TLS, வலையமைப்பு நுழைவு மற்றும் SQL சிறப்புரிமைகள் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன
இணைப்பை மறையாக்குவது, ஒரு மூலத்தை அனுமதிப்பது மற்றும் ஒரு அட்டவணையை வழங்குவது ஆகியவை மூன்று முடிவுகள். TLS ஒரு VPN-ஐ மாற்ற முடியுமா என்று கேட்பதற்கு முன் அவற்றை வரிசையாகப் பாருங்கள்.
ஒருவர் வாடிக்கையாளருக்கு PostgreSQL உள்நுழைவை வழங்க பரிந்துரைக்கிறார், அதனால் செலவுக் கோரிக்கை தொடக்கத்திலிருந்து இறுதி வரை மறையாக்கப்பட்டுப் பயணிக்கும். தரவுத்தள நிர்வாகிக்கு உண்மையான SQL அமர்வு தேவை, வேறொருவர் அதற்குப் பதிலாக ஒரு வலைப் படிவத்தைப் பரிந்துரைக்கிறார். இரண்டு பரிந்துரைகளும் தவறான சிக்கலைத் தீர்க்கின்றன, ஏனெனில் எதுவும் வாடிக்கையாளர் உண்மையில் செய்யும் செயல்பாட்டிலிருந்து தொடங்கவில்லை. மூன்று முடிவுகளையும் வரிசையாகப் பாருங்கள், TLS ஒரு VPN-ஐ மாற்ற முடியுமா என்ற கேள்வி தானே பதிலளிக்கும்.
வாடிக்கையாளருக்குத் தேவையான செயல்பாட்டிலிருந்து தொடங்குங்கள்
வாடிக்கையாளர் எதை அடைய வேண்டும் என்பதை எழுதுங்கள். கோரிக்கையைச் சமர்ப்பிப்பது, அறிக்கையின் ஒரு வரியைப் படிப்பது மற்றும் உடனடி வினவலை இயக்குவது ஆகியவை வெவ்வேறு இடர் விவரக்குறிப்புகளைக் கொண்ட மூன்று வெவ்வேறு செயல்பாடுகள்.
பின்னர் கோரிக்கையை யார் செய்கிறார் என்பதை எழுதுங்கள். வாடிக்கையாளர், ஆதரவு முகவர் மற்றும் நிர்வாகி ஒரே அட்டவணையைத் தொட்டாலும் ஒருவருக்கு ஒருவர் மாற்றாக முடியாது. இந்த வேறுபாடே வாடிக்கையாளர் வினவல் மொழியின் எவ்வளவைக் காண வேண்டும் என்பதைத் தீர்மானிக்கிறது.
பதில்களின் இணை இடைமுகத்தைத் தீர்மானிக்கிறது. அதற்குப் பின் உள்ள அனைத்தும் செயலாக்கம், மேலும் மறையாக்கம் பற்றிய பெரும்பாலான விவாதங்கள் உண்மையில் எந்த இடைமுகம் தேர்ந்தெடுக்கப்பட்டது என்பது பற்றிய விவாதங்களே.
மூன்று கட்டுப்பாடுகள், மூன்று முடிவுகள்
அங்கீகரிக்கப்பட்ட TLS இணைப்பைப் பாதுகாத்து எந்த TLS அடையாளங்கள் ஏற்கப்படுகின்றன என்பதைத் தீர்மானிக்கிறது. வலையமைப்பு நுழைவு எந்த மூலங்கள் கேட்பவரை அடைய முடியும் என்பதைத் தீர்மானிக்கிறது. தரவுத்தள அனுமதி ஒரு பங்கு எந்தப் பொருட்களையும் செயல்களையும் பயன்படுத்தலாம் என்பதைத் தீர்மானிக்கிறது.
மூன்றில் எதுவும் மற்றவற்றை மாற்றாது, அதை அட்டவணை தெளிவாகக் காட்டுகிறது.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
இன்னொரு வரியை நீக்கும் முன் நீங்கள் நம்பியிருக்கும் வரியைப் படியுங்கள். இந்த வடிவமைப்புகளில் பெரும்பாலானவை ஒரு கட்டுப்பாடு உள்ளமைக்கப்படாமல் ஊகிக்கப்பட்டதால் தோல்வியடைகின்றன.
நேரடி SQL தரவுத்தளக் கொள்கையைப் பொறுப்பாக வைத்திருக்கிறது
அங்கீகரிக்கப்பட்ட நேரடி இணைப்புடன் சேவை அடையாளச் சரிபார்ப்பு மற்றும் எண்ணப்பட்ட அணுகல் கொள்கை இரண்டையும் வைத்திருங்கள். TLS-ஐ இயக்குவது மறையாக்கப்பட்ட இணைப்புகளைக் கிடைக்கச் செய்கிறது; அணுகல் உள்ளமைவு hostssl பதிவுகள் மூலம் அவ்வாறு கூறாவிட்டால் அது மறையாக்கப்படாதவற்றை நிராகரிக்காது.
