新建数据库控制策略

授权用户登录策略关联的数据库资源，当数据库运维会话触发规则，将会拦截数据库会话操作。

数据库控制策略支持以下功能项：

1 支持按策略列表页策略排序区分优先级，排序越靠前优先级越高。

2 支持控制允许执行、拒绝执行、断开连接、动态授权四种命令动作。

• 允许执行：默认允许执行所有操作。当触发策略规则后，放行规则集中操作。
• 拒绝执行：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截”。
• 断开连接：触发该策略规则后，拒绝执行该操作，断开会话连接，界面提示“本次连接已被管理员强制断开！”
• 动态授权：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截，请提交数据库授权工单申请动态授权”，同时生成数据库授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。

约束限制

• 仅专业版云堡垒机支持数据库运维操作审计。
• 仅针对MySQL和Oracle类型数据库，支持通过数据库控制策略设置操作细粒度控制。

前提条件

已获取“数据库控制策略”模块操作权限。

新建数据库控制策略

1 登录云堡垒机系统。

2 选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。

数据库控制策略页面

3 单击“新建”，弹出策略基本信息配置窗口。

说明

选择一个策略，单击“更多 > 插入”，亦可新建数据库控制策略。配置完成后，在已创建的策略前新建一个策略。

4 配置策略基本信息。

配置策略基本信息

策略基本信息参数说明

5 单击“下一步”，关联规则集。

选择规则集。详细规则集说明请参见 管理规则集。

选择规则集

6 单击“下一步”，关联用户或用户组，选择用户或用户组。

当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。

选择用户

7 单击“下一步”，关联资源账户或帐户组，选择数据库资源账户或帐户组。

当帐户组关联策略后，新帐户加入到帐户组中会自动继承帐户组的策略权限。

选择资源账户

8 单击“确定”，返回策略列表页面，查看新建的数据库控制策略。

用户在运维过程中，触发策略规则，即会被限制相关操作。

说明

“关联用户”和“关联用户组”中用户需提交数据库授权工单权限，即已配置拥有数据库授权工单权限的“角色”。否则用户登录系统后无法查看数据库授权工单模块，不能提交工单获取权限。

后续管理

数据库控制策略创建完成后，可在策略列表页面，管理已创建策略，包括管理关联用户或资源、删除策略、启停策略、策略排序等。

• 若需补充关联用户或资源，可单击“关联”，快速关联用户、用户组、资源账户、帐户组。
• 若需删除策略，可选择目标策略，单击“删除”，立即删除策略。
• 若需禁用策略授权，可勾选一个或多个“已启用”状态的策略，单击“禁用”，策略状态变更为“已禁用”，策略授权立即失效。
• 若需排序策略优先等级，可选中策略行上下拖动策略，改变策略排序。

查询和修改数据库控制策略

若数据库控制策略有变更，例如运维人员有变动，授权资源权限有变化等。可查看和修改已创建的策略配置，包括修改策略基本信息、修改关联规则集、修改关联用户或用户组、修改关联资源账户或帐户组等。

• 修改策略配置，且策略状态为“已启用”时，策略规则才生效。
• 修改策略配置后，若关联用户已登录资源，需退出登录重新连接，相关策略规则在下一次运维操作时才会生效。

