SAP HANA 관리자-사용자 프로비저닝

SAP HANA 사용자 및 역할 관리 구성은 HANA 시스템의 아키텍처에 따라 다릅니다. SAP HANA가 BI 플랫폼 도구와 통합되고보고 데이터베이스 역할을하는 경우 최종 사용자와 역할은 응용 프로그램 서버에서 관리됩니다.

최종 사용자가 SAP HANA 데이터베이스에 직접 연결하는 경우 최종 사용자와 관리자 모두에게 HANA 시스템의 데이터베이스 계층에서 사용자와 역할이 필요합니다.

HANA 데이터베이스를 사용하려는 모든 사용자는 필요한 권한이있는 데이터베이스 사용자가 있어야합니다. HANA 시스템에 액세스하는 사용자는 액세스 요구 사항에 따라 기술 사용자 또는 최종 사용자가 될 수 있습니다. 시스템에 성공적으로 로그온 한 후 필요한 작업을 수행 할 수있는 사용자 권한이 확인됩니다. 해당 작업을 실행하는 것은 사용자에게 부여 된 권한에 따라 다릅니다. 이러한 권한은 HANA 보안의 역할을 사용하여 부여 할 수 있습니다. HANA Studio는 HANA 데이터베이스 시스템의 사용자 및 역할을 관리하는 강력한 도구 중 하나입니다.

사용자 유형

사용자 유형은 보안 정책 및 사용자 프로필에 할당 된 다른 권한에 따라 다릅니다. 사용자 유형은 기술 데이터베이스 사용자 또는 최종 사용자 일 수 있습니다. 사용자는 목적을보고하거나 데이터를 조작하기 위해 HANA 시스템에 액세스해야합니다.

표준 사용자

표준 사용자는 자신의 스키마에서 개체를 만들 수 있고 시스템 정보 모델에서 읽기 액세스 권한을 가질 수있는 사용자입니다. 읽기 액세스는 모든 표준 사용자에게 할당 된 PUBLIC 역할에 의해 제공됩니다.

제한된 사용자

제한된 사용자는 일부 애플리케이션으로 HANA 시스템에 액세스하고 HANA 시스템에 대한 SQL 권한이없는 사용자입니다. 이러한 사용자가 생성되면 처음에는 액세스 권한이 없습니다.

제한된 사용자와 표준 사용자를 비교하면-

제한된 사용자는 HANA 데이터베이스 또는 자신의 스키마에 개체를 만들 수 없습니다.
표준 사용자처럼 프로필에 일반 공용 역할이 추가되지 않았기 때문에 데이터베이스의 데이터를 볼 수있는 액세스 권한이 없습니다.
HTTP / HTTPS 만 사용하여 HANA 데이터베이스에 연결할 수 있습니다.

HANA 사용자 관리 및 역할 관리

기술 데이터베이스 사용자는 데이터베이스에 새 개체 만들기, 다른 사용자에게 패키지, 응용 프로그램 등에 대한 권한 할당과 같은 관리 목적으로 만 사용됩니다.

SAP HANA 사용자 관리 활동

비즈니스 요구 사항과 HANA 시스템의 구성에 따라 HANA studio와 같은 사용자 관리 도구를 사용하여 수행 할 수있는 다양한 사용자 활동이 있습니다.

가장 일반적인 활동은 다음과 같습니다.

사용자 생성
사용자에게 역할 부여
역할 정의 및 생성
사용자 삭제
사용자 비밀번호 재설정
로그온 시도가 너무 많이 실패한 후 사용자 재 활성화
필요한 경우 사용자 비활성화

HANA Studio에서 사용자 만들기

시스템 권한 ROLE ADMIN을 가진 데이터베이스 사용자 만 HANA Studio에서 사용자와 역할을 생성 할 수 있습니다. HANA Studio에서 사용자 및 역할을 생성하려면 HANA 관리자 콘솔로 이동하세요. 시스템보기에 보안 탭이 표시됩니다.

보안 탭을 확장하면 사용자 및 역할 옵션이 제공됩니다. 새 사용자를 생성하려면 사용자를 마우스 오른쪽 버튼으로 클릭하고 새 사용자로 이동합니다. 사용자 및 사용자 매개 변수를 정의하는 새 창이 열립니다.

사용자 이름 (권한)을 입력하고 인증 필드에 암호를 입력합니다. 새 사용자의 비밀번호를 저장하는 동안 비밀번호가 적용됩니다. 제한된 사용자를 생성하도록 선택할 수도 있습니다.

