Utilisez l'onglet Access apply des règles de sécurité pour définir les workflows d'approbation des demandes d'autorisation sur les instances de base de données, les bases de données, les tables, les colonnes, les lignes, les objets programmables et la propriété des données. Les règles sont écrites dans le langage spécifique au domaine (DSL) de DMS et évaluées comme des points de contrôle lorsque les utilisateurs soumettent des tickets d'autorisation.
Fonctionnement
Lorsqu'un utilisateur soumet un ticket d'autorisation, DMS l'évalue par rapport aux règles définies pour chaque point de contrôle. Le ticket n'est traité que s'il satisfait à toutes les règles applicables. Chaque point de contrôle correspond à des types de tickets spécifiques et dispose d'un modèle d'approbation par défaut qui s'applique lorsqu'aucune règle personnalisée ne correspond.
Le tableau suivant illustre la relation entre les types d'autorisation, les points de contrôle et les modèles par défaut :
| Type d'autorisation | Point de contrôle | Modèle d'approbation par défaut |
|---|---|---|
| Instance (performances, connexion) | Validation for instance permission application | [Instance-permission application] default approval template |
| Base de données | Database permission application validation | [DB-permission application] default approval template |
| Table | Table permission application validation | Table-permission request default approval template |
| Objet programmable | Programmable object verification | [Programmable object-permission application] default approval template |
| Colonne sensible | Sensitive field application validation | [Field-permission application] default approval template |
| Ligne | Line permission application verification | Line-permission application default approval template |
| Propriété des données (sans propriétaire actuel) | Owner application validation | [Owner-application] default approval template (when the resource has no owner) |
| Propriété des données (avec propriétaire) | Owner application validation | [Owner-application] default approval template (when the resource has an owner) |
Le modèle par défaut de chaque point de contrôle prend effet lorsqu'aucune règle personnalisée n'est configurée pour ce point de contrôle aux niveaux de risque spécifiés. Pour remplacer la valeur par défaut, créez une règle de sécurité sous le point de contrôle concerné.
Prérequis
Avant de commencer, assurez-vous de disposer de l'un des rôles suivants :
Administrateur DMS
Administrateur de base de données (DBA)
Administrateur de sécurité
Concepts clés
Les facteurs sont des variables prédéfinies qui fournissent un contexte lors de l'évaluation d'une règle de sécurité par DMS. Les noms de facteurs utilisent le préfixe @fac.. Les facteurs suivants sont disponibles dans l'onglet Access apply :
| Facteur | Description |
|---|---|
@fac.env_type |
Le nom d'affichage du type d'environnement, tel que DEV ou PRODUCT. Pour plus d'informations, consultez Change the environment type of an instance. |
@fac.schema_name |
Le nom de la base de données. |
@fac.perm_apply_duration |
La durée des autorisations demandées, en heures. |
@fac.column_security_level |
Le niveau de sécurité de la colonne. Valeurs valides : sensitive, confidential, inner. |
@fac.perm_type |
Les types d'autorisation demandés, renvoyés sous forme de liste de chaînes telles que ['CORRECT','EXPORT']. Valeurs valides : QUERY, EXPORT, CORRECT, LOGIN, PERF. Utilisez avec @fun.listEqualIgnoreOrder pour évaluer l'ensemble exact des autorisations. Par exemple, @fun.listEqualIgnoreOrder(@fac.perm_type, ['QUERY']) vérifie si seules les autorisations de requête sont demandées. |
Les Actions définissent l'action entreprise par DMS lorsque la condition d'une règle est remplie. Les noms d'action utilisent le préfixe @act.. Les actions suivantes sont disponibles dans l'onglet Access apply :
| Action | Description |
|---|---|
@act.forbid_submit_order |
Empêche la soumission du ticket. |
@act.do_not_approve |
Spécifie l'ID d'un modèle d'approbation. Pour plus d'informations, consultez Configure approval processes. |
@act.choose_approve_template |
|
@act.choose_approve_template_with_reason |
Pour plus de détails sur la syntaxe DSL, consultez Syntaxe DSL pour les règles de sécurité.
Modèles de règles de sécurité
DMS fournit des modèles prédéfinis pour les scénarios d'approbation courants. Sélectionnez un modèle comme point de départ et modifiez le DSL pour répondre à vos besoins.
| Point de contrôle | Modèles disponibles |
|---|---|
| Owner application validation | Block all ownership applicationsBlock ownership applications in productionAuto-approve ownership applications in test |
| Database permission application validation | Block all database permission applicationsBlock database permission applications in productionAuto-approve database permission applications in test |
| Table permission application validation | Block all table permission applicationsBlock table permission applications in productionAuto-approve table permission applications in test |
| Programmable object verification | Block all programmable object applicationsBlock programmable object applications in productionAuto-approve programmable object applications in test |
| Sensitive field application validation | Block all sensitive column permission applicationsRoute confidential column applications to a specific approval process |
| Line permission application verification | Block all row permission applicationsBlock row permission applications in productionRoute row permission applications to a specific approval process |
Créer une règle de sécurité
Connectez-vous à la console DMS V5.0.
-
Placez le pointeur sur l'icône
dans le coin supérieur gauche et choisissez .RemarqueSi vous utilisez la console DMS en mode normal, choisissez dans la barre de navigation supérieure.
-
Placez le pointeur sur l'icône
dans le coin supérieur gauche et choisissez All functions > Security and Specifications > Security Rules.En mode normal, choisissez Security and Specifications > Security Rules dans la barre de navigation supérieure.
Dans l'onglet Security Rules, localisez l'ensemble de règles de sécurité à gérer et cliquez sur Edit dans la colonne Actions.
Sur la page Details, cliquez sur l'onglet Access apply dans le volet de gauche.
Cliquez sur Create Rule à côté de Actions.
-
Dans la boîte de dialogue Create Rule - Access apply, configurez les paramètres suivants :
Paramètre Obligatoire Description Checkpoints Oui Le point de contrôle auquel associer cette règle. Sélectionnez parmi les sept points de contrôle répertoriés dans Fonctionnement. Template database Non Un modèle prédéfini à utiliser comme point de départ. Après avoir sélectionné un point de contrôle, cliquez sur Load from Template Database pour parcourir les modèles disponibles. Le nom de la règle et le code DSL sont renseignés automatiquement. Rule name Oui Un nom descriptif pour la règle. Renseigné automatiquement lors du chargement depuis un modèle. Rule DSL Oui L'expression DSL qui définit la condition et l'action. Renseignée automatiquement lors du chargement depuis un modèle. Pour plus de détails sur la syntaxe, consultez Syntaxe DSL pour les règles de sécurité. Cliquez sur Submit.
La règle est créée à l'état Disabled par défaut. Cliquez sur Enable dans la colonne Actions, puis cliquez sur OK pour l'activer.
Étapes suivantes
Syntaxe DSL pour les règles de sécurité — Découvrez la syntaxe DSL complète pour écrire des conditions et des actions personnalisées.
Configure approval processes — Configurez les modèles d'approbation référencés par
@act.choose_approve_template.Data change — Modifiez le modèle d'approbation par défaut pour une demande d'autorisation d'instance.