TLS, ජාල ප්‍රවේශය සහ SQL වරප්‍රසාද වෙනස් ප්‍රශ්නවලට පිළිතුරු දෙයි
සම්බන්ධතාවක් සංකේතනය කිරීම, මූලාශ්‍රයකට ඉඩ දීම සහ වගුවක් ලබා දීම යනු තීරණ තුනකි. TLS-ට VPN-යක් ප්‍රතිස්ථාපනය කළ හැකිදැයි ඇසීමට පෙර ඒවා අනුපිළිවෙලින් බලන්න.
කෙනෙක් සේවාදායකයාට PostgreSQL පිවිසුමක් ලබා දීමට යෝජනා කරයි, එවිට වියදම් හිමිකම මුල සිට අග දක්වා සංකේතිතව ගමන් කරයි. දත්ත සමුදාය පරිපාලකයාට සැබෑ SQL සැසියක් අවශ්‍ය වන අතර තවත් කෙනෙක් ඒ වෙනුවට වෙබ් පෝරමයක් යෝජනා කරයි. යෝජනා දෙකම වැරදි ගැටලුව විසඳයි, මන්ද දෙකින්ම සේවාදායකයා සැබවින්ම කරන ක්‍රියාවෙන් ආරම්භ වී නැත. තීරණ තුනම අනුපිළිවෙලින් බලන්න, එවිට TLS-ට VPN-යක් ප්‍රතිස්ථාපනය කළ හැකිද යන ප්‍රශ්නයට තමන්ම පිළිතුරු දෙනු ඇත.
සේවාදායකයාට අවශ්‍ය ක්‍රියාවෙන් ආරම්භ කරන්න
සේවාදායකයා ලබා ගත යුත්තේ කුමක්දැයි ලියන්න. හිමිකමක් ඉදිරිපත් කිරීම, වාර්තාවක එක් පේළියක් කියවීම සහ ක්ෂණික විමසුමක් ධාවනය කිරීම යනු වෙනස් අවදානම් පැතිකඩ තුනක් සහිත වෙනස් මෙහෙයුම් තුනකි.
පසුව ඉල්ලීම කරන්නේ කවුරුන්දැයි ලියන්න. සේවාදායකයා, ආධාරක නියෝජිතයා සහ පරිපාලකයා එකම වගුවක් ස්පර්ශ කළත් එකිනෙකට හුවමාරු කළ නොහැක. මෙම වෙනස සේවාදායකයා විමසුම් භාෂාවෙන් කොපමණක් කිසිදා දැකිය යුතුද යන්න තීරණය කරයි.
පිළිතුරු යුගලය අතුරුමුහුණත තීරණය කරයි. ඉන් පසු සියල්ල ක්‍රියාත්මක කිරීමකි, සහ සංකේතනය පිළිබඳ බොහෝ තර්ක ඇත්ත වශයෙන්ම කුමන අතුරුමුහුණත තෝරා ගත්තේද යන්න පිළිබඳ තර්කයි.
පාලන තුනක්, තීරණ තුනක්
සත්‍යාපිත TLS සම්බන්ධතාවය ආරක්ෂා කරන අතර කුමන TLS අනන්‍යතා පිළිගනු ලබන්නේද යන්න තීරණය කරයි. ජාල ප්‍රවේශය කුමන මූලාශ්‍ර ශ්‍රාවකයා වෙත ළඟා විය හැකිද යන්න තීරණය කරයි. දත්ත සමුදාය අවසරය භූමිකාවක් කුමන වස්තූන් සහ ක්‍රියා භාවිත කළ හැකිද යන්න තීරණය කරයි.
තුනෙන් කිසිවක් අනෙක් ඒවා ප්‍රතිස්ථාපනය නොකරයි, එය වගුව පැහැදිලි කරයි.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
තවත් පේළියක් ඉවත් කිරීමට පෙර ඔබ රඳා පවතින පේළිය කියවන්න. මෙම නිර්මාණ බොහොමයක් අසාර්ථක වන්නේ පාලනයක් වින්‍යාසගත කිරීම වෙනුවට උපකල්පනය කළ බැවිනි.
සෘජු SQL දත්ත සමුදාය ප්‍රතිපත්තිය වගකීමෙන් තබයි
අනුමත සෘජු සම්බන්ධතාවක් සමඟ සේවා අනන්‍යතා සත්‍යාපනය සහ අපේක්ෂිත ප්‍රවේශ ප්‍රතිපත්තිය යන දෙකම රඳවා ගන්න. TLS සක්‍රීය කිරීම සංකේතිත සම්බන්ධතා ලබා ගත හැකි කරයි; ප්‍රවේශ වින්‍යාසය hostssl සටහන් මගින් එසේ නොකියන්නේ නම් එය සංකේතනය නොකළ ඒවා ප්‍රතික්ෂේප නොකරයි.