지정된 역할 이름은 기존 사용자 또는 역할의 이름과 동일하지 않아야합니다. 암호 규칙에는 최소 암호 길이와 암호에 포함되어야하는 문자 유형 (하위, 대문자, 숫자, 특수 문자)에 대한 정의가 포함됩니다.

SAML, X509 인증서, SAP 로그온 티켓 등과 같은 다양한 인증 방법을 구성 할 수 있습니다. 데이터베이스의 사용자는 다양한 메커니즘으로 인증 할 수 있습니다.

비밀번호를 사용하는 내부 인증 메커니즘.
Kerberos, SAML, SAP 로그온 티켓, SAP 어설 션 티켓 또는 X.509와 같은 외부 메커니즘.
사용자는 한 번에 둘 이상의 메커니즘으로 인증 될 수 있습니다. 그러나 Kerberos에 대해 한 번에 하나의 암호와 하나의 주체 이름 만 유효 할 수 있습니다. 사용자가 데이터베이스 인스턴스에 연결하고 작업 할 수 있도록 하나의 인증 메커니즘을 지정해야합니다.

또한 사용자의 유효성을 정의하는 옵션도 제공합니다. 날짜를 선택하여 유효 간격을 언급 할 수 있습니다. 유효성 사양은 선택적 사용자 매개 변수입니다.

기본적으로 SAP HANA 데이터베이스와 함께 제공되는 일부 사용자 (SYS, SYSTEM, _SYS_REPO, _SYS_STATISTICS)가 있습니다.

이 작업이 완료되면 다음은 사용자 프로필에 대한 권한을 정의하는 것입니다.

사용자 프로필에 대한 권한 유형

사용자 프로필에 추가 할 수있는 다양한 유형의 권한이 있습니다.

부여 된 역할

이것은 내장 sap.hana 역할을 사용자 프로필에 추가하거나 역할 탭에서 생성 된 사용자 지정 역할을 추가하는 데 사용됩니다. 사용자 지정 역할을 사용하면 액세스 요구 사항에 따라 역할을 정의 할 수 있으며 이러한 역할을 사용자 프로필에 직접 추가 할 수 있습니다. 이렇게하면 다양한 액세스 유형에 대해 매번 사용자 프로필에 개체를 기억하고 추가 할 필요가 없습니다.

공공 역할

이것은 일반 역할이며 기본적으로 모든 데이터베이스 사용자에게 지정됩니다. 이 역할에는 시스템보기에 대한 읽기 전용 액세스 권한과 일부 프로 시저에 대한 실행 권한이 포함됩니다. 이러한 역할은 취소 할 수 없습니다.

모델링

SAP HANA 스튜디오에서 정보 모델러를 사용하는 데 필요한 모든 권한이 포함되어 있습니다.

시스템 권한

사용자 프로필에 추가 할 수있는 다양한 유형의 시스템 권한이 있습니다. 사용자 프로필에 시스템 권한을 추가하려면 (+) 기호를 클릭합니다.

시스템 권한은 백업 / 복원, 사용자 관리, 인스턴스 시작 및 중지 등에 사용됩니다.

콘텐츠 관리자

여기에는 MODELING 역할과 유사한 권한이 포함되어 있지만이 역할이 다른 사용자에게 이러한 권한을 부여 할 수 있다는 점이 추가되었습니다. 또한 가져온 개체로 작업 할 수있는 저장소 권한도 포함되어 있습니다.

데이터 관리자

이것은 개체의 데이터를 사용자 프로필에 추가하는 데 필요한 또 다른 유형의 권한입니다.

다음은 몇 가지 일반적인 지원 시스템 권한입니다-

ATTACH DEBUGGER− 다른 사용자가 호출 한 프로 시저 호출의 디버깅 권한을 부여합니다. 또한 해당 프로 시저에 대한 DEBUG 권한이 필요합니다.

AUDIT ADMIN− 다음 감사 관련 명령의 실행을 제어합니다 : CREATE AUDIT POLICY, DROP AUDIT POLICY 및 ALTER AUDIT POLICY 및 감사 구성 변경. 또한 AUDIT_LOG 시스템보기에 대한 액세스를 허용합니다.

AUDIT OPERATOR− 다음 명령의 실행을 승인합니다. ALTER SYSTEM CLEAR AUDIT LOG. 또한 AUDIT_LOG 시스템보기에 대한 액세스를 허용합니다.

