Proteggi e controlla l'accesso ai dati dell'applicazione utilizzando viste sicure parametrizzate

Anteprima - Viste sicure parametrizzate

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Le viste sicure parametrizzate in AlloyDB per PostgreSQL ti consentono di limitare l'accesso degli utenti dell'applicazione a righe specifiche del database in base ai parametri denominati. In questo tutorial, creerai ed eseguirai query su una vista sicura parametrizzata utilizzando AlloyDB Studio o psql.

Gli esempi in questo tutorial illustrano le funzionalità delle viste sicure parametrizzate solo a scopo dimostrativo.

Obiettivi

• Crea viste parametrizzate sicure con parametri di visualizzazione denominati.
• Crea il ruolo del database utilizzato dall'applicazione per connettersi al database e accedere alle viste sicure con parametri.
• Concedi le autorizzazioni del nuovo ruolo alle viste sicure e revoca l'accesso alle tabelle di base.
• Connettiti utilizzando il nuovo ruolo e verifica che non sia possibile accedere alle tabelle con limitazioni.
• Esegui query sulla vista protetta con parametri utilizzando la funzione execute_parameterized_query.

Costi

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

• AlloyDB for PostgreSQL

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi.

I nuovi utenti di Google Cloud potrebbero avere diritto a una prova senza costi.

Al termine delle attività descritte in questo documento, puoi evitare l'addebito di ulteriori costi eliminando le risorse che hai creato. Per saperne di più, consulta Esegui la pulizia.

Prima di iniziare

Abilita la fatturazione e le API richieste

1. Nella console Google Cloud , seleziona un progetto.

   Vai al selettore di progetti

2. Verifica che la fatturazione sia attivata per il tuo progetto Google Cloud .

3. Abilita le API Cloud necessarie per creare e connetterti ad AlloyDB.

   Abilita l'API

   1. Nel passaggio Conferma progetto, fai clic su Avanti per confermare il nome del progetto a cui apporterai le modifiche.

   2. Nel passaggio Abilita API, fai clic su Abilita per abilitare quanto segue:

      • API AlloyDB

Creare e connettersi a un database

1. Crea un cluster e la relativa istanza principale.
2. Connettiti all'istanza e crea un database.

prepara l'ambiente

Per prepararti a eseguire query su una vista sicura parametrizzata, devi prima configurare le viste parametrizzate, il database e i ruoli del database, l'estensione parameterized_views e lo schema dell'applicazione.

Attiva l'estensione richiesta

Attiva il flag di database parameterized_views.enabled, che carica le librerie di estensioni richieste. Per saperne di più, consulta Configura i flag di database di un'istanza.

Nota: dopo aver attivato il flag di database parameterized_views.enabled, il database viene riavviato per applicare le modifiche.

Configura il database

Crea un database denominato database per i dati dell'applicazione e le viste parametrizzate. Per saperne di più sulla creazione di un database, consulta Crea un database.

Crea i ruoli del database, l'estensione e lo schema dell'applicazione

1. Per connetterti al database come utente postgres o come utente con privilegi di super utente AlloyDB, utilizza AlloyDB Studio o psql.

   psql database -U postgres

   Per saperne di più, consulta Informazioni sulla gestione degli utenti del database in AlloyDB.

2. Crea l'estensione parameterized_views nel database.

   -- Requires parameterized_views.enabled set to true
   CREATE EXTENSION parameterized_views;
   

   Quando viene creata l'estensione, il sistema crea anche uno schema denominato parameterized_views in modo che le API siano contenute nello spazio dei nomi dello schema e non entrino in conflitto con le API esistenti.

   Nota: devi creare un'estensione in ogni database in cui vengono create viste parametrizzate.

3. Crea il ruolo amministrativo di AlloyDB, che possiede e gestisce il database.

   CREATE ROLE admin_user WITH LOGIN PASSWORD '...';
   GRANT ALL PRIVILEGES ON DATABASE database TO admin_user;
   

   Per saperne di più, vedi CREATE USER.

4. Crea un nuovo ruolo del database per l'esecuzione di query su viste protette parametrizzate. Questo è un ruolo AlloyDB utilizzato dall'applicazione per connettersi e accedere al database per eseguire query con accesso limitato a funzioni o oggetti pubblici al set minimo richiesto.

   CREATE ROLE psv_user WITH LOGIN PASSWORD '...';
   

   Per saperne di più sulla creazione di utenti PostgreSQL, consulta CREATE USER.

