Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengamankan dan mengontrol akses ke data aplikasi menggunakan tampilan aman berparameter

Tampilan aman berparameter memberikan keamanan data dan kontrol akses baris ke aplikasi. Aturan ini memfilter hasil kueri berdasarkan identitas pengguna aplikasi.

Tutorial ini menjelaskan cara menyiapkan tampilan aman berparameter di Cloud SQL, mengonfigurasi peran dan hak istimewa database untuk membatasi akses ke tabel dasar, serta memverifikasi keamanan data. Contoh yang diberikan dalam dokumen ini hanya untuk tujuan demonstrasi.

Apa yang dimaksud dengan tampilan aman berparameter?

Sebagai praktik terbaik umum, aplikasi Anda harus berjalan menggunakan akun layanan dengan akses minimum yang diperlukan ke database Anda. Misalnya, jika aplikasi Anda tidak boleh menulis ke database, aplikasi tersebut harus menggunakan peran dengan akses hanya baca. Anda harus mengonfigurasi kontrol akses ini di tingkat database.

Jika aplikasi Anda memerlukan keamanan yang lebih terperinci daripada izin akses tingkat database standar, Anda dapat menggunakan tampilan aman berparameter untuk memastikan bahwa pengguna hanya melihat data yang diizinkan. Tampilan aman berparameter memberikan keamanan data dinamis dan kontrol akses baris yang sesuai untuk aplikasi SaaS multi-tenant tanpa memerlukan peran database terpisah untuk setiap pengguna akhir aplikasi.

Penggunaan tampilan aman berparameter memberikan tiga manfaat utama:

Keamanan data dinamis dan kontrol akses baris: Memfilter kueri menggunakan ID pengguna akhir sehingga pengguna hanya mengakses data yang diizinkan, terlepas dari susunan kata kueri.
Pengelolaan peran yang lebih mudah: Menggunakan satu peran database bersama untuk semua pengguna aplikasi, bukan mengelola peran database terpisah untuk setiap individu.

Tujuan

Membuat tampilan aman berparameter dengan parameter tampilan bernama.
Buat peran database yang digunakan oleh aplikasi untuk terhubung ke database dan mengakses tampilan aman berparameter.
Berikan izin peran baru ke tampilan aman berparameter dan cabut akses ke tabel dasar.
Hubungkan menggunakan peran baru dan verifikasi bahwa tabel yang dibatasi tidak dapat diakses.
Jalankan kueri pada tampilan aman berparameter menggunakan fungsi execute_parameterized_query() atau menggunakan QueryData API.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen Google Cloudyang dapat ditagih berikut:

Cloud SQL untuk PostgreSQL

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Pengguna Google Cloud baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Untuk menghindari penagihan berkelanjutan, hapus resource yang Anda buat setelah menyelesaikan tugas dalam dokumen ini. Untuk informasi selengkapnya, lihat Pembersihan.

Sebelum memulai

Sebelum Anda membuat tampilan aman berparameter, selesaikan prasyarat berikut.

Mengaktifkan penagihan dan API yang diperlukan

Di konsol Google Cloud , pilih project.

Buka pemilih project
Pastikan penagihan diaktifkan untuk project Google Cloud Anda.
Aktifkan Cloud API yang diperlukan untuk membuat dan terhubung ke Cloud SQL.
1. Mengaktifkan API
2. Pada langkah Confirm project, klik Next untuk mengonfirmasi nama project yang akan Anda ubah.
3. Pada langkah Enable APIs, klik Enable untuk mengaktifkan hal berikut:
  - Cloud SQL for PostgreSQL API
  - Knowledge Catalog API
  - Data Analytics API with Gemini (geminidataanalytics.googleapis.com)

Membuat dan menghubungkan ke database

Membuat instance.
Menghubungkan ke instance dan membuat database.
Aktifkan Cloud SQL Data API di instance Cloud SQL untuk PostgreSQL agar API QueryData dapat menjalankan kueri terhadapnya:
```
gcloud sql instances patch INSTANCE_ID \
    --project=PROJECT_ID \
    --data-api-access=ALLOW_DATA_API
```
Ganti kode berikut:
- INSTANCE_ID: ID instance Cloud SQL untuk PostgreSQL Anda.
- PROJECT_ID: Project ID Google Cloud Anda.

