SAP HANA Security: Πλήρες σεμινάριο

Τι είναι το Sap Hana Security;

Η SAP HANA Security προστατεύει σημαντικά δεδομένα από μη εξουσιοδοτημένη πρόσβαση και διασφαλίζει ότι τα πρότυπα και η συμμόρφωση πληρούν τα πρότυπα ασφαλείας που έχει υιοθετήσει η εταιρεία.

Το SAP HANA παρέχει μια διευκόλυνση, δηλαδή, Multitenant βάση δεδομένων, στην οποία μπορούν να δημιουργηθούν πολλαπλές βάσεις δεδομένων σε ένα σύστημα SAP HANA. Είναι γνωστό ως κοντέινερ βάσεων δεδομένων πολλαπλών συνομιλιών. Έτσι, το SAP HANA παρέχει όλες τις λειτουργίες που σχετίζονται με την ασφάλεια για όλα τα κοντέινερ βάσεων δεδομένων πολλαπλών σταδίων

SAP HANA Παρέχετε την ακόλουθη δυνατότητα που σχετίζεται με την ασφάλεια -

Διαχείριση χρηστών και ρόλων
Εξουσιοδότηση
Αυθεντικοποίηση
Κρυπτογράφηση δεδομένων στο Persistence Layer
Κρυπτογράφηση δεδομένων στο Επίπεδο δικτύου

Χρήστης και ρόλος SAP HANA

Η διαμόρφωση διαχείρισης χρηστών και ρόλων SAP HANA εξαρτάται από την αρχιτεκτονική όπως παρακάτω -

Αρχιτεκτονική 3 επιπέδων.
Το SAP HANA μπορεί να χρησιμοποιηθεί ως σχεσιακή βάση δεδομένων σε αρχιτεκτονική 3 επιπέδων.

Σε αυτήν την αρχιτεκτονική, τα χαρακτηριστικά ασφαλείας (εξουσιοδότηση, έλεγχος ταυτότητας, κρυπτογράφηση και έλεγχος) εγκαθίστανται σε επίπεδα διακομιστή εφαρμογών.

Η εφαρμογή SAP (ERP, BW, κ.λπ.) συνδέεται στη βάση δεδομένων μόνο με τη βοήθεια τεχνικού χρήστη ή διαχειριστή βάσης δεδομένων (Basis Person). Ο τελικός χρήστης δεν μπορεί να έχει απευθείας πρόσβαση σε διακομιστή βάσης δεδομένων ή βάσης δεδομένων.

Αρχιτεκτονική 2 επιπέδων.
Το SAP HANA Extended Application Services (SAP HANA XS) βασίζεται σε αρχιτεκτονική 2 βαθμίδων, στην οποία ο διακομιστής εφαρμογών, ο διακομιστής Web και το περιβάλλον ανάπτυξης ενσωματώνονται σε ένα μόνο σύστημα.

Έλεγχος ταυτότητας SAP HANA

Ο χρήστης της βάσης δεδομένων προσδιορίζει ποιος έχει πρόσβαση στη βάση δεδομένων SAP HANA. Επαληθεύεται μέσω μιας διαδικασίας με την ονομασία "Authentication." Το SAP HANA υποστηρίζει πολλές μεθόδους ελέγχου ταυτότητας. Το Single Sign-on (SSO) χρησιμοποιείται για την ενσωμάτωση πολλών μεθόδων ελέγχου ταυτότητας.

