详解数仓的3A安全能力

ADDRESS：声明记录所匹配且允许访问的地址。type是local时，表示本机连接，不需要指定IP地址。

METHOD：认证方式有trust、reject、md5、sha256、ldap、cert、oneaccess等。

trust：白名单，无条件允许连接。

reject：黑名单，无条件拒绝连接。

md5: pg的password认证方式，不安全。

sha256: gaussdb的password认证。

ldap：使用LDAP进行第三方认证。

cert：客户端证书认证模式，此模式需进行SSL连接配置且需要客户端提供有效的SSL证书，不需要提供用户密码。

3.Authorization——授权

权限表示用户对某个数据库对象的操作是否被允许。GaussDB(DWS)中的权限包含三种场景：系统权限、数据对象权限、用户权限。

3.1 系统权限

3.1.1 三权分立

默认情况下拥有SYSADMIN属性的系统管理员，具备系统最高权限。在实际业务管理中，为了避免系统管理员拥有过度集中的权利带来高风险，可以设置三权分立，将系统管理员的CREATEROLE属性和AUDITADMIN属性权限分别给安全管理员和审计管理员。

3.1.2 系统权限授权

系统权限又称为用户属性，包括SYSADMIN、CREATEDB、CREATEROLE、AUDITADMIN和LOGIN。

系统权限可以在创建、修改角色或者用户时进行授权，CREATE/ALTER ROLE/USER user_name [WITH] option语句的option中，可以设置以下字段，来实现系统权限赋权。

SYSADMIN | NOSYSADMIN

决定一个新角色是否为“系统管理员”，具有SYSADMIN属性的角色拥有系统最高权限。缺省为NOSYSADMIN。

AUDITADMIN | NOAUDITADMIN

定义角色是否有审计管理属性。缺省为NOAUDITADMIN。

CREATEDB | NOCREATEDB

决定一个新角色是否能创建数据库。新角色没有创建数据库的权限。缺省为NOCREATEDB。

CREATEROLE | NOCREATEROLE

决定一个角色是否可以创建新角色（也就是执行CREATE ROLE和CREATE USER）。 一个拥有CREATEROLE权限的角色也可以修改和删除其他角色。缺省为NOCREATEROLE。

LOGIN | NOLOGIN

3.2 数据对象权限

数据对象包括表和视图、指定字段、数据库、函数、模式等，对它们的创建、增、删、改、查等操作就是数据对象权限。授权语法格式为：GRANT [privileges] ON [objects] TO [users]，回收权限语法格式为REVOKE [privileges] ON [objects] FROM [users]。

3.3 用户权限

3.3.1 用户权限授权

将一个角色或用户的权限授予一个或多个其他角色或用户。被授权的角色或用户就拥有授权的角色或用户的权限。当声明了WITH ADMIN OPTION，被授权的用户可以将该权限再次授予其他角色或用户，以及撤销所有由该角色或用户继承到的权限。当授权的角色或用户发生变更或被撤销时，所有继承该角色或用户权限的用户拥有的权限都会随之发生变更。语法格式为GRANT role TO user。

3.3.2 预置角色

GaussDB(DWS)提供了一组预置角色，以“gs_role_”开头命名，这些预置角色具有一些固定的权限。当某些用户需要进行相关操作，只需要把预置角色授给用户即可。目前GaussDB(DWS)的预置角色如下表：

4.Audit——审计

审计是指记录用户的登陆退出以及登陆后在数据库里的行为操作，使得数据库安全管理员可以利用这些日志信息，找出非法操作的用户，时间和内容等。

4.1 设置审计配置项

要使数据库能够审计到某项功能，需要打开审计的总开关(audit_enabled)和对应的审计项开关(audit_operation_exec),二者均支持动态加载，在数据库运行期间修改该配置项的值会立即生效，无需重启数据库。

有两点需要注意，其一如果审计ddl操作，需要另外配置audit_system_object 来审计具体某个对象的ddl 操作；其二如果是审计事务，事务内部的操作是否审计需要结合其具体的配置项是否配置。审计项的参数控制：

4.2 查看审计日志

审计查询命令是pgxc_query_audit：

select * from pgxc_query_audit(timestamptz startime,timestamptz endtime,audit_log);

startime 和 endtime 分别表示审计记录的开始时间和结束时间，audit_log 表示所查看的审计日志新的所在的物理文件路径，当不指定audit_log 时，默认查看连接当前实例的审计日志信息。审计查询结果如下例：

postgres=# create table t1(id int);
ERROR:  relation "t1" already exists
postgres=# select * from pgxc_query_audit('2021-03-21','2021-03-30') order by endtime desc limit 1;
-[ RECORD 1 ]---+--------------------------------
begintime       | 2021-03-21 11:49:41.643+08
endtime         | 2021-03-21 11:49:41.652+08
operation_type  | ddl
audit_type      | ddl_table
result          | failed
username        | perfadm
database        | postgres
client_conninfo | gsql@[local]
object_name     | t1
command_text    | create table t1(id int);
detail_info     | relation "t1" already exists
transaction_xid | 0
query_id        | 1062177
node_name       | cn_5001
thread_id       | 139916885260032@669613657906735
local_port      | 6000
remote_port     | 

5. 其他数据仓库安全技术

数据安全展示：数据脱敏、行级访问控制。

数据安全存储：数据存储加密、透明加密。