前提条件

已获取“数据库控制策略”模块操作权限。

查看和修改策略配置

1 登录云堡垒机系统。

2 选择“策略 > 数据库控制策略”，进入数据库控制策略列表页面。

3 查询数据库控制策略。

• 快速查询

在搜索框中输入关键字，根据策略名称、用户、资源名称、主机地址、资源账户、规则集名称等快速查询策略。

• 高级搜索

在相应属性搜索框中分别关键字，精确查询策略。

高级搜索

4 单击目标策略名称，或者单击“管理”，进入策略详情页面。

查看策略配置

5 查看和修改策略基本信息。

在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改策略的基本信息。

可修改信息包括“策略名称”、“有效期”、“执行动作”、“时间限制”等。

查看策略基本信息

6 查看和修改策略关联的规则集。

• 在“规则集”区域，单击“编辑”，弹出关联规则集窗口，可立即添加或移除关联的规则集。

• 在相应规则集行，单击“移除”，可立即删除该关联规则集。

查看关联规则集

7 查看和修改策略关联的用户。

• 在“用户”区域，单击“编辑”，弹出关联用户窗口，可立即添加或移除关联的用户。

• 在相应用户行，单击“移除”，可立即删除该关联用户，取消授权。

查看关联用户

8 查看和修改策略关联的用户组。

• 在“用户组”区域，单击“编辑”，弹出关联用户组窗口，可立即添加或移除关联的用户组。

• 在相应用户组行，单击“移除”，可立即删除该关联用户组，取消授权。

查看关联用户组

9 查看和修改策略关联的资源账户。

• 在“资源账户”区域，单击“编辑”，弹出关联资源账户窗口，可立即添加或移除关联的资源账户。

• 在相应资源账户行，单击“移除”，可立即删除该资源账户，取消授权。

查看关联资源账户

10 查看和修改策略关联的帐户组。

• 在“帐户组”区域，单击“编辑”，弹出关联帐户组窗口，可立即添加或移除关联的帐户组。

• 在相应帐户组行，单击“移除”，可立即删除该帐户组，取消授权。

查看关联帐户组

管理规则集

为简化添加大量数据库规则的繁琐操作，可通过创建规则集并添加规则。

云堡垒机预置29种常见数据库操作命令，包括ALTER、TRUNCATE、EXECUTE、INSERT、DELETE、UPDATE、SELECT、GRANT、REVOKE、HANDLER、DEALLOCATE、SET、COMMIT、ROLLBACK、PREPARE、CREATEINDEX、DROPINDEX、CREATEFUNCTION、DROPFUNCTION、CREATEVIEW、DROPVIEW、CREATEDATABASE、DROPDATABASE、CREATEPROCEDURE、DROPPROCEDURE、DROPPROCEDURE、CREATETABLE、DROPTABLE、CALL、ACCESS。

本小节主要介绍如何新建关联规则集、查看规则集、修改规则集、删除复制集。

前提条件

已获取“数据库控制策略”模块操作权限。

新建规则集

1 登录云堡垒机系统。

2 选择“策略 > 数据库控制策略 > 规则集”，进入规则集列表页面。

规则集列表

3 创建规则集。

单击“新建”，弹出规则集基本信息配置窗口。

配置规则集名称和选择协议。

• 系统内“规则集名称”不能重复。

目前仅支持选择MySQL和Oracle两种数据库协议类型，且选定后不可修改。

单击“确定”，返回规则集列表页面，查看新建的规则集。

新建规则集

4 添加规则。

在目标规则集行，单击“操作”列的“添加规则”，弹出添加规则窗口。

添加规则集的库、表和命令规则。

添加规则参数说明

单击“确定”，规则添加完成。

添加规则

查询和修改规则集

1 登录云堡垒机系统。

2 选择“策略 > 数据库控制策略 > 规则集”，进入规则集列表页面。

规则集列表

3 查询规则集。

快速查询：在搜索框中输入关键字，根据规则集名称快速查询策略。

4 单击规则集名称，或者单击“管理”，进入规则集详情页面。

规则集详情

5 查看和修改规则集基本信息。

在“基本信息”区域，单击“编辑”，弹出基本信息编辑窗口，即可修改规则集的基本信息。

可修改信息包括“规则集名称”，“协议”、“部门”不可修改。

6 查看和修改规则。

• 在“规则”区域，单击“添加”，弹出添加规则窗口，可立即添加库、表、命令规则。

• 单击“移除”，可立即删除该规则。

查看规则集

删除规则集

1 登录云堡垒机系统。

2 选择“策略 > 数据库控制策略 > 规则集”，进入规则集列表页面。

3 单击指定规则集“操作”列的“删除”，可删除该规则集。

4 同时勾选多个规则集，单击列表下方的“删除”，可以批量删除多个规则集。