Memberikan peran yang diperlukan dan membuat pengguna database IAM

Untuk melakukan autentikasi dengan Identity and Access Management (IAM) dan menjalankan permintaan queryData terhadap tampilan aman berparameter, konfigurasikan pengguna atau akun layanan IAM:

Berikan peran IAM berikut ke IAM_USER_EMAIL di project Google Cloud Anda:
- roles/geminidataanalytics.queryDataUser
- roles/serviceusage.serviceUsageConsumer
- roles/cloudsql.instanceUser
Untuk mengetahui informasi selengkapnya tentang cara memberikan peran IAM, lihat Menambahkan binding kebijakan IAM untuk project.
Aktifkan autentikasi database IAM di instance Cloud SQL Anda dan tambahkan IAM_USER_EMAIL sebagai pengguna database IAM di instance tersebut. Anda harus membuat pengguna database IAM ini sebelum memberikan peran database psv_user kepadanya. Untuk mengetahui informasi selengkapnya tentang cara menyiapkan pengguna database IAM, lihat Mengelola pengguna dengan autentikasi database IAM.

Menyiapkan lingkungan Anda

Untuk mempersiapkan menjalankan kueri pada tampilan aman berparameter, siapkan database, peran database, ekstensi parameterized_views, dan skema aplikasi.

Mengaktifkan flag database

Aktifkan flag database cloudsql.enable_parameterized_views, yang memuat library ekstensi yang diperlukan. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi flag database instance.

Menyiapkan database

Buat database bernama database untuk data aplikasi dan tampilan aman berparameter. Untuk mengetahui informasi selengkapnya, lihat Membuat database.

Membuat peran database, ekstensi, dan skema aplikasi

Di konsol Google Cloud , buka halaman Cloud SQL.

Buka Cloud SQL
Pilih instance dari daftar.
Di menu navigasi, klik Cloud SQL Studio.
Login ke Studio menggunakan autentikasi akun administrator.
Klik Authenticate. Panel Explorer menampilkan daftar objek dalam database Anda.
Klik New SQL editor tab atau New tab untuk membuka tab baru.
Untuk menggunakan tampilan berparameter, buat ekstensi parameterized_views di database Anda:
```
-- Requires parameterized_views.enabled set to true
CREATE EXTENSION parameterized_views;
```
Saat ekstensi dibuat, database juga membuat skema bernama parameterized_views sehingga API dimuat dalam namespace skema tersebut dan agar API tersebut tidak bertentangan dengan API yang ada.

Catatan: Anda harus membuat ekstensi di setiap database tempat tampilan berparameter dibuat.
Login sebagai pengguna dengan hak istimewa superuser, seperti pengguna postgres bawaan.
Buat peran database baru untuk menjalankan kueri terhadap tampilan aman berparameter. Ini adalah peran Cloud SQL yang digunakan aplikasi untuk terhubung dan login ke database guna menjalankan kueri dengan akses terbatas ke fungsi atau objek publik ke set minimum yang diperlukan.
```
CREATE ROLE psv_user WITH LOGIN PASSWORD '...';
```
Untuk informasi selengkapnya, lihat CREATE USER.
Hubungkan sebagai pengguna administratif.
```
SET role TO postgres;
```
Buat skema yang berisi tabel.
```
CREATE SCHEMA store;
```

Membuat tabel dan menyisipkan data.

CREATE TABLE store.checked_items(bag_id INT,timestamp TIMESTAMP, loc_code CHAR(3), scan_type CHAR(1), location TEXT, customer_id INT);

INSERT INTO store.checked_items (bag_id, timestamp, loc_code, scan_type, location, customer_id) VALUES
(101, '2023-10-26 10:00:00', 'ABC', 'I', 'Warehouse A', 123),
(102, '2023-10-26 10:15:30', 'DEF', 'O', 'Loading Dock B', 456),
(103, '2023-10-26 10:30:45', 'GHI', 'I', 'Conveyor Belt 1', 789),
(104, '2023-10-26 11:00:00', 'JKL', 'O', 'Shipping Area C', 101),
(105, '2023-10-26 11:45:15', 'MNO', 'I', 'Sorting Station D', 202),
(106, '2023-10-26 12:00:00', 'PQR', 'O', 'Truck Bay E', 303);

Membuat tampilan aman berparameter dan menyiapkan hak istimewa akses

Untuk membuat tampilan aman berparameter dan menyiapkan hak istimewa akses yang sesuai untuk tabel dan tampilan dasar, ikuti langkah-langkah berikut:

Di konsol Google Cloud , buka halaman Cloud SQL.

Buka Cloud SQL
Pilih instance dari daftar.
Di menu navigasi, klik Cloud SQL Studio.
Login ke Studio dan hubungkan ke database bernama database sebagai pengguna postgres.
Klik Authenticate. Panel Explorer menampilkan daftar objek dalam database Anda.
Klik New SQL editor tab atau New tab untuk membuka tab baru.
Untuk memberikan akses terbatas ke tampilan, buat tampilan berparameter:
```
CREATE VIEW store.secure_checked_items WITH (security_barrier) AS
SELECT bag_id, timestamp, location
FROM store.checked_items t
WHERE customer_id = $@app_end_userid;
```
Catatan: Pastikan Anda menggunakan nama parameter yang unik, seperti $@app_end_userid, saat membuat tampilan aman berparameter.