Το SAP HANA υποστηρίζει την ακόλουθη μέθοδο ελέγχου ταυτότητας -

Kerberos: Μπορεί να χρησιμοποιηθεί στην ακόλουθη περίπτωση -
- Απευθείας από JDBC και ODBC Client (SAP HANA Studio).
- Όταν χρησιμοποιείται HTTP για πρόσβαση στο SAP HANA XS.
Ονομα χρήστη κωδικός
Όταν ο χρήστης εισάγει το όνομα χρήστη και τον κωδικό πρόσβασης της βάσης δεδομένων, τότε το SAP HANA Database πιστοποιεί τον χρήστη.
Γλώσσα σήμανσης ισχυρισμού ασφαλείας (SAML)
Το SAML μπορεί να χρησιμοποιηθεί για τον έλεγχο ταυτότητας του χρήστη SAP HANA, ο οποίος έχει άμεση πρόσβαση στη βάση δεδομένων SAP HANA μέσω ODBC / JDBC. Είναι μια διαδικασία χαρτογράφησης εξωτερικής ταυτότητας χρήστη στον εσωτερικό χρήστη βάσης δεδομένων, έτσι ώστε ο χρήστης να μπορεί να συνδεθεί στη βάση δεδομένων sap με το εξωτερικό αναγνωριστικό χρήστη.
Εισιτήρια SAP Logon and Assertion
Ο χρήστης μπορεί να γίνει έλεγχος ταυτότητας με εισιτήρια σύνδεσης ή επιβεβαίωσης, τα οποία διαμορφώνονται και εκδίδονται στον χρήστη για τη δημιουργία εισιτηρίου.
Πιστοποιητικά πελατών X.509
Όταν το SAP HANA XS Access μέσω HTTP, μπορούν να χρησιμοποιηθούν πιστοποιητικά πελάτη υπογεγραμμένα από μια αξιόπιστη αρχή πιστοποίησης (CA) για τον έλεγχο ταυτότητας του χρήστη.

SAP HANA Εξουσιοδότηση

Απαιτείται εξουσιοδότηση SAP HANA όταν ένας χρήστης που χρησιμοποιεί διεπαφή πελάτη (JDBC, ODBC ή HTTP) για πρόσβαση στη βάση δεδομένων SAP HANA.

Ανάλογα με την εξουσιοδότηση που παρέχεται στο χρήστη, μπορεί να εκτελεί λειτουργίες βάσης δεδομένων στο αντικείμενο της βάσης δεδομένων. Αυτή η εξουσιοδότηση ονομάζεται "προνόμια".

Τα δικαιώματα μπορούν να παραχωρηθούν στον χρήστη άμεσα ή έμμεσα (μέσω ρόλων). Όλα τα δικαιώματα που εκχωρούνται στους χρήστες συνδυάζονται ως μία ενότητα.

Όταν ένας χρήστης προσπαθεί να αποκτήσει πρόσβαση σε οποιοδήποτε αντικείμενο βάσης δεδομένων SAP HANA, το σύστημα HANA εκτελεί έλεγχο εξουσιοδότησης στον χρήστη μέσω ρόλων χρήστη και παραχωρεί άμεσα τα δικαιώματα.

Όταν ζητήθηκαν δικαιώματα πρόσβασης, το σύστημα HANA παραλείπει περαιτέρω ελέγχους και παραχωρεί πρόσβαση σε αιτήματα αντικειμένων βάσης δεδομένων.

