Mandatos SQL para etiquetas de seguridad

Puede utilizar los mandatos SQL siguientes con todos los componentes de etiqueta de seguridad:

• CREAR
• ALTERAR
• MOSTRAR
• DESCARTAR

A continuación se proporciona un ejemplo de cómo crear y visualizar niveles:

DEV.SCHEMA(ADMIN)=> CREATE SECURITY LEVEL conf VALUE 500;
CREATE SECURITY LEVEL
DEV.SCHEMA(ADMIN)=> CREATE SECURITY LEVEL greater VALUE 600;
CREATE SECURITY LEVEL
DEV.SCHEMA(ADMIN)=> CREATE SECURITY LEVEL secret VALUE 800;
CREATE SECURITY LEVEL
DEV.SCHEMA(ADMIN)=> SHOW SECURITY LEVEL ALL;

NAME      |   LEVEL
----------+--------
PUBLIC    |   0
CONF      |   500
GREATER   |   600
SECRET    |   800
OMNI      |   32767
(5 rows)

Para modificar el nivel de seguridad, cámbiele el nombre y asígenele un nuevo valor, como en el ejemplo siguiente utilizando el nombre y valor de CONF del ejemplo anterior:

DEV.SCHEMA(ADMIN)=> ALTER SECURITY LEVEL conf RENAME TO TOP_SECRET VALUE 
1000; 
ALTER SECURITY LEVEL

A continuación se muestra un ejemplo de cómo crear y visualizar categorías. El sistema genera los ID automáticamente.

DEV.SCHEMA(ADMIN)=> CREATE CATEGORY super;
CREATE CATEGORY
DEV.SCHEMA(ADMIN)=> CREATE CATEGORY insider;
CREATE CATEGORY
DEV.SCHEMA(ADMIN)=> CREATE CATEGORY audit;
CREATE CATEGORY
DEV.SCHEMA(ADMIN)=> SHOW CATEGORY ALL;
NAME      |   ID
----------+--------
AUDIT     |   3
INSIDER   |   2
SUPER     |   1
OMNI      |   0
(4 rows)

Para modificar una categoría, cámbiele el nombre y asígenele un nuevo valor, como en el ejemplo siguiente:

DEV.SCHEMA(ADMIN)=> ALTER CATEGORY SUPER RENAME TO TOP_SECRET;
ALTER CATEGORY

Las cohortes son un conjunto estricto de jerarquías y puede poner cohortes en otras cohortes para un control más fino de acceso, como en el ejemplo siguiente:

DEV.SCHEMA(ADMIN)=> CREATE COHORT TOP;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT SALES IN COHORT TOP; 
CREATE COHORT

Lo siguiente es un ejemplo de cómo crear y visualizar cohortes diferentes. El sistema genera automáticamente los ID:

DEV.SCHEMA(ADMIN)=> CREATE COHORT "NA" in COHORT sales;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT "EUROPE" in COHORT sales;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT "Asia" in COHORT sales;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT DIST in COHORT top;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT ENG in COHORT "Europe";
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT FRA in COHORT "Europe";
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT GER in COHORT "Europe";
CREATE COHORT
DEV.SCHEMA(ADMIN)=> CREATE COHORT NE in COHORT dist;
CREATE COHORT
DEV.SCHEMA(ADMIN)=> SHOW COHORT ALL;
 NAME   | ID |                      CLOSURE
--------+----+----------------------------------------------------
 Asia   |  5 | "Asia"
 DIST   |  6 | DIST,NE
 ENG    |  8 | ENG
 Europe |  4 | "Europe",ENG,FRA,GER
 FRA    |  9 | FRA
 GER    | 10 | GER
 NA     |  3 | "NA"
 NE     |  7 | NE
 OMNI   |  0 |
 SALES  |  2 | SALES,"NA","Europe","Asia",ENG,FRA,GER
 TOP    |  1 | TOP,SALES,"NA","Europe","Asia",DIST,NE,ENG,FRA,GER
(11 rows)

Cuando un usuario acceder a una fila de tabla, el perfil de seguridad del usuario se compara con la etiqueta de seguridad en el objeto para determinar si se debe permitir el acceso. La comprobación de acceso es la siguiente:

• El nivel de etiqueta debe ser inferior o igual al nivel de etiqueta.
• Todos los miembros de la categoría de etiqueta deben ser miembros del perfil. El usuario debe tener todas las categorías de datos.
• Al menos un miembro de la cohorte de fila de tabla debe ser también miembro del perfil.

No tiene que utilizar las tres dimensiones (nivel, categoría, cohorte) de la etiqueta de seguridad. Por ejemplo, si desea utilizar la categoría y el nivel de seguridad, pero ninguna cohorte, puede especificarlo como se indica a continuación:

DEV.SCHEMA(ADMIN)=> CREATE USER MARY PASSWORD 'abcd' SECURITY LABEL 'secret: 
blue';
CREATE USER

La tabla siguiente muestra la comparación all-of utilizada para comparar categorías.

La tabla siguiente muestra cómo se utiliza la comparación any-of para comparar cohortes.

A partir de los ejemplos siguientes, cree un usuario:

DEV.SCHEMA(ADMIN)=> CREATE USER GRETA SECURITY LABEL 'SECRET : INSIDER, AUDIT 
: DIST, Europe, Asia';
CREATE USER

A partir de los ejemplos proporcionados, la tabla siguiente muestra cómo una coincidencia con el usuario creado GRETA determina qué acceso se permite.

Cuando se combinan etiquetas de seguridad, las reglas de la seguridad multinivel determinan que el resultado es la combinación más restrictiva, definida como sigue:

• El máximo de las etiquetas.
• La unión de los conjuntos de etiquetas all-of (categorías).
• La intersección de los conjuntos de etiquetas any-of (cohortes).

Se pueden utilizar las siguientes funciones incorporadas para calcular la combinación de dos o más etiquetas de seguridad:

• combine_label(label1, label2)

  Es una función escalar que combina dos o más etiquetas y devuelve la combinación más restrictivas.

• max_label(label)

  Se trata de una función de agregado que combina un conjunto de etiquetas y devuelve una etiqueta única más restrictiva.

En el ejemplo siguiente, SECRET es más restrictivo que PUBLIC, de modo que el resultado es SECRET. Dos categorías son más restrictivas que una, y puesto que tiene que tener ambas categorías para ver los datos, el resultado es BLUE yGREEN. Las cohortes son más restrictivas debido a la intersección. En este caso, la intersección de PSG y QA está vacía, de modo que el resultado es explícitamente NONE. Tenga en cuenta que un NONE explícito significa que los datos no son visibles para nadie excepto OMNI.

DEV.SCHEMA(ADMIN)=> SELECT combine_label('secret: blue:psg', 'public: green: 
qa');
 COMBINE_LABEL
------------------------
 SECRET:GREEN,BLUE:NONE
(1 row)