TLS, నెట్‌వర్క్ ప్రవేశం మరియు SQL అనుమతులు వేర్వేరు ప్రశ్నలకు సమాధానమిస్తాయి
కనెక్షన్‌ను ఎన్‌క్రిప్ట్ చేయడం, మూలాన్ని అనుమతించడం మరియు పట్టికను ఇవ్వడం మూడు నిర్ణయాలు. TLS VPN ను భర్తీ చేయగలదా అని అడగకముందు వాటిని క్రమంగా చూడండి.
ఎవరో కస్టమర్‌కు PostgreSQL లాగిన్ ఇవ్వాలని సూచిస్తారు, తద్వారా ఖర్చు క్లెయిమ్ మొదటి నుండి చివరి వరకు ఎన్‌క్రిప్ట్ అయి ప్రయాణిస్తుంది. డేటాబేస్ నిర్వాహకుడికి నిజమైన SQL సెషన్ కావాలి, మరొకరు దానికి బదులుగా వెబ్ ఫారమ్‌ను సూచిస్తారు. రెండు సూచనలు తప్పు సమస్యను పరిష్కరిస్తాయి, ఎందుకంటే ఏదీ కస్టమర్ నిజంగా చేసే కార్యకలాపం నుండి ప్రారంభం కాలేదు. మూడు నిర్ణయాలను క్రమంగా చూడండి, TLS VPN ను భర్తీ చేయగలదా అనే ప్రశ్న తనంతట తానే సమాధానమిస్తుంది.
కస్టమర్‌కు అవసరమైన కార్యకలాపం నుండి ప్రారంభించండి
కస్టమర్ ఏమి సాధించాలో రాయండి. క్లెయిమ్ సమర్పించడం, నివేదికలోని ఒక వరుస చదవడం మరియు తక్షణ ప్రశ్నను అమలు చేయడం వేర్వేరు ప్రమాద ప్రొఫైల్‌లు ఉన్న మూడు వేర్వేరు కార్యకలాపాలు.
ఆపై అభ్యర్థన ఎవరు చేస్తున్నారో రాయండి. కస్టమర్, మద్దతు ఏజెంట్ మరియు నిర్వాహకుడు ఒకే పట్టికను తాకినా ఒకరికి ఒకరు ప్రత్యామ్నాయం కాదు. ఈ భేదం కస్టమర్ ప్రశ్న భాషలో ఎంతవరకు చూడాలో నిర్ణయిస్తుంది.
సమాధానాల జత ఇంటర్‌ఫేస్‌ను నిర్ణయిస్తుంది. దాని తర్వాత అంతా అమలు, మరియు ఎన్‌క్రిప్షన్ గురించిన చాలా చర్చలు వాస్తవానికి ఏ ఇంటర్‌ఫేస్ ఎంపిక చేయబడింది అనే చర్చలు.
మూడు నియంత్రణలు, మూడు నిర్ణయాలు
ప్రామాణీకృత TLS కనెక్షన్‌ను రక్షిస్తుంది మరియు ఏ TLS గుర్తింపులు ఆమోదించబడతాయో నిర్ణయిస్తుంది. నెట్‌వర్క్ ప్రవేశం ఏ మూలాలు వినేవారిని చేరుకోగలవో నిర్ణయిస్తుంది. డేటాబేస్ అనుమతి పాత్ర ఏ వస్తువులు మరియు చర్యలను ఉపయోగించగలదో నిర్ణయిస్తుంది.
మూడింటిలో ఏదీ మిగతావాటిని భర్తీ చేయదు, దాన్ని పట్టిక స్పష్టం చేస్తుంది.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
మరో వరుసను తీసివేసే ముందు మీరు ఆధారపడే వరుసను చదవండి. ఈ డిజైన్‌లలో చాలా వరకు ఒక నియంత్రణ కాన్ఫిగర్ చేయకుండా ఊహించినందున విఫలమవుతాయి.
నేరుగా SQL డేటాబేస్ విధానాన్ని బాధ్యతగా ఉంచుతుంది
ఆమోదించిన నేరుగా కనెక్షన్‌తో సేవా గుర్తింపు ధృవీకరణ మరియు ఉద్దేశించిన ప్రవేశ విధానం రెండింటినీ ఉంచండి. TLS ఆన్ చేయడం ఎన్‌క్రిప్ట్ చేసిన కనెక్షన్‌లను అందుబాటులోకి తెస్తుంది; ప్రవేశ కాన్ఫిగరేషన్ hostssl ఎంట్రీల ద్వారా చెప్పకపోతే అది ఎన్‌క్రిప్ట్ చేయని వాటిని తిరస్కరించదు.
ఆ భేదాన్ని టెంప్లేట్‌లో కాకుండా నడుస్తున్న కాన్ఫిగరేషన్‌లో తనిఖీ చేయడం విలువైనది. TLS అందించి సాధారణ పాఠ్యాన్ని కూడా ఆమోదించే సర్వర్ చాలామంది అమలు చేశామని అనుకునే డిజైన్ కాదు. ప్రవేశ నియమాలను చదివి ఏ ఎంట్రీలు నిజంగా దాన్ని కోరుతున్నాయో చూడండి. ఆ ఒక తనిఖీ ఎన్‌క్రిప్షన్ సామర్థ్యం ఉన్న సర్వర్‌ను కేవలం ఎన్‌క్రిప్ట్ చేసిన సర్వర్ నుండి వేరు చేస్తుంది.