அந்த வேறுபாட்டை டெம்ப்ளேட்டிலல்ல, இயங்கும் உள்ளமைவில் சரிபார்க்க வேண்டும். TLS வழங்கி எளிய உரையையும் ஏற்கும் சேவையகம், பெரும்பாலானோர் நிறுவியதாக நினைப்பது அல்ல. அணுகல் விதிகளைப் படித்து எந்தப் பதிவுகள் உண்மையில் அதைக் கோருகின்றன என்பதைப் பாருங்கள். அந்த ஒரு சரிபார்ப்பே மறையாக்கம் செய்யக்கூடிய சேவையகத்தை மறையாக்கப்பட்டதற்கு மட்டும் உள்ள சேவையகத்திலிருந்து பிரிக்கிறது.
வேலைக்குத் தேவையான சிறப்புரிமைகள் மட்டுமே உள்ள பங்குகளைப் பயன்படுத்துங்கள், உரிமையை, மரபுவழி உறுப்பினர் நிலையை மற்றும் பரவலாக வழங்கப்பட்ட அனுமதிகளை மறுபார்வை செய்யுங்கள். PostgreSQL சிறப்புரிமை மாதிரி தரவுத்தளப் பொருட்களுக்கான அதிகார எல்லை.
VPN தரவுத்தள அங்கீகாரம் நடப்பதற்கு முன் எந்தச் சாதனங்கள் சேவையை அடைகின்றன என்பதைக் கட்டுப்படுத்தலாம், அணுகல் நுழைவாயிலும் அதுபோன்ற ஒன்றைச் செய்யலாம். இரண்டும் வெளிப்படுத்தப்பட்ட பகுதியைப் பராமரிக்கவும், சான்றுகளை நிர்வகிக்கவும், வளப் பயன்பாட்டைக் கட்டுப்படுத்தவும் தேவையை நீக்குவதில்லை.
வாடிக்கையாளர் சான்றிதழ்கள் ஒரு சான்று, ACL அல்ல
வாடிக்கையாளர் சான்றிதழ் இணைப்பின் போது ஒரு நிபந்தனையைச் சேர்க்கலாம். clientcert அமைப்பு நம்பகமான சான்றிதழையும், கடுமையான பயன்முறையில் சான்றிதழின் பெயருக்கும் தரவுத்தளப் பயனருக்கும் இடையேயான உறவையும் கோரலாம்.
அது மிகவும் வலுவான சான்று. அது ஒரு அனுமதிப் பட்டியல் அல்ல, சேவையகத்தைக் கண்ணுக்குத் தெரியாததாகவும் ஆக்காது, ஏனெனில் இணைப்பை ஏற்கும் பகுதி இன்னும் வலையமைப்புப் போக்குவரத்தையும் கைகுலுக்கலையும் செயலாக்குகிறது. சான்றிதழை அணுகல் பட்டியலாகக் கருதுவது உண்மையான அனுமதிகளைத் தொடாமல் விடுகிறது. இது சான்றிதழ் விநியோகத்தை விரிவாக்கவும் முனைகிறது, அது அடுத்த சிக்கலை உருவாக்குகிறது.
அதிக சிறப்புரிமைகள் உள்ள பங்குடன் இணைக்கப்பட்ட வலுவான சான்றிதழ் நன்கு அங்கீகரிக்கப்பட்ட நிர்வாகியை உருவாக்குகிறது. சான்றிதழைக் கொண்டாடும் முன் பங்கைச் சரிபாருங்கள்.
பொருந்தினால் குறுகிய இடைமுகத்தைத் தேர்ந்தெடுங்கள்
செலவுக் கோரிக்கைக்கு, கோரிக்கையை ஏற்று, வணிக விதிகளை அமல்படுத்தி, அந்தப் பயனரின் அனுமதிக்கப்பட்ட முடிவைத் திருப்பித் தரும் செயலி முனை, பொதுவான SQL கணக்கை விடச் செயல்பாட்டைச் சிறப்பாகப் பிரதிநிதித்துவப்படுத்துகிறது.
பின்னர் செயலி அதன் சொந்தக் கட்டுப்படுத்தப்பட்ட தரவுத்தள அடையாளத்தைப் பயன்படுத்துகிறது, வாடிக்கையாளர் ஒருபோதும் ஒரு அம்சமாக வினவல் மொழியைப் பெறுவதில்லை. அது தவறாக இருக்கக் குறைவான வழிகளைக் கொண்ட சிறிய மேற்பரப்பு.
இது ஒரு வடிவமைப்புத் தேர்வு, செயலிக் குறியீடு தானாகவே பாதுகாப்பானது என்ற கூற்று அல்ல. அந்தக் குறியீடு அதன் அழைப்பாளர்களை அங்கீகரிக்க வேண்டும், ஒவ்வொரு செயலையும் அதிகாரப்படுத்த வேண்டும், அதன் உள்ளீட்டைச் சரிபார்க்க வேண்டும், அதன் சொந்தத் தரவுத்தள அனுமதிகளும் இன்னும் முக்கியம்.
நேரடி SQL தங்கள் அங்கீகரிக்கப்பட்ட வேலைக்கு அது தேவைப்படும் நபர்களுக்கும் கருவிகளுக்கும் இன்னும் சரியானது. அந்த வடிவமைப்பைப் பங்குகள், வலையமைப்பு வரம்பு மற்றும் இயக்க வரம்புகளால் கட்டுப்படுத்துங்கள், மற்ற வாடிக்கையாளர்கள் குறுகிய இடைமுகத்தை வைத்திருக்கட்டும். இரு மக்கள்தொகைகளையும் ஒரு பங்கில் கலப்பதே விவாதங்கள் தொடங்கும் இடம்.