Στο SAP HANA τα ακόλουθα προνόμια είναι -

Τύποι προνομίων	Περιγραφή
Προνόμια συστήματος	Ελέγχει την κανονική δραστηριότητα του συστήματος. Τα προνόμια συστήματος χρησιμοποιούνται κυρίως για - Δημιουργία και διαγραφή σχήματος στη βάση δεδομένων SAP HANA Διαχείριση χρήστη και ρόλου στη βάση δεδομένων SAP HANA Παρακολούθηση και ανίχνευση της βάσης δεδομένων SAP HANA Εκτέλεση αντιγράφων ασφαλείας δεδομένων Διαχείριση άδειας Διαχείριση έκδοσης Διαχείριση ελέγχου Εισαγωγή και εξαγωγή περιεχομένου Συντήρηση μονάδων παράδοσης
Προνόμια αντικειμένου	Object Privileges είναι δικαιώματα SQL που χρησιμοποιούνται για την παροχή εξουσιοδότησης για ανάγνωση και τροποποίηση αντικειμένων βάσης δεδομένων Για πρόσβαση σε αντικείμενα βάσης δεδομένων, ο χρήστης χρειάζεται δικαιώματα αντικειμένων σε αντικείμενα βάσης δεδομένων ή στο σχήμα στο οποίο υπάρχει αντικείμενο βάσης δεδομένων. Προνόμια αντικειμένων μπορούν να εκχωρηθούν σε αντικείμενα καταλόγου (πίνακας, προβολή κ.λπ.) ή αντικείμενα εκτός καταλόγου (αντικείμενα ανάπτυξης). Τα προνόμια αντικειμένων έχουν ως εξής - ΔΗΜΙΟΥΡΓΙΑ ΟΠΟΙΟΥ ΕΝΗΜΕΡΩΣΗ, ΕΙΣΑΓΩΓΗ, ΕΠΙΛΟΓΗ, ΔΙΑΓΡΑΦΗ, ΣΤΑΣΗ, ALTER, ΕΚΤΕΛΕΣΗ ΔΕΙΚΤΗΣ, TRIGGER, DEBUG, REFERENCES
Αναλυτικά προνόμια	Τα προνόμια ανάλυσης χρησιμοποιούνται για να επιτρέπουν την πρόσβαση ανάγνωσης σε δεδομένα του μοντέλου SAP HANA Information (προβολή χαρακτηριστικών, αναλυτική προβολή, προβολή υπολογισμού). Αυτό το προνόμιο αξιολογείται κατά την επεξεργασία ερωτημάτων. Το Analytic Privileges παρέχει διαφορετική πρόσβαση χρήστη σε διαφορετικό μέρος των δεδομένων στο Ίδια προβολή πληροφοριών βάσει του ρόλου του χρήστη. Τα προνόμια ανάλυσης χρησιμοποιούνται στη βάση δεδομένων SAP HANA για την παροχή δεδομένων επιπέδου σειράς Ο έλεγχος για μεμονωμένους χρήστες να βλέπουν τα δεδομένα είναι στην ίδια προβολή
Προνόμια πακέτου	Τα προνόμια πακέτων χρησιμοποιούνται για την παροχή εξουσιοδότησης για ενέργειες σε μεμονωμένα πακέτα στο SAP HANA Repository.
Προνόμια εφαρμογής	Απαιτούνται προνόμια εφαρμογής στο SAP HANA Extended Application Services (SAP HANA XS) για πρόσβαση στην εφαρμογή. Τα προνόμια αίτησης παραχωρούνται και ανακαλούνται μέσω των διαδικασιώνGRANT_APPLICATION_PRIVILEGE και REVOKE_APPLICATION_PRIVILEGE διαδικασία στο σχήμα _SYS_REPO.
Προνόμια στο χρήστη	Πρόκειται για προνόμια SQL, τα οποία μπορούν να εκχωρήσουν από τον χρήστη σε δικό τους χρήστη. Το ATTACH DEBUGGER είναι το μόνο προνόμιο που μπορεί να εκχωρηθεί σε έναν χρήστη.

Διαχείριση χρηστών και διαχείριση ρόλων SAP HANA

Για να αποκτήσετε πρόσβαση στη βάση δεδομένων SAP HANA, απαιτούνται χρήστες. Ανάλογα με τη διαφορετική πολιτική ασφαλείας υπάρχουν δύο τύποι χρηστών στο SAP HANA όπως παρακάτω -

Τεχνικός Χρήστης (Χρήστης DBA) - Είναι ένας χρήστης που συνεργάζεται άμεσα με τη βάση δεδομένων SAP HANA με τα απαραίτητα δικαιώματα. Κανονικά, αυτοί οι χρήστες δεν διαγράφονται από τη βάση δεδομένων.
Αυτοί οι χρήστες δημιουργούνται για μια διαχειριστική εργασία, όπως η δημιουργία ενός αντικειμένου και η παραχώρηση δικαιωμάτων σε αντικείμενο βάσης δεδομένων ή στην εφαρμογή.

