Database Policy
Fidwyn, veritabanı oturumlarını wire protokolünü konuşan bir proxy üzerinden broker'lar; böylece tek tek ifadelere izin verebilir, bunları engelleyebilir veya denetleyebilir ve dönen sütunları maskeleyebilirsiniz — her sorguda bir verdict günlüğe alınır.
- Envanter'de eklenmiş ve Fidwyn proxy'si üzerinden erişilebilir bir veritabanı hedefi.
- Proxy'nin enjekte edebilmesi için Master Credentials altında kasaya alınmış veritabanı hesabı.
- Desteklenen bir motor: MS SQL Server, PostgreSQL, MySQL ya da Oracle.
- Kuralları kapsamlandıracağınız kullanıcılar veya PAM grupları (bkz. Yönetim).
1 · Veritabanını proxy üzerinden yönlendirin ¶
İfade kontrolü yalnızca oturumlar Fidwyn'den geçtiğinde çalışır. Veritabanını Envanter'de bir veritabanı hedefi olarak ekleyin, hesabını Master Credentials altında kasaya alın ve istemcilerin motora doğrudan değil Fidwyn proxy uç noktasına bağlanmasını sağlayın. Proxy, yerel wire protokolünü konuşur, kasaya alınmış kimlik bilgisini enjekte eder ve her ifadeyi, motora ulaşmadan önce politikanıza göre değerlendirir.
2 · İfade düzeyinde kurallar yazın ¶
Database Policy altında kurallar SQL fiiline, hedef nesneye ve ifadeyi çalıştıran kimliğe ya da PAM grubuna göre eşleşir ve üç verdict'ten birine çözümlenir:
- Allow — ifade motora ulaşır.
- Block — ifade motora ulaşmadan reddedilir; istemci bir hata görür.
- Audit — ifadeye izin verilir ancak inceleme için işaretlenir.
# example intent (configured in the UI, shown here for clarity)
block verb=DROP,TRUNCATE # no destructive DDL
audit verb=SELECT table=customers # watch PII reads
allow group="DBA-oncall" # scoped exception
3 · Sütunları satır içinde maskeleyin ¶
Bir sütun, sorguyu değiştirmeden istemciye dönerken maskelenebilir: tam maske, kısmi maske, null'a çevirme veya sabit bir token. DBA normal bir istemci deneyimi yaşar; hassas sütun proxy'den asla açık metin olarak çıkmaz.
4 · Canlı sorgu günlüğünü okuyun (Database Queries) ¶
Database Queries, her ifadeyi hedefiyle, onu çalıştıran kimlikle ve politikanın atadığı verdict ile — izin verildi, engellendi veya denetlendi — günlüğe alır. Bir denetçinin istediği kayıt budur: "bir DBA bağlandı" değil, "tam olarak bu ifade çalıştırıldı ve başına şunlar geldi".