5. Connettiti come utente amministrativo.

   SET role TO admin_user;
   

6. Crea lo schema che contiene le tabelle.

   CREATE SCHEMA schema;
   

7. Crea le tabelle e inserisci i dati.

   CREATE TABLE schema.checked_items(bag_id INT,timestamp TIMESTAMP, loc_code CHAR(3), scan_type CHAR(1), location TEXT, customer_id INT);
   
   INSERT INTO schema.checked_items (bag_id, timestamp, loc_code, scan_type, location, customer_id) VALUES
   (101, '2023-10-26 10:00:00', 'ABC', 'I', 'Warehouse A', 123),
   (102, '2023-10-26 10:15:30', 'DEF', 'O', 'Loading Dock B', 456),
   (103, '2023-10-26 10:30:45', 'GHI', 'I', 'Conveyor Belt 1', 789),
   (104, '2023-10-26 11:00:00', 'JKL', 'O', 'Shipping Area C', 101),
   (105, '2023-10-26 11:45:15', 'MNO', 'I', 'Sorting Station D', 202),
   (106, '2023-10-26 12:00:00', 'PQR', 'O', 'Truck Bay E', 303);
   

Crea viste parametrizzate sicure e configura i privilegi di accesso

Per creare viste parametrizzate sicure e configurare i privilegi di accesso appropriati per la tabella di base e le viste, segui questi passaggi:

1. Per connetterti al database come admin_user, utilizza AlloyDB Studio o psql.

   psql database -U admin_user

2. Per fornire un accesso limitato alla vista, crea una vista protetta parametrizzata:

   CREATE VIEW schema.secure_checked_items WITH (security_barrier) AS
   SELECT bag_id, timestamp, location
   FROM schema.checked_items t
   WHERE customer_id = $@app_end_userid;
   

3. Concedi l'accesso alla vista.

   GRANT SELECT ON schema.secure_checked_items TO psv_user;
   

4. Per accedere alla vista, concedi l'accesso allo schema.

   GRANT USAGE ON SCHEMA schema TO psv_user;
   

5. Revoca l'accesso diretto alla tabella di base.

   REVOKE ALL PRIVILEGES ON schema.checked_items FROM psv_user;
   

Verifica la sicurezza dei dati

Per verificare che le viste sicure parametrizzate limitino l'accesso alle viste designate, esegui i seguenti comandi come psv_user. Si tratta di un ruolo del database AlloyDB utilizzato dall'applicazione per connettersi e accedere al database per eseguire query.

1. Connettiti come utente di viste sicure con parametri.

   psql database -U psv_user

2. Verifica che non sia possibile accedere alla tabella di base:

   SELECT * FROM schema.checked_items;
   

   L'output è simile al seguente:

   ERROR:  permission denied for table checked_items
   

3. Accedi alla vista protetta parametrizzata utilizzando la funzione execute_parameterized_query:

   SELECT * FROM parameterized_views.execute_parameterized_query(
     query => 'SELECT * from schema.secure_checked_items',
     param_names => ARRAY ['app_end_userid'],
     param_values => ARRAY ['303']
   );
   

4. Per migliorare la sicurezza delle query generate in linguaggio naturale, integra le tue viste sicure parametrizzate utilizzando il linguaggio naturale di AlloyDB AI.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Se vuoi conservare il cluster e rimuovere solo gli oggetti del database che hai creato in questo tutorial, esegui questi comandi:

1. Per connetterti al database come postgres, utilizza AlloyDB Studio o psql:

   psql database -U postgres

2. Elimina gli oggetti che hai creato:

   DROP VIEW schema.secure_checked_items;
   DROP TABLE schema.checked_items;
   DROP SCHEMA schema;
   DROP ROLE psv_user;
   DROP ROLE admin_user;
   DROP EXTENSION parameterized_views;
   

Per eliminare l'intero cluster AlloyDB e la rete VPC, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Cluster.

   Vai a Cluster

2. Fai clic sul nome del tuo cluster, my-cluster, nella colonna Nome risorsa.

3. Fai clic su Elimina cluster.

4. In Elimina cluster my-cluster, inserisci my-cluster per confermare che vuoi eliminare il cluster.

5. Fai clic su Elimina.

6. Se hai creato una connessione privata quando hai creato un cluster, vai alla pagina Networking della console Google Cloud e fai clic su Elimina rete VPC.

Passaggi successivi

• Scopri di più sulle viste sicure parametrizzate.
• Scopri come gestire la sicurezza dei dati delle applicazioni utilizzando viste sicure parametrizzate.