4

Есть сеть, а в сети есть сервер, который досутпен всем и БД Oracle.
Хочется сделать так, чтобы с этого сервера можно было подключаться только одним конкретным техническим пользователем. Подключения с других серверов не должны ограничваться.

Можно наверное написать триггер на логон, который будет отклонять все сесии с указаного сервера, если подключается не тех. уз. Однако, это выглядит ужасным решением.

Возможно у Oracle есть какие нибудь настройки безопасности или еще что-то, что позволит органичть подключение?

1
  • Почему решение с триггером на логон так ужасно? Логически подходя, неплохо чтобы этот функционал имел бы место в sqlnet.ora, т.е. при коннекте, а не при создании сессии. Но ограничений по уз там нет и быть не может, так как листенер не знает ничего о БД учётках.
    – 0xdb
    Commented 21 дек. 2019 в 11:43

2 ответа 2

4

Краткое напоминание, что происходит, если с именем пользователя БД выполняется комманда connect.

  1. Сначала, посредством Oracle Net, устанавливается сетевое соединение (сессия). Через это соединение происходит всё дальнейшее общение между клиентом и БД.

  2. Клиент посылает запрос авторизации пользователя в БД, на основании которого создаётся новая сессия БД.

На первом шаге возможно ограничить доступ только на уровне протокола: IP, имя хоста, доступные сервисы БД. Но никак нельзя ограничить по имени пользователя, так как оно на этом шаге пока неизвестно.

Из этого следует, что на стороне сервера БД огранничить возможно только при авторизации пользователя (шаг два) посредством логон триггера. Например:

create or replace trigger checkUserOnLogonTrig after logon on database
declare
    currip varchar2 (16) := sys_context ('USERENV','IP_ADDRESS'); 
begin 
    if currip = '192.168.1.111' and user != 'ADMIN' then
        raise_application_error (-20000, 'checkUserOnLogonTrig: the logon from '||currip||
            ' is not allowed for user '||user);
    end if;
end;
/

Попытки подсоединится с хоста с заданным IP будут отклонены:

SQL> conn  hr/hr@dbsrv/dbsvc
ERROR:
ORA-04088: error during execution of trigger 'SYS.CHECKUSERONLOGONTRIG'
ORA-00604: error occurred at recursive SQL level 1
ORA-20000: checkUserOnLogonTrig: the logon from 192.168.1.111 is not allowed for user HR

Возможно, что лучшее алтернативное решение будет: ввести ограничения на подключение к БД на стороне сервера приложений, как средствами ОС, так и самого приложения.

0

В режиме ограниченного сеанса к базе данных могут подключаться только пользователи с ограниченными правами сеанса, другие обычные пользователи не могут подключаться к базе данных, если мы не отключим режим ограниченного сеанса.

Уже подключенные пользователи могут выполнять свои действия DML / DDL, но новый сеанс для пользователей не будет создан.

Включить режим может пользователь с правами sysdba:


SQL> alter system enable restricted session ;


System altered.

Проверить для каких пользователей включен режим ограничения сессии:


SQL>
SQL> select logins from v$instance ;
LOGINS
----------
RESTRICTED

Назначить права техническому пользователю:

SQL> grant restricted session to techuser ;


Grant succeeded.

Забрать права на ограниченную сессию:


SQL> revoke restricted session from techuser ;


Revoke succeeded.

Выключить режим ограниченной сессии:


SQL> alter system disable restricted session ;


System altered.
3
  • Это не решает мою проблему. Мне необходимо, чтобы с других серверов пользователи могли подключаться к БД без проблем.
    – Viktorov
    Commented 19 дек. 2019 в 9:45
  • так пользователям с других серверов дайте права использование restricted session Commented 19 дек. 2019 в 11:20
  • Это ужасное решение. Не подходит для промышленного использования. Вы предлагаете стбирально работать с бд в restricted session.
    – Viktorov
    Commented 19 дек. 2019 в 14:49

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.