킹베이스ES 강제 접근 제어 4-: 읽기 및 쓰기 권한 판단
키워드:
표시 및 필수 액세스 제어
KingbaseES는 불법적인 도난으로부터 사용자 데이터를 보호하기 위해 마킹 및 필수 접근 제어(MAC)를 지원합니다. 필수 접근 제어는 먼저 제어 대상과 객체에 보안 토큰을 할당하고 이 토큰을 기반으로 접근을 중재하기 때문에 자율 접근보다 더 엄격하고 유연한 제어를 제공합니다. 또한 주체 태그가 개체 태그를 지배할 수 있는 경우에만 주체 액세스가 허용됩니다. 태그와 필수 액세스는 다음과 같이 정의됩니다:
표시
마커는 레벨, 범위 및 그룹의 세 가지 구성 요소로 구성되며, 세 가지 구성 요소 중 레벨은 필수 옵션, 범위 및 그룹은 선택 사항, 마커는 비교 가능, 세 구성 요소의 비교 규칙이 다르며 비교 결과의 의미는 데이터의 민감도를 나타냅니다. 사용자에게 특정 태그를 부여한 다음 데이터에 태그를 부여하여 사용자의 태그를 데이터의 태그와 비교하고 특정 규칙에 따라 사용자가 데이터에 액세스할 수 있는지 여부를 결정합니다.
필수 액세스 제어
시스템의 정보를 분류된 수준과 등급으로 관리하여 각 사용자가 자신에게 접근 가능한 것으로 표시된 정보에만 액세스할 수 있도록 하는 데 사용되는 접근 제한 메커니즘입니다. 쉽게 설명하자면, 강제 액세스 제어에서는 사용자와 튜플에 고정 보안 속성이 태그되며, 액세스가 발생할 때마다 시스템에서 보안 속성을 테스트하여 사용자가 튜플에 액세스할 자격이 있는지 여부를 결정합니다.
필수 액세스 제어 사용
- 제어 매개변수:
sysmac.enable_mac(boolean): 필수 액세스 제어를 켤지 여부를 제어하며, sso로 전환, 기본값은 거짓, 필수 액세스 제어를 활성화하지 않음을 의미합니다.
sysmac.enable_col_mac(boolean): 열 수준 필수 액세스 제어의 켜기 또는 끄기 여부를 제어하며, sso로 전환되며 기본값은 false로 열 수준 필수 액세스 제어가 활성화되지 않았음을 나타냅니다.
토큰 비교
- 사용자 토큰 비교
사용자 태그에는 최대 읽기 태그, 최대 쓰기 태그, 기본 쓰기 태그, 최소 쓰기 태그, 기본 읽기 가능 태그가 포함되며, 최대 읽기 태그>=최대 쓰기 태그, 최대 쓰기 태그>=기본 쓰기 태그, 기본 쓰기 태그>=최소 쓰기 태그, 기본 쓰기 태그>=기본 읽기 가능 태그의 순서를 따릅니다.
태그의 레벨은 크기를 비교한 것으로, level_id가 클수록 레벨의 권한이 높습니다. 범위는 집합 간의 포함 관계로, 태그 b의 범위에 의해 형성된 집합이 태그 A의 하위 집합인 경우 범위에서 태그 b의 권한은 태그 a의 권한보다 낮습니다. 그룹 비교는 트리 구조 간의 부모-자식 관계 비교로, 태그 b의 각 그룹이 태그 a에서 자신 또는 조상을 찾을 수 있다면 그룹에서 집합 b의 권한은 b의 권한보다 낮습니다. 반대의 경우도 동시에 해당되면 즉, 태그 a의 각 그룹도 태그 b에서 자신 또는 조상을 찾을 수 있다면 그룹에서 두 태그의 권한은 동일한 것으로 간주합니다. 토큰 A의 모든 그룹이 토큰 B에서도 자신 또는 조상을 찾을 수 있다면 두 토큰은 그룹에 대해 동일한 권한을 가진 것으로 간주됩니다.
- 주제와 객체 라벨링 비교
주체가 객체에 대한 읽기 또는 쓰기 액세스 권한이 있는 경우, 사용자의 읽기 또는 쓰기 권한 토큰 >= 객체의 토큰인지 확인해야 합니다.
주체와 객체 간의 그룹 및 범위 비교는 위의 사용자 마크 비교와 동일합니다. 주체와 게스트 간의 그룹 비교는 주체의 토큰 자체 또는 조상 토큰에서 찾을 수 있는 그룹이 객체에 존재하면 주체가 객체에 대한 읽기 또는 쓰기 액세스 권한이 있는 것으로 간주합니다.
읽기 및 쓰기 액세스 권한 판단
Kingbase는 '아래 읽기, 사이 쓰기' 규칙에 따라 사용자의 읽기/쓰기 권한을 결정합니다.
필수 액세스 제어를 사용하는 동안 시스템은 사용자의 현재 읽기 가능한 토큰을 자동으로 계산합니다.
현재 읽기 가능한 토큰은 최소 쓰기 토큰과 기본 읽기 가능한 토큰을 사용하여 계산되며, 순위는 둘 중 작은 것을, 범위는 둘의 교집합을, 그룹은 둘의 모든 하위 그룹의 교집합을 취합니다.
주체와 게스트 간의 토큰 비교 규칙에 따르면 주체의 최대 쓰기 토큰이 게스트의 토큰 >=이고 게스트의 토큰이 주체의 최소 쓰기 토큰 >=이면 주체가 게스트에 대한 쓰기 권한이 있는 것으로 간주됩니다. 주체의 현재 읽기 가능한 토큰 >= 게스트의 토큰이면 주체가 게스트에 대한 읽기 액세스 권한을 가진 것으로 간주됩니다.