Το σύστημα βάσης δεδομένων SAP HANA παρέχει στον ακόλουθο χρήστη από προεπιλογή ως τυπικό χρήστη-

ΣΥΣΤΗΜΑ
SYS
_SYS_REPO

Βάση δεδομένων ή πραγματικός χρήστης: Κάθε χρήστης που θέλει να εργαστεί στη βάση δεδομένων SAP HANA, χρειάζεται έναν χρήστη βάσης δεδομένων. Ο χρήστης της βάσης δεδομένων είναι ένα πραγματικό άτομο που εργάζεται στο SAP HANA.
Υπάρχουν δύο τύποι χρηστών βάσης δεδομένων όπως παρακάτω -

Τύπος χρήστη	Περιγραφή	Ο ρόλος ανατέθηκε
Τυπικός χρήστης	Αυτός ο χρήστης μπορεί να δημιουργήσει αντικείμενα σε ένα δικό του σχήμα και να διαβάζει δεδομένα σε προβολές συστήματος. Ο τυπικός χρήστης δημιουργήθηκε με τη δήλωση "CREATE USER".	Ο ρόλος PUBLIC εκχωρείται για προβολές συστήματος ανάγνωσης.
Περιορισμένος χρήστης	Ο περιορισμένος χρήστης δεν έχει πλήρη πρόσβαση SQL μέσω κονσόλας SQL και δημιουργήθηκε με δήλωση "ΔΗΜΙΟΥΡΓΙΑ ΠΕΡΙΟΡΙΣΜΕΝΟΥ ΧΡΗΣΤΗ". Εάν απαιτούνται δικαιώματα για τη χρήση οποιασδήποτε εφαρμογής, τότε παρέχονται μέσω του ρόλου. Ο περιορισμένος χρήστης δεν μπορεί να δημιουργήσει αντικείμενα βάσης δεδομένων. Ο Περιορισμένος Χρήστης δεν μπορεί να δει δεδομένα στη βάση δεδομένων. Ο Περιορισμένος Χρήστης συνδέεται στη βάση δεδομένων μόνο μέσω HTTP. Η πρόσβαση ODBC / JDBC για σύνδεση πελάτη πρέπει να είναι ενεργοποιημένη με δήλωση SQL.	Απαιτείται ο ρόλος RESTRICTED_USER_ODBC_ACCESS ή RESTRICTED_USER_JDBC_ACCESS στο χρήστη για πλήρη πρόσβαση στη λειτουργικότητα ODBC / JDBC

Ο διαχειριστής χρηστών SAP HANA έχει πρόσβαση στην ακόλουθη δραστηριότητα -

Δημιουργία / διαγραφή χρήστη.
Ορισμός και δημιουργία ρόλου.
Εκχώρηση ρόλου στον χρήστη.
Επαναφορά κωδικού πρόσβασης χρήστη.
Επανενεργοποιήστε / απενεργοποιήστε τον χρήστη σύμφωνα με τις απαιτήσεις.

Δημιουργία χρήστη στο SAP HANA - μόνο χρήστης βάσης δεδομένων με δικαιώματα ROLE ADMIN μπορεί να δημιουργήσει χρήστη και ρόλο στο SAP HANA.
Βήμα 1) Για να δημιουργήσετε νέο χρήστη στο SAP HANA Studio μεταβείτε στην καρτέλα ασφαλείας όπως φαίνεται παρακάτω και ακολουθήστε τα παρακάτω βήματα.
1. Μεταβείτε στον κόμβο ασφαλείας.
2. Επιλέξτε Χρήστες (Δεξί κλικ) -> Νέος χρήστης.
Βήμα 2) Εμφανίζεται μια οθόνη δημιουργίας χρήστη.
1. Εισάγετε όνομα χρήστη.
2. Εισαγάγετε τον κωδικό πρόσβασης για τον χρήστη.
3. Αυτοί είναι μηχανισμός ελέγχου ταυτότητας, από προεπιλογή Το όνομα χρήστη / κωδικός πρόσβασης χρησιμοποιείται για έλεγχο ταυτότητας.

Κάνοντας κλικ στο κουμπί ανάπτυξης του χρήστη θα δημιουργηθεί.

2. Ορισμός και δημιουργία ρόλου

Ένας ρόλος είναι μια συλλογή προνομίων που μπορούν να εκχωρηθούν σε άλλους χρήστες ή ρόλους. Ο ρόλος περιλαμβάνει προνόμια για αντικείμενο & εφαρμογή βάσης δεδομένων και ανάλογα με τη φύση της εργασίας.

