數据库系统安全管理设计.docVIP

数据仓库系统安全管理设计 数据仓库系统的建设，将企业几乎所有的数据都放入数据仓库中，进行严格的系统安全管理是非常有必要的事情。 系统安全的管理设计主要包括了以下几个方面的内容。 操作系统的安全管理 1 网络的安全管理 2 数据的安全管理 2 前端应用安全控制 3 数据库权限控制 4 开发环境操作系统的安全管理 7 操作系统的安全管理 UNIX 系统管理员 指定一位系统的UNIX系统管理员。此人员的职务是管理UNIX环境，包括使用者、应用程序、档案系统及装置。使用者的管理注重在建立适当安全性的使用者帐号上，及定期去除不再使用的帐号。UNIX系统管理员通常必须负责维持根密码(root password)的安全性。UNIX系统管理员必须负责执行企业的安全政策(security policy)及5300系统上的标准。 UNIX帐号 UNIX系统上需要若干个使用者帐号。 root： 此为主要的管理帐号，具有对系统完全的存取及控制权。UNIX系统管理员必须维护根密码(root password)的安全并定期改变此密码。 non-root 系统管理帐号：系统管理者会选择在与root独立的帐号下(不同的UNIX使用者识别码)执行大部分的操作，但仍享有root的大部分特权。 开发帐号(development account)：存取系统以便开发加载描述语言(scripts)、备份及回存描述语言等的技术部门职员需要个别的帐号。 NCR客户服务(Customer Services)所需的‘支持(support)’帐号：NCR客户服务专员经常需要存取系统以执行各种不同的任务，包括UNIX升级与修补(patch)的应用、更换失效的组件 工作帐号(job accounts) ：批次工作所需的使用者识别码等。 网络的安全管理 Teradata提供的数据服务，必须通过三层结构的应用服务才能展现到最终用户的桌面上，理论上最终用户应用访问不使用c/s的数据库联接方式，所以网络上需要限制可以访问数据仓库服务器的IP必须为应用服务器、ETL服务器、Teradata数据库管理客户机。 数据的安全管理 数据拥有权 数据是共同的资源，应使所有需要其中信息以完成个人任务的人员能够有效并且方便地访问这些资源。 数据的拥有权必须建立在主题的层次上，依据LDM加以管理，可妥善地授权以提供属性(attribute)层次的安全性。 逻辑数据模型按照主题的方式进行数据的整合，然后将不同的主题指派给各种不同的业务部门。这些部门指定一个负责数据安全的人员，即数据拥有者。任何需要存取数据的人必须提出请求，而前面提及的数据拥有者必须负责核准或拒绝对该数据的存取。 存取数据控制 存取数据应该基于使用者必须知道的前提，然而必须有所平衡。若存取数据的程序限制太多或太麻烦，则会阻碍使用信息的意愿。另一方面，若无限制，则会衍生出机密信息落入不该得到数据者手中的合法性问题，而这对于企业来说显得非常重要。妥善管制的关键是保证数据存取受到管制且不论何时皆能够知道什么人在何时访问了什么样的数据。 在此数据仓库实施要点上，建议以应用的层次将数据分组，并以使用者层次将使用者分组，全面管理数据的访问。使用者可根据其所属分支办公室(branch office)、组别(division)及部门(department)层次加以分组。 在此情况下，建议各部门领导决定他们部门需要设定业务应用中的哪些组，然后同意该部门存取支持该业务应用所需的数据。有权存取数据仓库的该部门的所有成员将自动能够存取其企业应用所需的数据。随着数据仓库的逐步成熟，可能会有需要以个别使用者的层次授予数据的存取权限。 数据的安全管理实施方法 实施数据的安全管理，必须建立集中式元数据管理系统，存储数据仓库以及各业务系统数据库的METADATA，在元数据系统中定义用户、组别等对象，将数据授权流程化。所有的应用必须遵照元数据系统的数据安全定义，进行数据安全控制，才能够保证所有应用的数据访问策略保持一致，杜绝数据安全漏洞。 但目前，建设元数据系统还缺乏足够的条件，所以数据的安全管理只能在应用或者门户上进行控制。 前端应用安全控制 前端用户描述 使用浏览器访问数据仓库的前端用户是通过前端应用服务器访问数据库的。大致分为四种类型的用户： 用户类型 登录webserver用户 数据库用户名 前端管理员用户 Frontadm Frontadm（不可以访问业务数据） 部门管理员用户 Department缩写+adm 不可以访问数据仓库 一般业务访问用户 由各个部门管理员设定 dwBuser 审计用户 由数据仓库管理员设定 （每人一个） Power User 由数据仓库管理员设定 （每人一个） 前端管理员用户和各个部门管理员用户不可以访问数据仓库业务