Zarządzanie loginami

Zarządzanie loginami obejmuje ich tworzenie, przypisywanie do baz i kontrolę uprawnień na poziomie instancji.

Login, użytkownik i zakres instancji

Zarządzanie loginami w systemie bazodanowym obejmuje kontrolę tożsamości, która może nawiązać połączenie z instancją silnika, oraz określenie zakresu zasobów dostępnych po uwierzytelnieniu. Login jest zwykle obiektem rozpoznawanym na poziomie całej instancji. Po poprawnym uwierzytelnieniu może zostać powiązany z użytkownikiem zdefiniowanym w konkretnej bazie danych. Takie rozdzielenie pozwala odróżnić prawo do połączenia z silnikiem od prawa do korzystania z obiektów znajdujących się w wybranej bazie.

Użytkownik bazy danych nie musi mieć uprawnień we wszystkich bazach należących do tej samej instancji. Dostęp można nadać tylko tam, gdzie jest potrzebny, a w pozostałych bazach nie tworzyć odpowiadającego mu użytkownika. Istotne jest także prawidłowe mapowanie loginu na użytkownika. Nieaktualne, usunięte albo osierocone powiązania mogą powodować odmowę dostępu mimo poprawnych danych uwierzytelniających. W środowisku z wieloma bazami należy analizować osobno poziom instancji i poziom każdej bazy.

Tworzenie kont i nadawanie ról

Bezpieczne utworzenie loginu wymaga określenia sposobu uwierzytelniania, nazwy konta, stanu aktywności oraz zasad dotyczących poświadczeń. W zależności od konfiguracji silnika konto może korzystać z uwierzytelniania realizowanego przez sam system bazodanowy albo z zewnętrznej usługi katalogowej. Te mechanizmy różnią się sposobem weryfikacji tożsamości, obsługą zmian haseł i zależnością od dostępności systemu zewnętrznego. Nie należy traktować samej nazwy loginu jako dowodu, że konto ma dostęp do określonych danych.

Uprawnienia najczęściej nadaje się bezpośrednio użytkownikowi albo przez rolę. Rola jest zbiorem uprawnień, który można przypisać wielu użytkownikom. W bazie może obejmować na przykład możliwość odczytu tabel, modyfikowania danych, wykonywania procedur albo tworzenia obiektów. Przy projektowaniu ról warto rozdzielić czynności administracyjne, aplikacyjne i raportowe. Konto aplikacji zwykle powinno otrzymywać tylko uprawnienia wymagane przez działanie programu, natomiast konto używane do utrzymania instancji powinno być kontrolowane oddzielnie. Nadawanie szerokich praw jedynie dlatego, że upraszcza konfigurację, utrudnia późniejszą analizę i zwiększa skutki przejęcia konta.

Kontrola dostępu i obsługa zmian

Kontrola loginów nie kończy się na ich utworzeniu. Należy regularnie sprawdzać, które konta są aktywne, do jakich baz są przypisane oraz jakie role i uprawnienia posiadają. Szczególnej uwagi wymagają konta tymczasowe, techniczne i używane przez starsze aplikacje. Konto, które nie jest już potrzebne, powinno zostać wyłączone zgodnie z procedurą utrzymania danego środowiska, a nie pozostawione aktywne bez właściciela. W przypadku zmiany zakresu obowiązków należy odebrać zbędne role i prawa, zamiast jedynie dodawać kolejne.

Podczas diagnozowania problemu z logowaniem trzeba rozdzielić kilka możliwych przyczyn: niepoprawne poświadczenia, zablokowane lub wyłączone konto, brak prawa do połączenia z instancją, brak użytkownika w docelowej bazie, nieprawidłowe mapowanie albo brak uprawnienia do konkretnego obiektu. Komunikat „brak dostępu” może pojawić się na różnych etapach i nie zawsze oznacza błąd hasła. Przydatne są dzienniki uwierzytelniania, informacje o stanie loginu, lista przypisań do baz oraz efektywne uprawnienia wynikające z członkostwa w rolach. Zmiany należy wykonywać w sposób możliwy do odtworzenia, z odnotowaniem zakresu, przyczyny i osoby odpowiedzialnej.

Sprawdzenie konfiguracji na komputerze i w aplikacji

Na laptopie lub komputerze PC problem z loginem może być widoczny dopiero podczas uruchamiania programu korzystającego z bazy. W pierwszej kolejności warto ustalić, z jaką instancją aplikacja próbuje się połączyć, czy wskazana baza jest właściwa oraz czy używany jest odpowiedni tryb uwierzytelniania. Należy także sprawdzić, czy zapisane w konfiguracji poświadczenia nie są nieaktualne i czy aplikacja nie korzysta z innego konta niż to, które zostało sprawdzone ręcznie. Sama możliwość otwarcia programu nie potwierdza poprawności dostępu do wszystkich funkcji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku problemów z aplikacją bazodanową można rozpocząć od sprawdzenia systemu, połączenia sieciowego, konfiguracji programu i objawów występujących na konkretnym komputerze. W odniesieniu do zarządzania loginami ważne jest zachowanie rozdziału między usterką stacji roboczej a konfiguracją uprawnień po stronie instancji i bazy. Jeżeli komputer poprawnie komunikuje się z usługą, a odrzucane jest tylko określone konto lub operacja, dalsza weryfikacja powinna obejmować stan loginu, przypisanie użytkownika i role przyznane w docelowej bazie.