Είναι ένας τυπικός μηχανισμός για την παροχή προνομίων. Δικαιώματα μπορούν να εκχωρηθούν απευθείας στον χρήστη. Υπάρχουν πολλοί τυπικοί ρόλοι (π.χ. ΜΟΝΤΕΛΟΠΟΙΗΣΗ, ΠΑΡΑΚΟΛΟΥΘΗΣΗ κ.λπ.) διαθέσιμοι στη βάση δεδομένων SAP HANA.

Μπορούμε να χρησιμοποιήσουμε τον τυπικό ρόλο ως πρότυπο για τη δημιουργία ενός προσαρμοσμένου ρόλου.

Ένας ρόλος μπορεί να περιέχει τα ακόλουθα προνόμια -

Προνόμια συστήματος για εργασίες διαχείρισης και ανάπτυξης (ΚΑΤΑΛΟΓΟΣ ΔΙΑΒΑΣΤΕ, ΕΛΕΓΧΟΣ ADMIN κ.λπ.)
Προνόμια αντικειμένων για αντικείμενα βάσης δεδομένων (ΕΠΙΛΟΓΗ, ΕΙΣΑΓΩΓΗ, ΔΙΑΓΡΑΦΗ κ.λπ.)
Αναλυτικά προνόμια για προβολή πληροφοριών SAP HANA
Προνόμια πακέτου σε πακέτα αποθετηρίου (REPO.READ, REPO.EDIT_NATIVE_OBJECTS κ.λπ.)
Προνόμια εφαρμογής για εφαρμογές SAP HANA XS.
Προνόμια στο χρήστη (Για διαδικασία εντοπισμού σφαλμάτων).

Δημιουργία ρόλου

Βήμα 1) Σε αυτό το βήμα,

Μεταβείτε στον κόμβο ασφαλείας στο σύστημα SAP HANA.
Επιλέξτε Κόμβος ρόλου (δεξί κλικ) και επιλέξτε Νέος ρόλος.

Βήμα 2) Εμφανίζεται μια οθόνη δημιουργίας ρόλων.

Δώστε το όνομα του ρόλου στο πλαίσιο "Νέος ρόλος".
Επιλέξτε την καρτέλα Εκχωρημένος ρόλος και κάντε κλικ στο εικονίδιο "+" για να προσθέσετε τον Τυπικό ρόλο ή τον ρόλο εξόδου.
Επιλέξτε Επιθυμητό ρόλο (π.χ. ΜΟΝΤΕΛΟΠΟΙΗΣΗ, ΠΑΡΑΚΟΛΟΥΘΗΣΗ κ.λπ.)

ΒΗΜΑ 3) Σε αυτό το βήμα,

Ο επιλεγμένος ρόλος προστίθεται στην καρτέλα Granted Roles.
Τα δικαιώματα μπορούν να εκχωρηθούν απευθείας στον χρήστη επιλέγοντας Προνόμια συστήματος, Προνόμια αντικειμένου, Προνόμια αναλυτικών στοιχείων, Προνόμια πακέτων κ.λπ.
Κάντε κλικ στο εικονίδιο ανάπτυξης για να δημιουργήσετε το ρόλο.

Επιλέξτε "Επιχορήγηση σε άλλους χρήστες και ρόλους", εάν θέλετε να εκχωρήσετε αυτόν τον ρόλο σε άλλο χρήστη και ρόλο.

3. Εκχώρηση ρόλου στον χρήστη

ΒΗΜΑ 1) Σε αυτό το βήμα, θα εκχωρήσουμε το ρόλο "MODELLING_VIEW" σε άλλο χρήστη "ABHI_TEST".

Μεταβείτε στον Υπο-κόμβο χρήστη στην ενότητα Κόμβος ασφαλείας και κάντε διπλό κλικ σε αυτόν. Θα εμφανιστεί το παράθυρο χρήστη.
Κάντε κλικ στο εικονίδιο Χορηγμένοι ρόλοι "+".
Θα εμφανιστεί ένα αναδυόμενο παράθυρο, το όνομα του ρόλου αναζήτησης που θα εκχωρηθεί στον χρήστη.

ΒΗΜΑ 2) Σε αυτό το βήμα, ο ρόλος "MODELLING_VIEW" θα προστεθεί στην ενότητα Ρόλος.

