SQL Server Row-Level Security (RLS)

SQL Server 2016 ile duyurulmuş olan satır seviyesinde güvenlik uygulaması kullanıcıların sadece yetkileri oldukları satırlara erişmesini sağlar.

Birçok kullanıcının aynı veri tabanını kullandığı ortamlarda kullanıcılar tablolarda sadece kendilerine ait bilgileri filtreleyerek eriştirmemizi sağlar.

Önemli bir uygulama olan RLS veri tabanı katmanında çalışır. Herhangi bir uygulamadan veriye erişim sağlanmak istendiğinde erişim kısıtlamaları uygulanır. Böylelikle daha iyi bir güvenlik katmanı sağlanır.

RLS Uygulaması:

Veri tabanıma ürün satışları ile ilgili bir tablo oluşturuyorum.

CREATE TABLE UrunSatis (
ID INT IDENTITY(1,1) PRIMARY KEY,
Kisi NVARCHAR(10),
Ulke NVARCHAR(10),
SatisMiktari DECIMAL(10, 2)
);

CREATE TABLE UrunSatis (

ID INT IDENTITY(1,1) PRIMARY KEY,

Kisi NVARCHAR(10),

Ulke NVARCHAR(10),

SatisMiktari DECIMAL(10, 2)

);

Satış tabloma satışlardan sorumlu personelin adı, satışın yapıldığı ülke ve miktarı giriyorum.

INSERT INTO UrunSatis (Kisi, Ulke, SatisMiktari) VALUES
('User1', 'Türkiye', 680),
('User3', 'USA', 1200),
('User2', 'Germany', 2300),
('User1', 'Türkiye', 750),
('User3', 'USA', 1100),
('User2', 'Germany', 790);

INSERT INTO UrunSatis (Kisi, Ulke, SatisMiktari) VALUES

('User1', 'Türkiye', 680),

('User3', 'USA', 1200),

('User2', 'Germany', 2300),

('User1', 'Türkiye', 750),

('User3', 'USA', 1100),

('User2', 'Germany', 790);

Bu satırlardan yer alan kişilerin sadece kendi satış bilgilerini görmelerini sağalacağım.

Üç kullanıcı için hesap oluşturuyorum.

CREATE USER User1 WITHOUT LOGIN;
CREATE USER User2 WITHOUT LOGIN;
CREATE USER User3 WITHOUT LOGIN;

CREATE USER User1 WITHOUT LOGIN;

CREATE USER User2 WITHOUT LOGIN;

CREATE USER User3 WITHOUT LOGIN;

Kullanıcılara tablodan veri çekmek yetkisi veriyorum.

GRANT SELECT ON UrunSatis TO User1;
GRANT SELECT ON UrunSatis TO User2;
GRANT SELECT ON UrunSatis TO User3;

GRANT SELECT ON UrunSatis TO User1;

GRANT SELECT ON UrunSatis TO User2;

GRANT SELECT ON UrunSatis TO User3;

Satırları kullanıcıya göre filtreleyen bir fonksiyon oluşturuyorum.

CREATE FUNCTION dbo.fn_SalesSecurity(@Kisi AS sysname)
RETURNS TABLE
WITH SCHEMABINDING
AS
RETURN SELECT 1 AS fn_SalesSecurity_Sonuc
WHERE @Kisi = USER_NAME();

CREATE FUNCTION dbo.fn_SalesSecurity(@Kisi AS sysname)

RETURNS TABLE

WITH SCHEMABINDING

RETURN SELECT 1 AS fn_SalesSecurity_Sonuc

WHERE @Kisi = USER_NAME();

Son olarak ise bir güvenlik politikası oluşturuyorum. Bu politika tabloya her erişimde filtrelemeyi zorunlu olarak uygulayacaktır.

CREATE SECURITY POLICY SatisGüvenlikPolitikasi
ADD FILTER PREDICATE dbo.fn_SalesSecurity(Kisi)
ON dbo.UrunSatis
WITH (STATE = ON);

CREATE SECURITY POLICY SatisGüvenlikPolitikasi

ADD FILTER PREDICATE dbo.fn_SalesSecurity(Kisi)

ON dbo.UrunSatis

WITH (STATE = ON);

Bu aşamadan son kullanıcılar (User1,User2 ve User3) sadece kendi verilerini görebilirler.

EXECUTE AS USER = 'User1';
SELECT * FROM UrunSatis;
REVERT;

EXECUTE AS USER = 'User1';

SELECT * FROM UrunSatis;

REVERT;

EXECUTE AS USER = 'User2';
SELECT * FROM UrunSatis;
REVERT;

EXECUTE AS USER = 'User2';

SELECT * FROM UrunSatis;

REVERT;

EXECUTE AS USER = 'User3';
SELECT * FROM UrunSatis;
REVERT;

EXECUTE AS USER = 'User3';

SELECT * FROM UrunSatis;

REVERT;

Sorgunun planına baktığımızda “predicates” bölümünde filtreyi görmekteyiz.

Güvenlik politikasını aşağıdaki komut ile devre dışı bırakabiliriz.

Alter Security Policy SatisGuvenlikPolitikasi with (State = off)

Fonksiyona farklı değişkenler de ekleyebiliriz. Örneğin son yılın verisini gözükmesini isteyebiliriz.

CREATE FUNCTION dbo.fn_SalesSecurity(@Kisi AS sysname)
RETURNS TABLE
WITH SCHEMABINDING
AS
RETURN SELECT 1 AS fn_SalesSecurity_Sonuc
WHERE @Kisi = USER_NAME();
AND @tarih = getdate() -365

CREATE FUNCTION dbo.fn_SalesSecurity(@Kisi AS sysname)

RETURNS TABLE

WITH SCHEMABINDING

RETURN SELECT 1 AS fn_SalesSecurity_Sonuc

WHERE @Kisi = USER_NAME();

AND @tarih = getdate() -365

İşlemleri geri almak için fonksiyon ve güvenlik politikası silinebilir.

DROP SECURITY POLICY SatisGuvenlikPolitikasi;
DROP FUNCTION dbo.fn_SalesSecurity;

1 2	DROP SECURITY POLICY SatisGuvenlikPolitikasi; DROP FUNCTION dbo.fn_SalesSecurity;

Kaynak:

https://learn.microsoft.com/en-us/sql/relational-databases/security/row-level-security?view=sql-server-ver16

Paylaş

Ortaç DEMİREL

MCT

SQL Server Row-Level Security (RLS)

Leave a Reply Cancel reply