Разграничение прав доступа в SQL сервере

[-QT-]

Прошу прощения за вопрос не по теме НО запостил я этот же вопрос в нужном форуме, а туда видимо
никто не заходит. Благодарю за понимание.

Доброго времени суток.
Объясните, кто использовал схемы в PostgreSQL, как это можно практически
использовать для разделения доступа в приложении и необходимо ли это делать.

Погуглив проблемму наткнулся на Veil for PostgreSQL. Скачал - собрал - поставил - исследую.
Кто использовал данную приблуду отзовитесь - поделитесь мнениями.

Заранее спасибо.

[alexis]

Именно данную "приблуду" не использовал, но...

Для разраграничения прав у нас используется самописный тип: row_acl.
Вот так выглядит из psql консоли.

Код:

cms1=> select name, usr, grp, acl from element limit 5;
        name        |  usr  |       grp        |       acl
--------------------+-------+------------------+-----------------
 page_init          | admin | banner_publisher | rwdixr---x-----
 page_init          | admin | banner_agency    | rwdixr---x-----
 script_chooser     | admin | banner_agency    | rwdixr---x-----
 update_html_banner | admin | banner_agency    | rwdixr---x-----
 page_init          | admin | admin            | rwdixr---xr---x

То есть: каждая строка таблицы имеет колонку типа row_acl
В этом типе в 15 битах описываются права для владельца, группы и остальных.
В общем - unix-way.
В добавок ко всему, реальные таблицы закрыты вьюхами на DML.
На вьюхах описаны правила, что делать при вставке, апдейте, делите.
Вьюхи построены на основе права "чтения" на объект.

[Вудруф]

Как вариант - отдельные таблицы для различных прав доступа.
Далее, создаётся две схемы. В первой - все таблицы+процедуры для работы.
Вторая схема имеет доступ к процедурам первой, причём все процедуры работают только если первоначально была вызвана процедура login (пользователь вошёл в систему) и при этом проверяют права доступа для любого совершаемого действия.

Возможно, мы несколько перестраховались, но всё работает. Цель - повышение безопасности, чтобы даже при взломе нашего web-сервера злоумышленник не мог напрямую работать с базой данных...

[Вячеслав]

Вот сюда посмотри - не слоник но рядом
http://www.ibase.ru/devinfo/treedb2.htm

[Вячеслав]

Именно данную "приблуду" не использовал, но...

Для разраграничения прав у нас используется самописный тип: row_acl.
Вот так выглядит из psql консоли.

То есть: каждая строка таблицы имеет колонку типа row_acl
В этом типе в 15 битах описываются права для владельца, группы и остальных.
В общем - unix-way.

Гы таки у вас acl или rwd ? ЕСли первое - скоростью работы и размером баз не поделитесь - а то я как-раз голову ломаю как ускорить процесс .......

[alexis]

Назвали мы его так - row_acl
Аксес лист для строки.
r - read ( как select )
w - write( как update/delete )
d - delete ( как уадение подчиненного объекта: связи, подстатьи, блоба)
i - insert ( как вставка подчиненного объекта )
x - право на просмотр объектов сущности - контейнер: раздел, страница )
Тип внутренне представлен int'ом.
При выводе text row_acl_out() преобразует интовую маску в текстовое представление
Есть гистовый индекс для этого типа.
Скорости на больших объемах не замеряли. Могу сказать, что сейчас на >5 гектарной базе запросы умещаются в сотые доли секунды.

[Вячеслав]

Ясненько - то-есть все-таки rwd Ну что-ж пошел дальше рыть   

[-QT-]

Не думал, что будет такой активный отклик на мой вопрос.
Спасибо что откликнулись.
Прочитал http://www.ibase.ru/devinfo/treedb2.htm и пришел к выводу что система RWD для моего случая
подходит более чем ACL. Теперь нужно правильно реализовать эту схему для моего случая.

По поводу "схем" в постгресе  - тоже понял, хочу только уточнить. Вудруф, у Вас  "схема" применялась по принципу -
одна схема - один АРМ или более глобально ?

По вопросу Veil - скажу так (если не ошибаюсь) Это то что нужно даже с интегрированием в сам сервер.  Тут еще
нужно покопаться ...

[alexis]

Если есть желание, могу сделать архив с реализацией нашей структуры базы.
Архив init скриптов.

[-QT-]

Если есть желание, могу сделать архив с реализацией нашей структуры базы.
Архив init скриптов.

С удовольствием посмотрю. Большое спасибо.

[-QT-]

Вчера обдумывал варианты решения.
Остановившись на схеме RWD подумалось, ведь в самой СУБД есть и пользователи и группы
так кто-же нам мешает их использовать в решении проблемы разграничения прав - !!!!
Оказывается - незнание !  или нехватка знаний.
Подскажите КАК залезть в нутро сервера чтобы по умолчанию в таблицу добавить несколько полей и триггеров.

[Вячеслав]

НЕ НАДО трогать системные таблицы - гимору не оберешься
Вообще-то логичнее делать разграничение прав доступа для каждой бд... А если хош нормальную защиту даннных - смотри в сторону мандатов -> Oracle Linter.... etc

[alexis]

Мы используем внутренние роли постгреса.
+ посгрес позволяет создавать пользователей per-database

[-QT-]

НЕ НАДО трогать системные таблицы - гимору не оберешься
Вообще-то логичнее делать разграничение прав доступа для каждой бд... А если хош нормальную защиту даннных - смотри в сторону мандатов -> Oracle Linter.... etc

Для каждой базы данных права будут создаваться. Необходимо разграничение по доступу для записи.
Иметь владельца записи и права для ( владельца-группы-прочие ).
По вопросу СУБД - никаких шатаний не подразумевается - выбран Постгрес.
Возможно использовать данную схему без изменения системных таблиц но тогда я думаю вся система доступа будет делаться
не опираясь на возможности СУБД - а самостоятельно и сущесствовать обособленно от какого либо сервера баз данных.

[-QT-]

Мы используем внутренние роли постгреса.
+ посгрес позволяет создавать пользователей per-database

Если можно подробнее раскажите где копать, читать, смотреть.