其它访问控制技术的关系如上图所示，从上图可以看出，OLS是在VPD之后起作用，它们都是针对行进行访问控制。当用户发起一个SQL访问数据时，其大致过程如下：

1)Check DAC (Data Access Control)：查看用户对该表是否有访问(select)权限

2)VPD SQL Modification：如果在该表上有定义VPD，则启用VPD，加上相应的谓词条件

3)OLS：如果在该表上有定义OLS，则启动OLS，只返回用户可以看到的数据

OLS的机制如下图所示：

其原理大致如下：

1)在表上定义伪列(Data Label)，在该伪上定义每行数据的级别(如上例中Highly Sensitive, Sensitive, Confidential)

2)对用户也定义相应的级别(User Label)，表上该用户能访问的最高级别

3)当用户访问表中数据时，Oracle会比较用户的Label和表中数据的Label，只有当用户的Label >= 数据的Label时，数据才会返回给用户

OLS实战

1)如果你照以上步骤，正确启用OLS之后，Oracle会创建一个用户lbacsys，但是该用户是被锁的，首次使用需要解锁并修改密码：

SQL> alter user lbacsys account unlock;

用户已更改。

SQL> alter user lbacsys identified by lbacsys;

用户已更改。

2)接着用lbacsys用户连接，并新建一个policy如下：

SQL> conn lbacsys/lbacsys

已连接。

SQL> exec sa_sysdba.create_policy(policy_name => 'ACCESS_LOCATIONS', column_name => 'OLS_COLUMNE');

PL/SQL 过程已成功完成。

SQL> select policy_name, status from dba_sa_policies;

POLICY_NAME STATUS

------------------------------ --------

ACCESS_LOCATIONS ENABLED

3)创建3个level，从小到大分别是(‘PUBLIC CITY', 'CONFIDENTIAL CITY', 'SENSITIVE CITY')，注意：Oracle是用level_num来区分各个level的等级。

SQL> exec sa_components.create_level(policy_name=>'ACCESS_LOCATIONS',level_num=>1000,short_name=>'PUB',long_name=>'PUBLIC CITY');

PL/SQL 过程已成功完成。

SQL> exec sa_components.create_level(policy_name=>'ACCESS_LOCATIONS',level_num=>2000,short_name=>'CONF',long_name=>'CONFIDENTIAL CITY');

PL/SQL 过程已成功完成。

SQL> exec sa_components.create_level(policy_name=>'ACCESS_LOCATIONS',level_num=>3000,short_name=>'SENS',long_name=>'SENSITIVE CITY');

PL/SQL 过程已成功完成。

SQL> select * from dba_sa_levels order by level_num;

POLICY_NAME LEVEL_NUM SHORT_NAME LONG_NAME

-------------------- ---------- ---------- --------------------

ACCESS_LOCATIONS 1000 PUB PUBLIC CITY

ACCESS_LOCATIONS 2000 CONF CONFIDENTIAL CITY

ACCESS_LOCATIONS 3000 SENS SENSITIVE CITY

4)创建标签(label)

SQL> exec sa_label_admin.create_label(policy_name=>'ACCESS_LOCATIONS',label_tag=>'1000',label_value=>'PUB',data_label=>TRUE);

PL/SQL 过程已成功完成。

SQL> exec sa_label_admin.create_label(policy_name=>'ACCESS_LOCATIONS',label_tag=>'2000',label_value=>'CONF',data_label=>TRUE);

PL/SQL 过程已成功完成。

SQL> exec sa_label_admin.create_label(policy_name=>'ACCESS_LOCATIONS',label_tag=>'3000',label_value=>'SENS',data_label=>TRUE);

PL/SQL 过程已成功完成。

SQL> exec sa_policy_admin.apply_table_policy(policy_name=>'ACCESS_LOCATIONS',schema_name=>'HR',table_name=>'LOCATIONS',table_options=>'LABEL_DEFAULT,READ_CONTROL');

PL/SQL 过程已成功完成。

5)创建三个测试用户(DBA账户):

SQL> create user tom identified by tom;

用户已创建。

SQL> create user peter identified by peter;

用户已创建。

SQL> create user rose identified by rose;

用户已创建。

SQL> grant connect to tom, peter, rose;

授权成功。

SQL> grant select on hr.locations to tom, peter, rose;

授权成功。

6)为以上三个用户创建user label，他们的label对应关系分别是：Tom -> SENS, Peter -> CONF, Rose -> PUB

SQL> exec sa_user_admin.set_user_labels(policy_name=>'ACCESS_LOCATIONS',user_name=>'TOM',max_read_label=>'SENS');

PL/SQL 过程已成功完成。

SQL> exec sa_user_admin.set_user_labels(policy_name=>'ACCESS_LOCATIONS',user_name=>'PETER',max_read_label=>'CONF');

PL/SQL 过程已成功完成。

SQL> exec sa_user_admin.set_user_labels(policy_name=>'ACCESS_LOCATIONS',user_name=>'ROSE',max_read_label=>'PUB');

PL/SQL 过程已成功完成。

7)给表中数据的某一行标记label

SQL> execute sa_user_admin.set_user_privs(policy_name=>'ACCESS_LOCATIONS',user_name=>'HR',privileges=>'FULL');

PL/SQL 过程已成功完成。

SQL> update hr.locations set ols_columne=CHAR_TO_LABEL('ACCESS_LOCATIONS','SENS') where upper(city) in ('BEIJING','TOKYO','SINGAPORE');

已更新3行。

SQL> update hr.locations set ols_columne=CHAR_TO_LABEL('ACCESS_LOCATIONS','CONF') where upper(city) in ('MUNICH','OXFORD','ROME');

已更新2行。

SQL> update hr.locations set ols_columne=CHAR_TO_LABEL('ACCESS_LOCATIONS','PUB') where ols_columne is null;

已更新18行。

8)至此，OLS已经部署完成，现在Tom可以看到所有的数据，Peter看不到'BEIJING','TOKYO','SINGAPORE'的数据，Rose看不到’BEIJING','TOKYO','SINGAPORE, 'MUNICH', 'OXFORD', 'ROME'数据。