TLS, тармакка кирүү жана SQL укуктары ар башка суроолорго жооп берет
Байланышты шифрлөө, булакты киргизүү жана таблица берүү — үч чечим. TLS VPNди алмаштыра алабы деп сураардан мурун аларды тартиби менен карап чыгыңыз.
Бирөө кардарга PostgreSQL кирүүсүн берүүнү сунуштайт, ошондо чыгым талабы башынан аягына чейин шифрленген түрдө өтөт. Маалымат базасынын администраторуна чыныгы SQL сессиясы керек, ал эми башка бирөө анын ордуна веб-форманы сунуштайт. Эки сунуш тең туура эмес маселени чечет, анткени экөө тең кардар чындап аткарган операциядан башталган эмес. Үч чечимди тартиби менен карап чыгыңыз, ошондо TLS VPNди алмаштыра алабы деген суроо өзү жооп берет.
Кардарга керектүү операциядан баштаңыз
Кардар эмнеге жетиши керектигин жазыңыз. Талап берүү, отчеттун бир саптарын окуу жана заматта сурамжылоо жүргүзүү — тобокелдик профили ар башка үч бөлөк операция.
Андан кийин сурамды ким жасап жатканын жазыңыз. Кардар, колдоо агенти жана администратор бир эле таблицага тийсе да бири-бирин алмаштыра албайт. Айырма кардар сурам тилинин канча бөлүгүн көрүшү керектигин аныктайт.
Жооптордун жуптугу интерфейсти аныктайт. Андан кийинкинин баары ишке ашыруу, ал эми шифрлөө тууралуу талаштардын көбү чындыгында кайсы интерфейс тандалганы тууралуу талаш.
Үч көзөмөл, үч чечим
Аутентификацияланган TLS байланышты коргойт жана кайсы TLS инсандыктары кабыл алынарын аныктайт. Тармакка кирүү кайсы булактар угуучуга жете аларын аныктайт. Маалымат базасынын авторизациясы ролдун кайсы объектилерди жана аракеттерди колдоно аларын аныктайт.
Үчөөнүн эч бири калгандарын алмаштырбайт, муну таблица ачык көрсөтөт.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
Башка сапты алып салуудан мурун таянган сапты окуңуз. Мындай долбоорлордун көбү көзөмөлдү конфигурациялоонун ордуна болжолдогондуктан ийгиликсиз болот.
Түз SQL маалымат базасынын саясатын жооптуу кармайт
Бекитилген түз байланышта кызматтын инсандыгын текшерүүнү да, көздөлгөн кирүү саясатын да сактаңыз. TLS күйгүзүү шифрленген байланыштарды жеткиликтүү кылат; кирүү конфигурациясы hostssl жазуулары аркылуу талап кылбаса, ал шифрленбегендерди четке какпайт.
Бул айырманы шаблондо эмес, иштеп жаткан конфигурацияда текшерүү татыктуу. TLS сунуштаган жана ачык текстти кабыл алган сервер көпчүлүк орнотту деп ойлогон долбоор эмес. Кирүү эрежелерин окуп, кайсы жазуулар аны чындап талап кыларын караңыз. Ошол бир текшерүү шифрлөөгө жөндөмдүү серверди гана шифрленген серверден ажыратат.
Жумушка керектүү гана укуктары бар ролдорду колдонуңуз жана ээликти, мураскер мүчөлүктү жана кеңири берилген уруксаттарды карап чыгыңыз. PostgreSQL укук модели маалымат базасынын объектилери үчүн ыйгарым укуктун чеги.
VPN маалымат базасынын аутентификациясына чейин кайсы түзмөктөр кызматка жете аларын чектей алат, ал эми кирүү дарбазасы да ушуга окшош нерсени жасай алат. Экөө тең ачык компонентти тейлөө, эсептик жазууларды башкаруу жана ресурс колдонууну чектөө зарылдыгын жойбойт.
Кардар сертификаттары — күбөлүк, ACL эмес
Кардар сертификаты байланыш убагында талап кошо алат. clientcert параметри ишенимдүү сертификатты жана катаал режимде сертификаттын аты менен маалымат базасынын колдонуучусунун ортосундагы байланышты талап кыла алат.
Бул күчтүүрөөк күбөлүк. Бул авторизация тизмеси эмес жана серверди көрүнбөй кылбайт, анткени байланышты кабыл алган компонент дагы эле тармактык трафикти жана кол алышууну иштетет. Сертификатты кирүү тизмеси катары кароо чыныгы уруксаттарды тийбеген бойдон калтырат. Ал ошондой эле сертификаттардын таралышын кеңейтүүгө умтулат, бул кийинки маселени жаратат.
Ашыкча укуктары бар ролго байланган күчтүү сертификат жакшы аутентификацияланган администраторду берет. Сертификатты майрамдоодон мурун ролду текшериңиз.
Туура келсе, тар интерфейсти тандаңыз
Чыгым талабы үчүн талапты кабыл алган, бизнес эрежелерди аткарган жана ошол колдонуучунун уруксат берилген жыйынтыгын кайтарган колдонмо акыркы чекити операцияны жалпы SQL эсебинен жакшы билдирет.
Андан кийин колдонмо өзүнүн чектелген маалымат базасындагы инсандыгын колдонот, ал эми кардар эч качан сурам тилин мүмкүнчүлүк катары албайт. Бул ката кетүүнүн азыраак жолдору бар кичирээк бети.
Бул дизайн варианты, колдонмо коду автоматтык түрдө коопсузураак деген ырастоо эмес. Бул код өз чакыруучуларын аутентификациялоого, ар бир аракетти авторизациялоого жана киргизүүсүн текшерүүгө тийиш, ал эми анын өзүнүн маалымат базасындагы уруксаттары дагы эле маанилүү.
Түз SQL бекитилген жумушу аны талап кылган адамдар жана куралдар үчүн туура бойдон калат. Бул дизайнды ролдор, тармактык камтуу жана операциялык чектөөлөр менен шарттаңыз, ал эми калган кардарлар тар интерфейсти сактасын. Эки топту бир роль менен аралаштыруу — талаштар башталган жер.