GaussDB 数据库架构师修炼(十三)安全管理(3)-行级访问控制
1 背景
行级访问控制特性将数据库的访问控制精确到数据表行级别 ，只允许用户查看 、更新或删除特定的行数据。
2 实例场景
实例以医生只能看到治疗的病人，不能看其它医生的病人为例：
1)医院病人的信息表pat_info：
csdn=> set search_path=csdn;
SET
csdn=>
csdn=> create table pat_info(patient varchar2(64),doctor varchar2(64),age int);
CREATE TABLE
csdn=> insert into pat_info(patient,doctor,age)values('peter','mary',25),('bob','mary',56),('julie','tom',38);
INSERT 0 3
csdn=>
csdn=> select * from pat_info;patient | doctor | age
---------+--------+-----peter | mary | 25bob | mary | 56julie | tom | 38
(3 rows)csdn=>
2) 创建行级访问控制策略 ，使得医生只能查看属于自己的病 人信息 ，并打开表上的行级访问控制开关：
csdn=> CREATE ROW LEVEL SECURITY POLICY rl_select ON
csdn-> pat_info FOR select USING(doctor=current_user);
CREATE ROW LEVEL SECURITY POLICY
csdn=> alter table pat_info enable row level security;
ALTER TABLE
csdn=>
csdn=> \d+ pat_info;Table "csdn.pat_info"Column | Type | Modifiers | Storage | Stats target | Description
---------+-----------------------+-----------+----------+--------------+-------------patient | character varying(64) | | extended | |doctor | character varying(64) | | extended | |age | integer | | plain | |
Row Level Security Policies:POLICY "rl_select" FOR SELECTTO publicUSING (((doctor)::name = "current_user"()))
Has OIDs: no
Options: orientation=row, compression=no, storage_type=USTORE, segment=off, enable_rowsecurity=truecsdn=>
3) 创建两个用户tom,mary并授予usage与select权限;
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U root -W '*******' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.csdn=>
csdn=>csdn=> create user mary password '*******';
CREATE ROLE
csdn=> create user tom password '*******';
CREATE ROLE
csdn=> grant usage on schema csdn to mary;
GRANT
csdn=> grant usage on schema csdn to tom;
GRANT
csdn=> grant select on csdn.pat_info to tom;
GRANT
csdn=> grant select on csdn.pat_info to mary;
GRANT
csdn=> \q
4）验证一下tom、mary用户查询结果
mary只能看到peter、bob两个病人。
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U mary -W '******' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.csdn=> set search_path=csdn;
SET
csdn=> select * from pat_info;patient | doctor | age
---------+--------+-----peter | mary | 25bob | mary | 56
(2 rows)csdn=> \q
tom只能看到julie
[Ruby@dtest1 ~]$ gsql -h 192.168.0.71 -dcsdn -p8000 -U tom -W '*****' -ar
gsql ((GaussDB Kernel 505.2.1 build 159cea95) compiled at 2024-12-27 09:22:44 commit 10161 last mr 21504 release)
SSL connection (cipher: ECDHE-RSA-AES128-GCM-SHA256, bits: 128)
Type "help" for help.csdn=> set search_path=csdn;
SET
csdn=> select * from pat_info;patient | doctor | age
---------+--------+-----julie | tom | 38
(1 row)csdn=>
3 行级别安全实现原理
1）行级访问控制的目的是控制表中行级数据可见性，通过在数据表上预定义Filter，在查询优化阶段将满足条件 的表达式应用到执行计划上，影响最终的执行结果。
2）当前受影响的SQL语句包括SELECT， UPDATE， DELETE 。
3）用户可以在数据表创建行访问控制（ Row Level Security）策略，当数据库用户对数据表访问时，若SQL满足 数据表特定的RLS策略，在查询优化阶段将满足条件的表达式，按照属性（ PERMISSIVE | RESTRICTIVE）类 型，通过OR或AND方式拼接，应用到执行计划上。
4 实现操作步骤
步骤1：打开行访问控制策略开关：
ALTER TABLE tablename ENABLE ROW LEVEL SECURITY;步骤2：创建行访问控制策略，当前用户只能查看用户自身的数据：
CREATE ROW LEVEL SECURITY POLICY tablename_rls ON tablename USING(role = CURRENT_USER);注意：tablename为所创建的表名， tablename_rls为创建的行级访问控制策略名。