Data Management:リレーショナルデータベースの SQL コンソール

SQL コンソールのチェックポイント

以下のフローチャートは、チェックポイントの仕組みを示しています。

ファクターとアクション

• ファクターは、DMS が提供する事前定義された変数です。ファクターを使用して、SQL ステートメントのカテゴリや影響を受けるデータ行数など、セキュリティルールによって検証されるコンテキストを取得できます。

  • すべてのファクターは @fac. で始まり、その後にファクター名が続きます。

  • セキュリティルールセットの [詳細] ページの各モジュールは、チェックポイントごとに異なるファクターを提供します。

  表 1. SQL コンソールモジュールが提供するファクター

  ファクター	説明
  @fac.sql_count	一度に送信される SQL ステートメントの数。
  @fac.select_sql_count	一度に送信される SQL ステートメントの中の DQL ステートメントの数。
  @fac.dml_sql_count	一度に送信される SQL ステートメントの中の DML ステートメントの数。
  @fac.sql_type	SQL ステートメントのカテゴリ。詳細については、このトピックの「DMS で実行可能な SQL ステートメント」セクションをご参照ください。
  @fac.sql_sub_type	SQL ステートメントのサブカテゴリ。詳細については、このトピックの「DMS で実行可能な SQL ステートメント」セクションをご参照ください。
  @fac.env_type	環境タイプ。値は DEV や PRODUCT などの環境識別子です。詳細については、「インスタンスの環境タイプ」をご参照ください。
  @fac.fulltable_delete	現在の SQL ステートメントが全テーブルの DELETE かどうかを示します。有効な値は次のとおりです。 true false
  @fac.fulltable_update	現在の SQL ステートメントが全テーブルの UPDATE かどうかを指定します。有効な値： true false
  @fac.current_sql	現在の SQL ステートメント。
  @fac.user_is_admin	現在のユーザーが DMS 管理者であるかどうかを示します。有効な値： true false
  @fac.user_is_dba	現在のユーザーがデータベース管理者 (DBA) であるかどうかを示します。有効な値： true false
  @fac.user_is_inst_dba	現在のユーザーが現在のデータベースインスタンスの DBA であるかどうかを示します。有効な値： true false
  @fac.user_is_sec_admin	現在のユーザーがセキュリティ管理者であるかどうかを示します。有効な値： true false
  @fac.sql_affected_rows	現在の SQL ステートメントによって影響を受ける行数。 説明 COUNT 操作が実行されるため、注意してご使用ください。
  @fac.sql_relate_table_store_size	現在の SQL ステートメントがアクセスするテーブルの推定合計サイズ。単位：MB。 説明 この値は DMS が取得したメタデータに基づいて推定されたものであり、実際の値ではありません。

• アクション：if 条件が満たされたときにシステムが実行する動作。このアクションは、チケットの送信の禁止、承認プロセスの選択、実行の許可、実行の拒否など、セキュリティルールの主な目的を表します。

  • すべてのアクションは @act. で始まり、その後にアクション名が続きます。

  • セキュリティルールセットの [詳細] ページの各モジュールは、チェックポイントごとに異なるアクションを提供します。

  表 2. SQL コンソールモジュールが提供するアクション

  アクション	説明
  @act.reject_execute	現在の SQL ステートメントの実行を拒否します。
  @act.allow_execute	現在の SQL ステートメントの実行を許可します。
  @act.reject_sql_type_execute	特定の種類の SQL ステートメントを拒否するには、SQL サブタイプを指定する必要があります。例：@act.reject_sql_type_execute 'UPDATE'。
  @act.allow_sql_type_execute	特定の種類の SQL の実行を許可するには、正確な SQL サブタイプを指定する必要があります。例：@act.allow_sql_type_execute 'UPDATE'。
  @act.check_dml_sec_column_permission	ユーザーが機密フィールドに対する権限を持っているかどうかを確認します。ユーザーが必要な権限を持っていない場合、データ変更のための DML ステートメントは実行されません。
  @act.uncheck_dml_sec_column_permission	ユーザーが機密フィールドに対する権限を持っているかどうかを確認しません。
  @act.check_sql_access_permission	実行される SQL ステートメントに関与するデータベース、テーブル、またはフィールドに対して、ユーザーが特定の権限を持っているかどうかを確認します。たとえば、ユーザーがデータをクエリする権限やデータを変更する権限を持っているかどうかを確認できます。
  @act.uncheck_sql_access_permission	実行される SQL ステートメントに関与するデータベース、テーブル、またはフィールドに対して、ユーザーが特定の権限を持っているかどうかを確認しません。
  @act.enable_sec_column_mask	機密フィールドに対する権限を持たないユーザーによって送信された SQL ステートメントに対して返されるクエリ結果セット内の機密フィールドをマスクします。
  @act.disable_sec_column_mask	機密フィールドに対する権限を持たないユーザーによって送信された SQL ステートメントに対して返されるクエリ結果セット内の機密フィールドをマスクしません。

DMS で実行可能な SQL ステートメント

よくある質問

• Q: SELECT * ステートメントの実行を制限できますか。

  A: はい。このアクションには、セキュリティコラボレーションモードが有効になっているインスタンスが必要です。

  1. DMS コンソールの上部のナビゲーションバーで、[セキュリティと障害復旧] > [セキュリティルール] を選択します。

  2. [ルールセット] タブで、ご利用のデータエンジンタイプに対応するルールセットを選択します。

  3. 対象のルールセットを見つけ、[操作] 列の [編集] をクリックして [詳細] ページに移動します。

  4. 左側のナビゲーションウィンドウで、[SQL コンソール] を選択します。[チェックポイント] で、[SQL 実行数量基準] を選択します。

  5. [ルールの追加] をクリックし、次の DSL スクリプトを入力します。

     if 
       @fac.sql_sub_type in ['SELECT'] 
       AND @fun.is_contain_str(@fac.current_sql,'*') 
     then 
       @act.reject_execute 'SQL ステートメントに * が含まれています。別の方法を使用してください。' 
     end

• Q: SQL コンソールで大規模なクエリを制限するルールを設定するにはどうすればよいですか。

  A: このアクションには、セキュリティコラボレーションモードが有効になっているインスタンスが必要です。

  1. DMS コンソールの上部のナビゲーションバーで、[セキュリティと障害復旧] > [セキュリティルール] を選択します。

  2. [ルールセット] タブで、ご利用のデータエンジンタイプに対応するルールセットを選択します。

  3. 対象のルールセットを見つけ、[操作] 列の [編集] をクリックして [詳細] ページに移動します。

  4. 左側のナビゲーションウィンドウで、[SQL コンソール] を選択します。検索ボックスに「全表スキャン」と入力し、[検索] ボタンをクリックします。

  5. リストから対象のルールを選択し、その [編集] ボタンをクリックして設定します。