TLS, Netzzougang a SQL-Rechter beäntweren ënnerschiddlech Froen
Eng Verbindung verschlësselen, eng Quell erlaben an eng Tabell ginn sinn dräi Entscheedungen. Gitt se der Rei no duerch, ier Dir frot, ob TLS eng VPN ersetze kann.
Een proposéiert engem Client e PostgreSQL-Login ze ginn, sou datt eng Käschteufro verschlësselt vum Ufank bis zum Enn geet. En Datebank-Administrateur brauch eng richteg SQL-Sitzung, an een aneren proposéiert amplaz e Webformular. Béid Proposen léisen dat falscht Problem, well keng vun deenen zwee bei der Operatioun ugefaang huet, déi de Client tatsächlech duerchféiert. Gitt déi dräi Entscheedungen der Rei no duerch an d'Fro, ob TLS eng VPN ersetze kann, beäntwert sech selwer.
Fänkt bei der Operatioun un, déi de Client brauch
Schreift op, wat de Client muss erreechen. Eng Ufro ofginn, eng Zeil vun engem Rapport liesen an eng Ad-hoc-Ufro ausféieren sinn dräi verschidde Operatiounen mat dräi verschiddene Risikoprofiler.
Schreift duerno op, wien d'Ufro stellt. E Client, en Supportagent an en Administrateur sinn net austauschbar, och wann se déi selwecht Tabell beréieren. Den Ënnerscheed entscheet, wéi vill vun der Ufroesprooch de Client iwwerhaapt gesi soll.
D'Äntwertepaar entscheet d'Iwwerfläch. Alles duerno ass Ëmsetzung, an déi meescht Diskussiounen iwwer Verschlësselung sinn eigentlech Diskussiounen driwwer, wéi eng Iwwerfläch gewielt gouf.
Dräi Kontrollen, dräi Entscheedungen
Authentifizéierten TLS schützt d'Verbindung an entscheet, wéi eng TLS-Identitéiten akzeptéiert ginn. Netzzougang entscheet, wéi eng Quelle kënnen iwwerhaapt de Lauschterer erreechen. Datebank-Autorisatioun entscheet, wéi eng Objeten an Aktiounen eng Roll benotze kann.
Keen vun den dräi ersetzt déi aner, wat den Table kloer weist.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
Liest déi Zeil, op déi Dir iech verloosst, ier Dir eng aner ewechhëlt. Déi meescht vun dësen Designe schloe fehl, well eng Kontroll ugeholl amplaz konfiguréiert gouf.
Direkt SQL léisst d'Datebank-Politik verantwortlech
Mat enger geneemegter direkter Verbindung behält Dir souwuel d'Verifikatioun vun der Déngscht-Identitéit wéi och déi virgesinn Zougangspolitik. TLS a proposéiere mécht verschlësselt Verbindunge verfügbar; et refuséiert net-verschlësselt net, ausser d'Zougangskonfiguratioun fuerdert et iwwer hostssl-Andräg.
Dee Ënnerscheed ass et wäert an der lafender Konfiguratioun ze iwwerpréiwen an net an enger Schabloun. En Server, deen TLS ubitt an einfachen Text akzeptéiert, ass net den Design, vun deem déi meescht Leit mengen, se hätten en ausgerullt. Liest d'Zougangsregelen a kuckt, wéi eng Andräg et tatsächlech fuerderen. Déi eng Kontroll trennt en TLS-fäegen Server vun engem nëmme verschlësselten.
Benotzt Rollen nëmme mat de Privilegien, déi d'Aarbecht brauch, a iwwerpréift Proprietéit, geierfte Memberschaft a breet vergiwwten Autorisatiounen. Den PostgreSQL-Privilegienmodell ass d'Autoritéitsgrenz fir Datebank-Objete.
Eng VPN kann aschränken, wéi eng Apparater den Déngscht erreechen, ier d'Datebank-Authentifizéierung geschitt, an en Zougangsportal kann eppes Ähnleches maachen. Keen vun deenen zwee hieft d'Bedierfnes op, de baussenzege Bestanddeel ze ënnerhalen, d'Berechtegungen ze verwalten an de Ressourceverbrauch ze begrenzen.
Client-Zertifikater sinn eng Berechtegung, net eng ACL
E Client-Zertifikat kann eng Fuerderung beim Verbannen derbäisetzen. D'Astellung clientcert kann en vertraut Zertifikat fuerderen an, am méi strenge Modus, eng Relatioun tëscht dem Zertifikatsnumm an dem Datebank-Benotzer.
Dat ass eng méi staark Berechtegung. Et ass keng Autorisatiounslëscht, an et mécht de Server net onsiichtbar, well de Bestanddeel, deen d'Verbindung akzeptéiert, nach ëmmer Netzwierktraffick an en Handshake verschafft. E Zertifikat als Zougangslëscht behandelen léisst déi tatsächlech Autorisatiounen onberéiert. Et tendéiert och d'Zertifikatsverdeelung auszebreeden, wat de nächste Problem schafft.
En staarkt Zertifikat un enger Roll mat ze vill Privilegien ergëtt en gutt authentifizéierten Administrateur. Iwwerpréift d'Roll, éier Dir d'Zertifikat feiert.
Wielt déi schmuel Iwwerfläch, wann et passt
Fir eng Käschteufro representéiert en Uwendungs-Endpunkt, deen d'Ufro unhëlt, d'Geschäftsregele forcéiert an dat erlaabt Resultat vun deem Benotzer zréckgëtt, d'Operatioun besser wéi e allgemengen SQL-Konto.
D'Uwendung benotzt duerno seng eege limitéiert Datebank-Identitéit, an de Client kritt ni eng Ufroesprooch als Funktioun. Dat ass eng méi kleng Iwwerfläch mat manner Méiglechkeeten, falsch ze leien.
Dëst ass eng Designoptioun an net d'Behaaptung, datt Uwendungscode automatesch sécherer ass. Dee Code muss seng Opruffer authentifizéieren, all Aktioun autoriséieren a seng Input validéieren, a seng eege Datebank-Autorisatiounen zielen nach ëmmer.
Direkt SQL bleift richteg fir Leit an Tools, deenen hir geneemegt Aarbecht et fuerdert. Qualifizéiert deen Design mat Rollen, Netzwierkuefang an operationelle Limiten, a loosst déi aner Clienten déi schmuel Iwwerfläch behalen. Déi zwou Populatiounen an enger Roll ze mëschen ass, wou d'Diskussiounen ufänken.