ΒΗΜΑ 3) Σε αυτό το βήμα,

Κάντε κλικ στο Deploy Button.
Εμφανίζεται ένα μήνυμα "Χρήστης" ABHI_TEST ".

4. Επαναφορά κωδικού πρόσβασης χρήστη

Εάν πρέπει να γίνει επαναφορά του κωδικού πρόσβασης χρήστη, μεταβείτε στον Υπο-κόμβο χρήστη στην ενότητα Κόμβος ασφαλείας και κάντε διπλό κλικ σε αυτόν. Θα εμφανιστεί το παράθυρο χρήστη.

ΒΗΜΑ 1) Σε αυτό το βήμα,

Εισάγετε το νέο κωδικό πρόσβασης.
Εισαγάγετε Επιβεβαίωση κωδικού πρόσβασης.

ΒΗΜΑ 2) Σε αυτό το βήμα,

Κάντε κλικ στο Deploy Button.
Εμφανίζεται ένα μήνυμα "Χρήστης" ABHI_TEST ".

5. Επανενεργοποίηση / Απενεργοποίηση χρήστη

Μεταβείτε στον Υπο-κόμβο χρήστη στην ενότητα Κόμβος ασφαλείας και κάντε διπλό κλικ σε αυτόν. Θα εμφανιστεί το παράθυρο χρήστη.

Υπάρχει εικονίδιο απενεργοποίησης χρήστη. Κάντε κλικ σε αυτό

Θα εμφανιστεί ένα μήνυμα επιβεβαίωσης "Αναδυόμενο παράθυρο". Κάντε κλικ στο κουμπί "Ναι".

Θα εμφανιστεί ένα μήνυμα "Ο χρήστης" ABHI_TEST "απενεργοποιήθηκε". Το εικονίδιο De-Activate αλλάζει με το όνομα "Ενεργοποίηση χρήστη". Τώρα μπορούμε να ενεργοποιήσουμε τον χρήστη από το ίδιο εικονίδιο.

Διαχείριση αδειών SAP HANA

Το κλειδί άδειας απαιτείται για τη χρήση της βάσης δεδομένων SAP HANA. Ένα κλειδί άδειας μπορεί να εγκατασταθεί και να διαγραφεί χρησιμοποιώντας το SAP HANA Studio, το εργαλείο SAP HANA HDBSQL Command Line και το πρόγραμμα επεξεργασίας ερωτημάτων HANA SQL.

Η βάση δεδομένων SAP HANA υποστηρίζει δύο τύπους κλειδιών άδειας -

Μόνιμο κλειδί άδειας χρήσης: Τα μόνιμα κλειδιά άδειας ισχύουν έως την ημερομηνία λήξης. Πρέπει να ζητήσουμε και να εφαρμόσουμε το κλειδί άδειας πριν από τη λήξη. Εάν λήξει το κλειδί άδειας, τότε το προσωρινό κλειδί άδειας εγκαθίσταται αυτόματα για 28 ημέρες.
Προσωρινό κλειδί άδειας: Αυτό εγκαθίσταται αυτόματα με μια νέα εγκατάσταση βάσης δεδομένων SAP HANA. Ισχύει για 90 ημέρες και αργότερα μπορεί να υποβάλει αίτηση για μόνιμο κλειδί από τη SAP.

Εξουσιοδότηση διαχείρισης αδειών

Απαιτούνται δικαιώματα "LICENSE ADMIN" για τη διαχείριση αδειών.

Έλεγχος SAP HANA

Οι δυνατότητες ελέγχου SAP HANA σας επιτρέπουν να παρακολουθείτε και να καταγράφετε ενέργειες που εκτελούνται στο σύστημα SAP HANA. Αυτές οι δυνατότητες πρέπει να ενεργοποιηθούν για το σύστημα πριν από τη δημιουργία πολιτικής ελέγχου.

Εξουσιοδότηση για SAP HANA Auditing

Απαιτούνται προνόμια συστήματος "AUDIT ADMIN" για τον έλεγχο SAP HANA.

Περίληψη :

Σε αυτό το σεμινάριο, μάθαμε το ακόλουθο θέμα -