SYS_R12 MOAC多组织底层技术实现技术分析(Oracle VPD) (案例)

2014-05-30 Created By BaoXinjian

一、 介绍


之前一直存在对Oracle R12 多组织访问的一些疑惑,所以查询了一些相关资料,并介绍实现R12 MOAC的Oracle VPD技术

Oracle VPD全称Virtual Private Database, Oracle的一种控制数据访问的其中安全策略之一

Oracle数据安全策略访问实现方法

  •  Role-based security
    • create role cust_role;
    • grant select on customer to cust_role;
    • grant select, update on orders to cust_role;
    • grant cust_role to scott;
  •  Grant-execute security
    • grant execute on procedure to cust_role;
  •  Virtual private databases
    • 以下为详细介绍

 

二、 案例 - 实现模仿R12 MOAC对客制化的表添加标准多组织访问控制安全策略


例如, ap_invoices_all 和  ap_inovices访问的区别

当没有初始化mo_global.set_policy_context之前,ap_invoices_all 是可以访问所有的数据, 而ap_invoices是没有任何数据返回的

当初始化mo_global.set_policy_context之后,ap_invoices_all 还是可以访问所有的数据, 而ap_invoices可以返回对应组织的记录,而其他组织的记录并没有被返回

原因是,在视图ap_invoices添加了一个安全性策略, mo_golbal.org_security

所以在仿照标准的MOAC功能建立对客制化表的多组织访问,可以参考以上例子

建立一个基表(bxj_vpd_invoices_b), 用以存放所有数据,不管有没有通过mo_global初始化session都可以返回数据, 类似于基表ap_invoices_all的功能

建立一个视图(bxj_vpd_invoices_v), 此视图建立在基表之上,再进行添加安全性策略,实现多组织访问,类似于视图ap_invoices的功能

Step1. 建立基表

CREATE TABLE bxj_vpd_invoices_b(

  invoice_id NUMBER,

  invoice_num VARCHAR(100),

  invoice_description VARCHAR(240),

  org_id NUMBER

)

 Step2. 建立视图

CREATE VIEW bxj_vpd_invoices_v AS

  SELECT invoice_id, invoice_num, invoice_description, org_id

FROM bxj_vpd_invoices_b;

 Step3. 准备测试资料,一笔的org为204, 一笔的org为889

INSERT INTO bxj_vpd_invoices_b VALUES (1, 'BXJ_20140520_01','BXJ_VPD_Show_With ORG204', 204)

INSERT INTO bxj_vpd_invoices_b VALUES (2, 'BXJ_20140520_02','BXJ_VPD_Show_With ORG889', 889)

Step4. 查询基表和视图都是可以返回所有两条记录

 

Step5. 最关键的一步,对客制化视图bxj_vpd_invoics_v添加安全性策略dbms_rls.add_policy

Step6. 产看安全性策略是否建立成功

Test1. 策略建立成功,进行测试,直接select table bxj_vpd_invoics_v, 查询未返回任何结果

Test2. 对session进行初始化

Test3. 再次直接select table bxj_vpd_invoics_v,查询只返回一条ORG204的记录,而ORG889的记录则并没显示,实现了对客制化表的多组织访问

 

三、 案例 - 实现一个简单的客制的VPD安全策略对表数据访问的管控


需求: 对数据表bxj_invoice_total不显示invoice total > 1000的记录

Step1.创 建一个简单的表,并准备4笔测试数据

Step2. 查看原始数据,有4笔资料

Step3.最关键的一步,建立VPD Function,系统返回以下字段,作为VPD策略,其实个人感觉就是根据不同的条件和环境去区分所要加的条件组合,来实现数据的访问控制

Step4. 通过API dbms_rls.add_policy付给VPD策略

Step5. 检查VPD策略是否赋值成功

Test1. 直接查询已加入客制化VPD策略的表,已按VPD策略,只显示金额小于1000的记录

 

Thanks and Regards

你可能感兴趣的:(oracle)