Como solicitar permissões no nó de solicitação de permissão - Data Management: Central de Documentação do Alibaba Cloud

Como funciona

Quando um usuário envia um ticket de permissão, o DMS o avalia com base nas regras definidas em cada ponto de verificação. O ticket só prossegue se for aprovado em todas as regras aplicáveis. Cada ponto de verificação corresponde a tipos específicos de tickets e possui um modelo de aprovação padrão, aplicado quando nenhuma regra personalizada corresponder à solicitação.

A tabela a seguir mostra a relação entre tipos de permissão, pontos de verificação e modelos padrão:

Tipo de permissão	Ponto de verificação	Modelo de aprovação padrão
Instância (desempenho, login)	Validação para solicitação de permissão de instância	Modelo de aprovação padrão [Solicitação de permissão de instância]
Banco de dados	Validação de solicitação de permissão de banco de dados	Modelo de aprovação padrão [Solicitação de permissão de BD]
Tabela	Validação de solicitação de permissão de tabela	Modelo de aprovação padrão para solicitação de permissão de tabela
Objeto programável	Verificação de objeto programável	Modelo de aprovação padrão [Solicitação de permissão de objeto programável]
Coluna sensível	Validação de solicitação de campo sensível	Modelo de aprovação padrão [Solicitação de permissão de campo]
Linha	Verificação de solicitação de permissão de linha	Modelo de aprovação padrão para solicitação de permissão de linha
Propriedade de dados (sem proprietário atual)	Validação de solicitação de proprietário	Modelo de aprovação padrão [Solicitação de proprietário] (quando o recurso não tem proprietário)
Propriedade de dados (com proprietário)	Validação de solicitação de proprietário	Modelo de aprovação padrão [Solicitação de proprietário] (quando o recurso tem proprietário)

O modelo padrão de cada ponto de verificação entra em vigor quando não há regras personalizadas configuradas para esse ponto em níveis de risco específicos. Para substituir o padrão, crie uma regra de segurança no ponto de verificação relevante.

Pré-requisitos

Antes de começar, certifique-se de ter uma das seguintes funções:

Administrador do DMS
Administrador de banco de dados (DBA)
Administrador de segurança

Conceitos principais

Fatores são variáveis predefinidas que fornecem contexto durante a avaliação de uma regra de segurança pelo DMS. Os nomes dos fatores usam o prefixo @fac.. Os seguintes fatores estão disponíveis na aba Access apply:

Fator	Descrição
`@fac.env_type`	Nome de exibição do tipo de ambiente, como `DEV` ou `PRODUCT`. Para mais detalhes, consulte Alterar o tipo de ambiente de uma instância.
`@fac.schema_name`	Nome do banco de dados.
`@fac.perm_apply_duration`	Duração das permissões solicitadas, em horas.
`@fac.column_security_level`	Nível de segurança da coluna. Valores válidos: `sensitive`, `confidential`, `inner`.
`@fac.perm_type`	Tipos de permissão solicitados, retornados como uma lista de strings, por exemplo `['CORRECT','EXPORT']`. Valores válidos: `QUERY`, `EXPORT`, `CORRECT`, `LOGIN`, `PERF`. Use com `@fun.listEqualIgnoreOrder` para avaliar o conjunto exato de permissões. Por exemplo, `@fun.listEqualIgnoreOrder(@fac.perm_type, ['QUERY'])` verifica se apenas permissões de consulta foram solicitadas.

As Actions definem o comportamento do DMS quando a condição de uma regra é atendida. Os nomes das ações usam o prefixo @act.. As seguintes ações estão disponíveis na aba Access apply:

Action	Descrição
`@act.forbid_submit_order`	Impede o envio do ticket.
`@act.do_not_approve`	Especifica o ID de um modelo de aprovação. Para mais detalhes, consulte Configurar processos de aprovação.
`@act.choose_approve_template`
`@act.choose_approve_template_with_reason`

Para detalhes sobre a sintaxe DSL, consulte Sintaxe DSL para regras de segurança.

Modelos de regras de segurança

O DMS oferece modelos predefinidos para cenários comuns de aprovação. Selecione um modelo como ponto de partida e modifique a DSL conforme suas necessidades.

Ponto de verificação	Modelos disponíveis
Validação de solicitação de proprietário	Bloquear todas as solicitações de propriedade; Bloquear solicitações de propriedade em produção; Aprovar automaticamente solicitações de propriedade em teste
Validação de solicitação de permissão de banco de dados	Bloquear todas as solicitações de permissão de banco de dados; Bloquear solicitações de permissão de banco de dados em produção; Aprovar automaticamente solicitações de permissão de banco de dados em teste
Validação de solicitação de permissão de tabela	Bloquear todas as solicitações de permissão de tabela; Bloquear solicitações de permissão de tabela em produção; Aprovar automaticamente solicitações de permissão de tabela em teste
Verificação de objeto programável	Bloquear todas as solicitações de objeto programável; Bloquear solicitações de objeto programável em produção; Aprovar automaticamente solicitações de objeto programável em teste
Validação de solicitação de campo sensível	Bloquear todas as solicitações de permissão de coluna sensível; Encaminhar solicitações de coluna confidencial para um processo de aprovação específico
Verificação de solicitação de permissão de linha	Bloquear todas as solicitações de permissão de linha; Bloquear solicitações de permissão de linha em produção; Encaminhar solicitações de permissão de linha para um processo de aprovação específico

Crie uma regra de segurança

Faça login no Console do DMS V5.0.
Passe o ponteiro sobre o ícone no canto superior esquerdo e escolha All Features > Security and disaster recovery (DBS) > Permission Center > Permission Templates.

Nota
Se você usar o console do DMS no modo normal, escolha Security and disaster recovery (DBS) > Permission Center > Permission Templates na barra de navegação superior.

Passe o ponteiro sobre o ícone no canto superior esquerdo e escolha All functions > Security and Specifications > Security Rules.

No modo normal, escolha Security and Specifications > Security Rules na barra de navegação superior.
Na aba Security Rules, localize o conjunto de regras de segurança a ser gerenciado e clique em Edit na coluna Actions.
Na página Details, clique na aba Access apply no painel de navegação à esquerda.
Clique em Create Rule ao lado de Actions.

Na caixa de diálogo Create Rule - Access apply, configure os seguintes parâmetros:

Parâmetro	Obrigatório	Descrição
Checkpoints	Sim	Ponto de verificação ao qual esta regra será anexada. Selecione um dos sete pontos listados em Como funciona.
Template database	Não	Modelo predefinido para usar como ponto de partida. Após selecionar um ponto de verificação, clique em Load from Template Database para navegar pelos modelos disponíveis. O nome da regra e a DSL são preenchidos automaticamente.
Rule name	Sim	Nome descritivo para a regra. Preenchido automaticamente ao carregar de um modelo.
Rule DSL	Sim	Expressão DSL que define a condição e a ação. Preenchida automaticamente ao carregar de um modelo. Para detalhes de sintaxe, consulte Sintaxe DSL para regras de segurança.

Clique em Submit.
Por padrão, a regra é criada no estado Disabled. Clique em Enable na coluna Actions e, em seguida, clique em OK para ativá-la.

Próximos passos

Sintaxe DSL para regras de segurança — Conheça a sintaxe completa da DSL para escrever condições e ações personalizadas.
Configurar processos de aprovação — Configure os modelos de aprovação referenciados por @act.choose_approve_template.
Alteração de dados — Modifique o modelo de aprovação padrão para uma solicitação de permissão de instância.