BACKUP ADMIN − 백업 및 복구 절차를 정의하고 시작하기위한 BACKUP 및 RECOVERY 명령을 승인합니다.

BACKUP OPERATOR − BACKUP 명령에 권한을 부여하여 백업 프로세스를 시작합니다.

CATALOG READ− 사용자에게 모든 시스템보기에 대해 필터링되지 않은 읽기 전용 액세스 권한을 부여합니다. 일반적으로 이러한보기의 콘텐츠는 액세스하는 사용자의 권한에 따라 필터링됩니다.

CREATE SCHEMA− CREATE SCHEMA 명령을 사용하여 데이터베이스 스키마 생성 권한을 부여합니다. 기본적으로 각 사용자는 하나의 스키마를 소유합니다. 이 권한이있는 사용자는 추가 스키마를 생성 할 수 있습니다.

CREATE STRUCTURED PRIVILEGE− 구조적 권한 (분석 권한) 생성을 승인합니다. 분석 권한의 소유자 만 다른 사용자 또는 역할에 해당 권한을 추가로 부여하거나 취소 할 수 있습니다.

CREDENTIAL ADMIN − 자격 증명 명령 : CREATE / ALTER / DROP CREDENTIAL을 인증합니다.

DATA ADMIN− 시스템보기의 모든 데이터 읽기 권한을 부여합니다. 또한 SAP HANA 데이터베이스에서 모든 DDL (데이터 정의 언어) 명령을 실행할 수 있습니다. 이 권한을 가진 사용자는 액세스 권한이없는 데이터 저장 테이블을 선택하거나 변경할 수 없지만 테이블을 삭제하거나 테이블 정의를 수정할 수 있습니다.

DATABASE ADMIN − CREATE, DROP, ALTER, RENAME, BACKUP, RECOVERY와 같은 다중 데이터베이스의 데이터베이스와 관련된 모든 명령을 인증합니다.

EXPORT− EXPORT TABLE 명령을 통해 데이터베이스의 내보내기 활동을 승인합니다. 이 권한 외에 사용자는 내보낼 소스 테이블에 대한 SELECT 권한이 필요합니다.

IMPORT− IMPORT 명령을 사용하여 데이터베이스에서 가져 오기 작업을 승인합니다. 이 권한 외에 사용자는 가져올 대상 테이블에 대한 INSERT 권한이 필요합니다.

INIFILE ADMIN − 시스템 설정 변경을 승인합니다.

LICENSE ADMIN − 새 라이선스를 설치하기 위해 SET SYSTEM LICENSE 명령을 승인합니다.

LOG ADMIN − ALTER SYSTEM LOGGING [ON | OFF] 명령을 승인하여 로그 비우기 메커니즘을 활성화 또는 비활성화합니다.

MONITOR ADMIN − EVENT에 대한 ALTER SYSTEM 명령을 승인합니다.

OPTIMIZER ADMIN − 쿼리 최적화 프로그램의 동작에 영향을주는 SQL PLAN CACHE 및 ALTER SYSTEM UPDATE STATISTICS 명령과 관련된 ALTER SYSTEM 명령을 승인합니다.

RESOURCE ADMIN− 시스템 리소스와 관련된 명령을 승인합니다. 예를 들어, ALTER SYSTEM RECLAIM DATAVOLUME 및 ALTER SYSTEM RESET MONITORING VIEW가 있습니다. 또한 관리 콘솔에서 사용할 수있는 많은 명령을 승인합니다.

ROLE ADMIN− CREATE ROLE 및 DROP ROLE 명령을 사용하여 역할 생성 및 삭제 권한을 부여합니다. 또한 GRANT 및 REVOKE 명령을 사용하여 역할의 부여 및 취소 권한을 부여합니다.

활성화 된 역할 (생성자가 미리 정의 된 사용자 _SYS_REPO) 인 역할은 다른 역할이나 사용자에게 부여하거나 직접 삭제할 수 없습니다. ROLE ADMIN 권한을 가진 사용자도 그렇게 할 수 없습니다. 활성화 된 개체에 관한 문서를 확인하십시오.

SAVEPOINT ADMIN − ALTER SYSTEM SAVEPOINT 명령을 사용하여 저장 점 프로세스의 실행을 승인합니다.

SAP HANA 데이터베이스의 구성 요소는 새로운 시스템 권한을 생성 할 수 있습니다. 이러한 권한은 시스템 권한의 첫 번째 식별자로 component-name을 사용하고 두 번째 식별자로 componentprivilege-name을 사용합니다.

