Como gerenciar permissões de controle de acesso no DMS - Data Management: Central de Documentação do Alibaba Cloud

Categorias de permissão

O DMS organiza as permissões em três categorias:

Categoria	O que controla
Permissões de operação	Ações que os usuários podem executar nos recursos: logon, consulta, exportação e alteração
Permissões de dados (permissões de proprietário do recurso)	Propriedade de um recurso, incluindo a capacidade de conceder e revogar acesso
Controle de acesso a metadados	Visibilidade dos recursos: se usuários não autorizados podem visualizar ou solicitar acesso

Permissões de operação

As permissões de operação definem o que um usuário pode fazer com um recurso. Estão disponíveis os seguintes tipos:

Tipo de permissão	Descrição	Hospedagem de segurança obrigatória
Permissões em instâncias de banco de dados — logon	Faça logon em uma instância de banco de dados usando a conta e a senha gerenciadas pela sua empresa.	Não
Permissões em instâncias de banco de dados — desempenho	Visualize detalhes de desempenho de uma instância de banco de dados. Para mais informações, consulte Visualizar os detalhes de desempenho de uma instância de banco de dados.	Sim
Permissões em instâncias de banco de dados — dados	Consulte, exporte e altere dados em uma instância de banco de dados, exceto colunas sensíveis e linhas com controle de acesso ativado.	—
Permissões em bancos de dados	Consulte, exporte e altere dados em um banco de dados, exceto colunas sensíveis e linhas com controle de acesso ativado.	—
Permissões em tabelas	Consulte, exporte e altere dados em uma tabela, exceto colunas sensíveis e linhas com controle de acesso ativado.	—
Permissões em colunas sensíveis	Consulte, exporte e altere dados em uma coluna sensível. Antes de solicitar, certifique-se de que o recurso de proteção de dados sensíveis esteja ativado e que você tenha permissões no banco de dados e na tabela pai.	—
Permissões em linhas	Consulte, exporte e altere dados em uma linha. Para detalhes de configuração, consulte Configurar controle de acesso no nível de linha. Antes de solicitar, verifique se você possui permissões no banco de dados e na tabela pai.	—
Permissões em objetos programáveis	Consulte, exporte e altere dados em um objeto programável. Para mais informações, consulte Alterar objetos programáveis usando rotinas armazenadas.	Sim

Significado de consulta, exportação e alteração no DMS:

Consulta: execute instruções de consulta no SQL Console.
Alteração: execute instruções de modificação no SQL Console e envie tickets de alteração de dados e de sincronização de bancos de dados e tabelas. Isso não significa alterar dados sem aprovação. Os administradores do DMS podem restringir os tipos de instruções permitidas no SQL Console.
Exportação: envie tickets de exportação de dados. Isso não implica exportar dados sem aprovação prévia.

Permissões de dados (permissões de proprietário do recurso)

As permissões de dados conferem a propriedade de um recurso. O proprietário pode visualizar quais usuários têm acesso, conceder ou revogar permissões e consultar dados do recurso (exceto colunas sensíveis e linhas com controle de acesso ativado).

Existem três funções de proprietário: proprietário da instância, proprietário do banco de dados e proprietário da tabela.

Se a hospedagem de segurança estiver desativada para uma instância de banco de dados, apenas administradores do DMS e administradores de banco de dados (DBAs) poderão adicionar ou remover proprietários de instância. Para gerenciar proprietários de instância, clique em com o botão direito do mouse na instância de banco de dados na seção Database Instances no painel de navegação à esquerda do console do DMS e escolha Instance Owner > Set Owner .

Controle de acesso a metadados

O controle de acesso a metadados restringe a visibilidade dos recursos:

Controle de acesso à instância: somente usuários autorizados podem consultar ou acessar a instância de banco de dados. Usuários não autorizados não podem solicitar acesso.
Controle de acesso ao banco de dados: apenas usuários autorizados podem consultar ou acessar o banco de dados. Usuários sem autorização não conseguem solicitar acesso.
Controle de acesso ao usuário: o usuário só pode consultar ou acessar recursos para os quais já possui permissões. Não é possível solicitar permissões para outras instâncias de banco de dados ou bancos de dados.

Ter qualquer tipo de permissão de operação ou de dados em uma instância de banco de dados ou banco de dados equivale a ter permissões nesse recurso.

Considerações

Importante

No modo Security Collaboration, o DMS trata instruções DML (como UPDATE, DELETE e INSERT) que contêm subconsultas SELECT como possíveis operações de leitura de dados. Você deve ter permissões de exportação nos bancos de dados e tabelas referenciados na subconsulta.