Memberikan akses ke tabel virtual.

GRANT SELECT ON store.secure_checked_items TO psv_user;

Untuk mengakses tampilan, berikan akses ke skema.
```
GRANT USAGE ON SCHEMA store TO psv_user;
```
Cabut akses langsung ke tabel dasar.
```
REVOKE ALL PRIVILEGES ON store.checked_items FROM psv_user;
```
Catatan: Pemilik tampilan berparameter harus memiliki hak istimewa SELECT di tabel dasar. Selain itu, pengguna tampilan berparameter harus memiliki USAGE pada skema tampilan dan SELECT pada tampilan. Misalnya, pengguna postgres memiliki tampilan berparameter, sehingga memiliki hak istimewa SELECT pada tabel dasar, sedangkan psv_user harus memiliki USAGE pada skema store dan SELECT pada tampilan.
Pastikan IAM_USER_EMAIL telah ditambahkan ke instance sebagai pengguna database IAM, login sebagai pengguna postgres, dan berikan peran psv_user kepada pengguna yang diautentikasi IAM:
```
GRANT psv_user TO "IAM_USER_EMAIL";
```
Ganti IAM_USER_EMAIL dengan alamat email pengguna IAM Anda.

Memverifikasi keamanan data

Untuk memverifikasi bahwa tampilan aman berparameter membatasi akses ke tampilan yang ditentukan, login ke database sebagai pengguna yang diautentikasi IAM. Di Cloud SQL, pengguna IAM mewarisi izin peran database yang ditetapkan kepada mereka.

Pastikan tabel dasar tidak dapat diakses.

SELECT * FROM store.checked_items;
ERROR:  permission denied for table checked_items

Akses tampilan aman yang diberi parameter menggunakan fungsi execute_parameterized_query:

SELECT * FROM parameterized_views.execute_parameterized_query(
  query => 'SELECT * from store.secure_checked_items',
  param_names => ARRAY ['app_end_userid'],
  param_values => ARRAY ['303']
);

Login ke Google Cloud CLI sebagai IAM_USER_EMAIL dengan menjalankan gcloud auth application-default login agar gcloud auth application-default print-access-token membuat token untuk pengguna database IAM yang dibatasi, lalu buat kueri tampilan aman berparameter menggunakan metode queryData dengan parameter PSV:

  curl -X POST \
    "https://geminidataanalytics.googleapis.com/v1beta/projects/PROJECT_ID/locations/REGION:queryData" \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: PROJECT_ID" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d '{
      "prompt": "Show me the checked items.",
      "context": {
        "datasource_references": {
          "cloud_sql_reference": {
            "database_reference": {
              "engine": "POSTGRESQL",
              "project_id": "PROJECT_ID",
              "region": "REGION",
              "instance_id": "INSTANCE_ID",
              "database_id": "DATABASE_ID",
              "table_ids": [
                "store.secure_checked_items"
              ]
            }
          }
        },
        "parameterized_secure_view_parameters": {
          "parameters": [
            {
              "key": "app_end_userid",
              "value": "303"
            }
          ]
        }
      },
      "generation_options": {
        "generate_query_result": true,
        "generate_natural_language_answer": true,
        "generate_explanation": true
      }
    }'

Gunakan kolom table_ids di database_reference untuk memastikan QueryData hanya membuat SQL terhadap tampilan aman berparameter store.secure_checked_items. Jika Anda menghilangkan table_ids dan peran database memiliki akses SELECT pada tabel dasar store.checked_items, QueryData mungkin akan mengkueri tabel dasar secara langsung, sehingga mengabaikan tampilan aman. Tentukan nama tampilan yang memenuhi syarat skema karena nama yang tidak memenuhi syarat di table_ids ditetapkan secara default ke skema public.

Ganti kode berikut:

PROJECT_ID: Project ID Google Cloud Anda.
REGION: region tempat instance Cloud SQL untuk PostgreSQL Anda berada.
INSTANCE_ID: ID instance Cloud SQL untuk PostgreSQL Anda.
DATABASE_ID: ID database Cloud SQL untuk PostgreSQL Anda, yaitu database dalam tutorial ini.

Pembersihan

Menghapus instance

Saat menghapus instance yang Anda buat di bagian Sebelum memulai, Anda juga menghapus semua objek yang Anda buat.

Di konsol Google Cloud , buka halaman Cloud SQL.

Buka Cloud SQL
Pilih instance dari daftar.
Klik Hapus.
Konfirmasi bahwa Anda ingin menghapus instance dengan memasukkan nama instance dan mengklik Delete.

Langkah berikutnya

Pelajari tampilan aman berparameter.

Pelajari cara menggunakan tampilan aman berparameter.