పనికి అవసరమైన అనుమతులు మాత్రమే ఉన్న పాత్రలను ఉపయోగించండి, మరియు యాజమాన్యం, వారసత్వ సభ్యత్వం మరియు విస్తృతంగా ఇచ్చిన అనుమతులను సమీక్షించండి. PostgreSQL అనుమతి నమూనా డేటాబేస్ వస్తువులకు అధికార హద్దు.
డేటాబేస్ ప్రామాణీకరణ జరగకముందే ఏ పరికరాలు సేవను చేరుకుంటాయో VPN పరిమితం చేయగలదు, మరియు ప్రవేశ గేట్‌వే కూడా అలాంటిదే చేయగలదు. రెండూ బహిర్గతమైన భాగాన్ని నిర్వహించడం, ఆధారాలను నిర్వహించడం మరియు వనరుల వినియోగాన్ని పరిమితం చేయడం అనే అవసరాన్ని తొలగించవు.
క్లయింట్ సర్టిఫికెట్లు ఒక ఆధారం, ACL కాదు
క్లయింట్ సర్టిఫికెట్ కనెక్షన్ సమయంలో ఒక షరతును జోడించగలదు. clientcert సెట్టింగ్ విశ్వసనీయ సర్టిఫికెట్‌ను మరియు కఠిన మోడ్‌లో సర్టిఫికెట్ పేరుకు, డేటాబేస్ వినియోగదారుకు మధ్య సంబంధాన్ని కోరగలదు.
అది బలమైన ఆధారం. అది అనుమతి జాబితా కాదు, సర్వర్‌ను అదృశ్యంగా కూడా చేయదు, ఎందుకంటే కనెక్షన్‌ను ఆమోదించే భాగం ఇప్పటికీ నెట్‌వర్క్ ట్రాఫిక్ మరియు హ్యాండ్‌షేక్‌ను ప్రాసెస్ చేస్తుంది. సర్టిఫికెట్‌ను ప్రవేశ జాబితాగా పరిగణించడం వాస్తవ అనుమతులను తాకకుండా వదిలివేస్తుంది. ఇది సర్టిఫికెట్ పంపిణీని విస్తరించే ధోరణి కూడా కలిగి ఉంటుంది, అది తదుపరి సమస్యను సృష్టిస్తుంది.
అధిక అనుమతులు ఉన్న పాత్రకు జోడించిన బలమైన సర్టిఫికెట్ మంచి ప్రామాణీకరణ పొందిన నిర్వాహకుడిని ఉత్పత్తి చేస్తుంది. సర్టిఫికెట్‌ను జరుపుకునే ముందు పాత్రను తనిఖీ చేయండి.
సరిపోయినప్పుడు ఇరుకైన ఇంటర్‌ఫేస్‌ను ఎంచుకోండి
ఖర్చు క్లెయిమ్ కోసం, క్లెయిమ్‌ను ఆమోదించి, వ్యాపార నియమాలను అమలు చేసి, ఆ వినియోగదారు యొక్క అనుమతించిన ఫలితాన్ని తిరిగి ఇచ్చే అప్లికేషన్ ఎండ్‌పాయింట్ సాధారణ SQL ఖాతా కంటే కార్యకలాపాన్ని మెరుగ్గా ప్రతినిధ్యం చేస్తుంది.
ఆపై అప్లికేషన్ తన స్వంత పరిమిత డేటాబేస్ గుర్తింపును ఉపయోగిస్తుంది, కస్టమర్ ఎప్పుడూ ఒక లక్షణంగా ప్రశ్న భాషను పొందడు. అది తప్పు జరగడానికి తక్కువ మార్గాలున్న చిన్న ఉపరితలం.
ఇది డిజైన్ ఎంపిక, అప్లికేషన్ కోడ్ స్వయంచాలకంగా సురక్షితం అనే వాదన కాదు. ఆ కోడ్ తన కాలర్లను ప్రామాణీకరించాలి, ప్రతి చర్యను అధికారం ఇవ్వాలి, తన ఇన్‌పుట్‌ను ధృవీకరించాలి, మరియు దాని స్వంత డేటాబేస్ అనుమతులు ఇప్పటికీ ముఖ్యం.
నేరుగా SQL తమ ఆమోదిత పనికి అది అవసరమైన వ్యక్తులకు మరియు సాధనాలకు ఇప్పటికీ సరైనది. ఆ డిజైన్‌ను పాత్రలు, నెట్‌వర్క్ పరిధి మరియు కార్యాచరణ పరిమితులతో పరిమితం చేయండి, మిగిలిన క్లయింట్లు ఇరుకైన ఇంటర్‌ఫేస్ ఉంచుకోనివ్వండి. రెండు జనాభాలను ఒకే పాత్రలో కలపడమే చర్చలు ప్రారంభమయ్యే స్థలం.