Essa política impede que usuários contornem o processo de aprovação de exportação de dados por meio de instruções DML (por exemplo, INSERT INTO a SELECT * FROM b), protegendo assim a segurança dos dados.

Cenários típicos

As seguintes instruções DML acionam verificações de permissão de exportação:

UPDATE ... SET ... WHERE col IN (SELECT ...): requer permissões de exportação para os bancos de dados e tabelas referenciados na subconsulta.
DELETE FROM table WHERE col = (SELECT ...): exige permissões de exportação nos bancos de dados e tabelas mencionados na subconsulta.
INSERT INTO a SELECT * FROM b: necessita de permissões de exportação na tabela de origem.

Solução

Se uma verificação de permissão de exportação falhar ao executar uma das instruções DML anteriores, solicite permissões de exportação para os bancos de dados e tabelas referenciados na subconsulta. Envie um ticket de permissão para solicitar as permissões de exportação. Para mais informações, consulte Solicitar permissões usando um ticket.

Quem pode gerenciar permissões

A tabela a seguir mostra o que cada função pode fazer:

Ação	Usuários comuns	DBAs	Administradores do DMS
Solicitar permissões usando um ticket	Sim
Gerencie permissões via gerenciamento de instâncias		Sim	Sim
Ative controle de acesso a metadados para instâncias e bancos de dados		Sim	Sim
Conceder ou revogar permissões em qualquer recurso via gerenciamento de usuários			Sim
Ative controle de acesso para um usuário			Sim

Para mais informações sobre o caminho de gerenciamento de cada função:

DBAs e administradores do DMS: Gerencie permissões como administrador do DMS ou DBA
Administradores do DMS (gerenciamento de usuários): Gerencie permissões como administrador do DMS
Ative controle de acesso a metadados: Ative controle de acesso a metadados
Ative controle de acesso para um usuário: Ative controle de acesso para um usuário

Para verificar sua função, consulte Visualize funções do sistema.

O DMS registra todas as operações de alteração de permissão nos logs de operação, exceto alterações no controle de acesso a metadados. As operações registradas incluem solicitação, concessão, liberação e revogação de permissões. Para visualizar os logs de operação, escolha Security and disaster recovery (DBS) > Operation Audit na barra de navegação superior e clique em na aba Operation Logs .

Solicitar permissões usando um ticket

Usuários do DMS, exceto aqueles com controle de acesso ativado, podem enviar um ticket para solicitar permissões em um recurso.

Enviar um ticket de permissão

Faça logon no Console do DMS V5.0.
Passe o ponteiro do mouse sobre o ícone no canto superior esquerdo e escolha All Features > Security and disaster recovery (DBS) > Permission Center > Permission Tickets.

Se você usar o console do DMS no modo normal, escolha Security and disaster recovery (DBS) > Permission Center > Permission Tickets na barra de navegação superior.
Na página Access applyTickets, clique em Access apply e selecione um tipo de permissão na lista suspensa.

Na página Access apply Tickets, selecione o recurso e configure as permissões:

Selecione um recurso com base no status de hospedagem de segurança da instância de banco de dados:

Categoria	Tipos de permissão suportados	Como selecionar
Secure Management-Disabled	Instances-Login	Insira o endpoint ou nome da instância de banco de dados na caixa de pesquisa e clique em Search. Selecione a instância nos resultados e clique em no ícone para adicioná-la à seção Confirm selected instance.
Secure Management-Enabled	Instances-OWNER, Database-OWNER, Table-OWNER, Instances-Permission, Instances-Performance, Database-Permission, Table-Permission, Programmable Object, Row-Permission, Sensitive Column-Permission	Insira o nome do banco de dados na caixa de pesquisa e clique em Search. Use `%` como curinga para correspondência aproximada (por exemplo, `dms%test`). Selecione o banco de dados nos resultados e clique em no ícone para adicioná-lo à seção Selected Databases/Tables/Columns.

Selecione as permissões. Escolha entre permissões de logon, consulta, exportação e alteração, defina o período de validade e insira o motivo da solicitação.

Clique em Submit. O ticket entrará na etapa de aprovação.
Após a aprovação do ticket, o sistema concede automaticamente as permissões solicitadas.

Fluxo de trabalho de aprovação

O aprovador depende de como a instância de banco de dados é gerenciada:

Modo Security Collaboration: o processo de aprovação é personalizável.
Fora do modo Security Collaboration:
- Se a hospedagem de segurança estiver desativada: você pode solicitar apenas permissões de logon. O aprovador padrão é o DBA da instância de banco de dados.
- Se a hospedagem de segurança estiver ativada: o aprovador é o proprietário do recurso. Caso nenhum proprietário esteja definido, o aprovador será o DBA da instância de banco de dados.

Data Management:Gerencie permissões