개체 / SQL 권한

개체 권한은 SQL 권한이라고도합니다. 이러한 권한은 테이블, 뷰 또는 스키마의 선택, 삽입, 업데이트 및 삭제와 같은 개체에 대한 액세스를 허용하는 데 사용됩니다.

다음은 객체 권한의 유형입니다-

런타임에만 존재하는 데이터베이스 개체에 대한 개체 권한입니다.
계산보기와 같이 저장소에서 생성 된 활성화 된 개체에 대한 개체 권한.
저장소에서 생성 된 활성화 된 객체를 포함하는 스키마에 대한 객체 권한.
개체 / SQL 권한은 데이터베이스 개체에 대한 모든 DDL 및 DML 권한의 모음입니다.

다음은 일반적으로 지원되는 객체 권한입니다-

HANA 데이터베이스에는 여러 데이터베이스 개체가 있으므로 모든 권한이 모든 종류의 데이터베이스 개체에 적용되는 것은 아닙니다.

개체 권한 및 데이터베이스 개체에 대한 적용 가능성.

사용자 프로필의 분석 권한

때로는 해당 데이터에 대한 관련 요구 사항이없는 다른 사용자가 동일한보기의 데이터에 액세스 할 수 없어야하는 경우가 있습니다.

분석 권한은 개체 수준에서 HANA 정보보기에 대한 액세스를 제한하는 데 사용됩니다. 분석 권한에서 행 및 열 수준 보안을 적용 할 수 있습니다.

분석 권한은 다음에 사용됩니다.

특정 값 범위에 대한 행 및 열 수준 보안 할당
모델링 뷰에 대한 행 및 열 수준 보안 할당

패키지 권한

SAP HANA 저장소에서 특정 사용자 또는 역할에 대한 패키지 인증을 설정할 수 있습니다. 패키지 권한은 데이터 모델 (분석 또는 계산보기 또는 리포지토리 개체에 대한 액세스)에 대한 액세스를 허용하는 데 사용됩니다. 저장소 패키지에 할당 된 모든 권한은 모든 하위 패키지에도 할당됩니다. 할당 된 사용자 권한을 다른 사용자에게 전달할 수 있는지 여부를 언급 할 수도 있습니다.

사용자 프로필에 패키지 권한을 추가하는 단계-

Step 1− 사용자 생성 아래 HANA studio의 Package 권한 탭을 클릭 → (+) 기호를 선택하여 하나 이상의 패키지를 추가합니다. 여러 패키지를 선택하려면 Ctrl 키를 사용하십시오.
Step 2 − 리포지토리 패키지 선택 대화 상자에서 패키지 이름의 전체 또는 일부를 사용하여 액세스 권한을 부여 할 리포지토리 패키지를 찾습니다.
Step 3 − 액세스 권한을 부여 할 하나 이상의 저장소 패키지를 선택하면 선택한 패키지가 패키지 권한 탭에 나타납니다.

다음 부여 권한은 저장소 패키지에 사용되어 사용자가 객체를 수정할 수 있도록 인증합니다.

REPO.READ − 선택한 패키지 및 디자인 타임 개체에 대한 읽기 액세스 (기본 및 가져 오기 모두)
REPO.EDIT_NATIVE_OBJECTS − 패키지의 개체를 수정할 수있는 권한
Grantable to Others

이에 대해 '예'를 선택하면 할당 된 사용자 권한이 다른 사용자에게 전달됩니다.

응용 프로그램 권한

HANA XS 애플리케이션에 대한 액세스 권한을 정의하는 데 사용되는 사용자 프로필의 애플리케이션 권한입니다. 개별 사용자 또는 사용자 그룹에 할당 할 수 있습니다. 응용 프로그램 권한은 데이터베이스 관리자에게 고급 기능을 제공하고 일반 사용자에게 읽기 전용 액세스를 제공하는 등 동일한 응용 프로그램에 대한 다른 수준의 액세스를 제공하는데도 사용할 수 있습니다.

사용자 프로필에서 응용 프로그램 특정 권한을 정의하거나 사용자 그룹을 추가하려면 다음 권한을 사용해야합니다.

응용 프로그램 권한 파일 (.xsprivileges)
응용 프로그램 액세스 파일 (.xsaccess)
역할 정의 파일 (<RoleName> .hdbrole)