SSO 还支持机密性和完整性服务,因此 SSO 环境不需要具有其他 Dynamic
Server CSM。启用机密性之后,对于通过 SSO 验证的用户,向其传入或其输
出的数据都经过加密,并且仅使用授权凭证登录的用户能够查看这些数据。完
整性服务确保在用户和 DBMS 之间发送的数据没有在传输过程中被篡改。
将 IDS 配置为使用 SSO 需要大量特定于平台的设置。不过,对于基础考试,
您仅需理解如何设置 sqlhosts 文件和 concsm.cfg 文件以使用 SSO。这在
“Encryption Support in IDS” 的 Generic Security Services
Communications Support Module (GSSCSM) 主题下讨论。
IDS 中的访问控制
可以通过多种方法使用 SQL 语句保护对数据的访问。首先,本教程描述数据库
服务器中用于控制访问 SQL 对象的各种访问控制机制。接着描述列级别的加密
特性,该特性用于加密表中指定的列上的数据。
IDS 中包含的访问控制机制大体分为两类,即自主访问控制(DAC)和基于标
签的访问控制(LBAC)。在数据库服务器中使用特权和角色来实施
DAC。LBAC 的实施是使用安全标签来实现的。
数据库管理员(DBA)在保护敏感数据免受非授权用户访问方面起到关键作用。
SQL 提供在不同粒度级别上实现数据保护的方法。注意,DBA 与数据库系统
管理员(DBSA)是不同的。DBSA 的角色是维护服务器,而 DBA 的角色是
创建和维护数据库。
自主访问控制
自主访问控制(Discretionary access control,DAC)是主要的访问控制机
制,它支持使用特权和角色访问 SQL 对象。在数据库服务器中,使用 DAC 保
护的对象包括数据库、表、列、视图、类型、例程和语言。DAC 不能用于行级
别的保护;因此,保护行要使用 LBAC。通过保护这些对象以及给授权用户授
予访问这些对象的特权可以实现高效的访问控制。没有所需权限的用户不能执
行访问这些对象的查询。
在典型的 IDS 安装中,有大量的用户访问系统、执行查询和修改数据。为所有
用户创建必要的特权会使管理员角色的工作过于琐碎繁杂。另外,公司的策略
可能为用户规定不同的特权,这取决于他们执行的工作。这让管理员的责任更
加重大,因为必须根据最新的特权策略授予或撤销特权。服务器中的角色功能
减轻了管理员的压力。基于角色的访问控制(RBAC)将特权合并到角色中然
后再将角色分配给用户,从而扩展了基于特权的访问。