Data Management:Consola SQL para bases de datos relacionales

Puntos de control en SQL Console

El siguiente diagrama de flujo muestra cómo funcionan los puntos de control.

Factores y acciones

• Un factor es una variable predefinida proporcionada por DMS. Los factores permiten obtener el contexto que deben validar las reglas de seguridad, como las categorías de sentencias SQL y el número de filas de datos que se verán afectadas.

  • Todos los factores comienzan con @fac., seguido del nombre del factor.

  • Cada módulo en la página Details de un conjunto de reglas de seguridad ofrece distintos factores para diferentes puntos de control.

  Tabla 1. Factores proporcionados por el módulo SQL Console

  Factor	Descripción
  @fac.sql_count	Número de sentencias SQL que se envían a la vez.
  @fac.select_sql_count	Número de sentencias DQL entre las sentencias SQL que se envían a la vez.
  @fac.dml_sql_count	Número de sentencias DML entre las sentencias SQL que se envían a la vez.
  @fac.sql_type	Categoría de una sentencia SQL. Para obtener más información, consulte la sección SQL statements that can be executed in DMS de este tema.
  @fac.sql_sub_type	Subcategoría de una sentencia SQL. Para obtener más información, consulte la sección SQL statements that can be executed in DMS de este tema.
  @fac.env_type	Tipo de entorno. El valor es un identificador de entorno, como DEV o PRODUCT. Para obtener más información, consulte Instance environment type.
  @fac.fulltable_delete	Indica si la sentencia SQL actual es una operación DELETE de tabla completa. Los valores válidos son: true false
  @fac.fulltable_update	Especifica si la sentencia SQL actual es una operación UPDATE de tabla completa. Valores válidos: true false
  @fac.current_sql	Sentencia SQL actual.
  @fac.user_is_admin	Indica si el usuario actual es administrador de DMS. Valores válidos: true false
  @fac.user_is_dba	Indica si el usuario actual es administrador de bases de datos (DBA). Valores válidos: true false
  @fac.user_is_inst_dba	Indica si el usuario actual es DBA de la instancia de base de datos actual. Valores válidos: true false
  @fac.user_is_sec_admin	Indica si el usuario actual es administrador de seguridad. Valores válidos: true false
  @fac.sql_affected_rows	Número de filas que se verán afectadas por la sentencia SQL actual. Nota Se ejecutará una operación COUNT, por lo que debe usarse con precaución.
  @fac.sql_relate_table_store_size	Tamaño total estimado de la tabla a la que accederá la sentencia SQL actual. Unidad: MB. Nota Este valor se estima con base en los metadatos obtenidos por DMS. No representa el valor real.

• Acción: Comportamiento que ejecuta el sistema cuando se cumple una condición if. Esta acción expresa el propósito principal de una regla de seguridad, como prohibir el envío de tickets, seleccionar un proceso de aprobación, permitir la ejecución o denegar la ejecución.

  • Todas las acciones comienzan con @act., seguido del nombre de la acción.

  • Cada módulo en la página Details de un conjunto de reglas de seguridad ofrece distintas acciones para diferentes puntos de control.

  Tabla 2. Acciones proporcionadas por el módulo SQL Console

  Acción	Descripción
  @act.reject_execute	Rechaza la ejecución de la sentencia SQL actual.
  @act.allow_execute	Permite la ejecución de la sentencia SQL actual.
  @act.reject_sql_type_execute	Para rechazar un tipo específico de sentencia SQL, debe especificar el subtipo de SQL. Por ejemplo: @act.reject_sql_type_execute 'UPDATE'.
  @act.allow_sql_type_execute	Para permitir la ejecución de un tipo específico de SQL, debe especificar el subtipo exacto de SQL. Por ejemplo: @act.allow_sql_type_execute 'UPDATE'.
  @act.check_dml_sec_column_permission	Comprueba si un usuario tiene permisos sobre campos sensibles. Si el usuario carece de los permisos necesarios, no se ejecuta la sentencia DML para cambio de datos.
  @act.uncheck_dml_sec_column_permission	No comprueba si un usuario tiene permisos sobre campos sensibles.
  @act.check_sql_access_permission	Comprueba si un usuario cuenta con permisos específicos sobre las bases de datos, tablas o campos involucrados en las sentencias SQL que se ejecutarán. Por ejemplo, puede verificar si un usuario tiene permisos para consultar o modificar datos.
  @act.uncheck_sql_access_permission	No comprueba si un usuario cuenta con permisos específicos sobre las bases de datos, tablas o campos involucrados en las sentencias SQL que se ejecutarán.
  @act.enable_sec_column_mask	Enmascara los campos sensibles en los conjuntos de resultados de consulta devueltos para sentencias SQL enviadas por usuarios sin permisos sobre dichos campos.
  @act.disable_sec_column_mask	No enmascara los campos sensibles en los conjuntos de resultados de consulta devueltos para sentencias SQL enviadas por usuarios sin permisos sobre dichos campos.

Sentencias SQL ejecutables en DMS

Preguntas frecuentes

• Q: Can I restrict the execution of SELECT * statements?

  A: Yes. This action requires an instance with security collaboration mode enabled.

  1. En la barra de navegación superior de la consola DMS, seleccione Security and Disaster Recovery > Security Rules.

  2. En la pestaña Rule Sets, seleccione el conjunto de reglas correspondiente a su tipo de motor de datos.

  3. Localice el conjunto de reglas deseado y haga clic en Edit en la columna Actions para ir a la página Details.

  4. En el panel de navegación izquierdo, seleccione SQL console. En Checkpoints, seleccione SQL execution count criteria.

  5. Haga clic en Add Rule e introduzca el siguiente script DSL.

     if 
       @fac.sql_sub_type in ['SELECT'] 
       AND @fun.is_contain_str(@fac.current_sql,'*') 
     then 
       @act.reject_execute 'The SQL statement contains *. Please use an alternative method.' 
     end

• Q: How do I configure rules to restrict large queries in the SQL console?

  A: This action requires an instance with security collaboration mode enabled.

  1. En la barra de navegación superior de la consola DMS, seleccione Security and Disaster Recovery > Security Rules.

  2. En la pestaña Rule Sets, seleccione el conjunto de reglas correspondiente a su tipo de motor de datos.

  3. Localice el conjunto de reglas deseado y haga clic en Edit en la columna Actions para ir a la página Details.

  4. En el panel de navegación izquierdo, seleccione SQL console. En el cuadro de búsqueda, introduzca "full table scan" y haga clic en el botón Search.

  5. Seleccione la regla deseada de la lista y haga clic en su botón Edit para configurarla.