මෙම වෙනස අච්චුවක නොව ධාවනය වන වින්‍යාසයේ පරීක්ෂා කිරීම වටී. TLS ලබා දී සරල පෙළ පිළිගන්නා සේවාදායකය බොහෝ දෙනා යෙදූ යැයි සිතන නිර්මාණය නොවේ. ප්‍රවේශ නීති කියවා කුමන සටහන් ඇත්ත වශයෙන් එය ඉල්ලා සිටිනවාදැයි බලන්න. එම එක් පරීක්ෂාවක් සංකේතනය කළ හැකි සේවාදායකය සංකේතිත පමණක් වන සේවාදායකයෙන් වෙන් කරයි.
කාර්යයට අවශ්‍ය වරප්‍රසාද පමණක් ඇති භූමිකා භාවිත කරන්න, සහ හිමිකම, උරුම සාමාජිකත්වය සහ පුළුල්ව ලබා දුන් අවසර සමාලෝචනය කරන්න. PostgreSQL වරප්‍රසාද ආකෘතිය දත්ත සමුදාය වස්තූන් සඳහා අධිකාරී සීමාවයි.
VPN-යකට දත්ත සමුදාය සත්‍යාපනය සිදුවීමට පෙර කුමන උපාංග සේවාවට ළඟා වන්නේද යන්න සීමා කළ හැක, සහ ප්‍රවේශ ද්වාරයකටද එවැනි දෙයක් කළ හැක. දෙකින්ම නිරාවරණය වූ සංරචකය නඩත්තු කිරීම, අක්තපත්‍ර කළමනාකරණය සහ සම්පත් භාවිතය සීමා කිරීම යන අවශ්‍යතාව ඉවත් නොකරයි.
සේවාදායක සහතික යනු අක්තපත්‍රයකි, ACL එකක් නොවේ
සේවාදායක සහතිකයකට සම්බන්ධ වන අවස්ථාවේ අවශ්‍යතාවක් එක් කළ හැක. clientcert සැකසුම විශ්වාසදායක සහතිකයක් සහ දැඩි මාදිලියේදී සහතිකයේ නම සහ දත්ත සමුදාය පරිශීලකයා අතර සම්බන්ධයක් ඉල්ලා සිටිය හැක.
එය වඩාත් ශක්තිමත් අක්තපත්‍රයකි. එය අවසර ලැයිස්තුවක් නොවේ, සහ එය සේවාදායකය අදෘශ්‍යමාන නොකරයි, මන්ද සම්බන්ධතාවය පිළිගන්නා සංරචකය තවමත් ජාල ගමනාගමනය සහ අත්වැල් ගැසීම සකසයි. සහතිකයක් ප්‍රවේශ ලැයිස්තුවක් ලෙස සැලකීම සැබෑ අවසර නොසැලෙන ලෙස තබයි. එය සහතික බෙදාහැරීම පුළුල් කිරීමටද නැඹුරු වන අතර එය ඊළඟ ගැටලුව නිර්මාණය කරයි.
අධික වරප්‍රසාද සහිත භූමිකාවකට සම්බන්ධ ශක්තිමත් සහතිකයක් හොඳින් සත්‍යාපිත පරිපාලකයෙකු නිපදවයි. සහතිකය සමරන්නට පෙර භූමිකාව පරීක්ෂා කරන්න.
ගැළපෙන විට පටු අතුරුමුහුණත තෝරන්න
වියදම් හිමිකමක් සඳහා, හිමිකම පිළිගන්නා, ව්‍යාපාරික නීති බලාත්මක කරන සහ එම පරිශීලකයාගේ අවසර ලත් ප්‍රතිඵලය ආපසු ලබා දෙන යෙදුම් අන්ත ලක්ෂ්‍යයක් සාමාන්‍ය SQL ගිණුමකට වඩා මෙහෙයුම නියෝජනය කරයි.
පසුව යෙදුම තමන්ගේම සීමිත දත්ත සමුදාය අනන්‍යතාවය භාවිත කරයි, සහ සේවාදායකයාට කිසිදා විශේෂාංගයක් ලෙස විමසුම් භාෂාවක් ලැබෙන්නේ නැත. එය වැරදි වීමට අඩු මාර්ග සහිත කුඩා මතුපිටකි.
මෙය නිර්මාණ විකල්පයකි, යෙදුම් කේතය ස්වයංක්‍රීයව වඩා ආරක්ෂිත යැයි ප්‍රකාශයක් නොවේ. එම කේතය තම ඇමතුම්කරුවන් සත්‍යාපනය කළ යුතුය, සෑම ක්‍රියාවක්ම අවසර දිය යුතුය සහ තම ආදානය වලංගු කළ යුතුය, සහ එහිම දත්ත සමුදාය අවසර තවමත් වැදගත් වේ.
සෘජු SQL තම අනුමත කාර්යයට එය අවශ්‍ය වන පුද්ගලයින්ට සහ මෙවලම්වලට තවමත් නිවැරදිය. එම නිර්මාණය භූමිකා, ජාල විෂය පථය සහ මෙහෙයුම් සීමා මගින් සීමා කරන්න, සහ ඉතිරි සේවාදායකයින්ට පටු අතුරුමුහුණත තබා ගැනීමට ඉඩ දෙන්න. ජනගහන දෙක එකම භූමිකාවකට මිශ්‍ර කිරීම තර්ක ආරම්භ වන තැනයි.