Administrator SAP HANA - obsługa administracyjna użytkowników

Konfiguracja zarządzania użytkownikami i rolami SAP HANA zależy od architektury systemu HANA. Jeśli SAP HANA jest zintegrowany z narzędziami platformy BI i działa jako baza danych raportowania, to użytkownik końcowy i rola są zarządzane na serwerze aplikacji.

Jeśli użytkownik końcowy łączy się bezpośrednio z bazą danych SAP HANA, to użytkownik i rola w warstwie bazy danych systemu HANA jest wymagana zarówno dla użytkowników końcowych, jak i administratorów.

Każdy użytkownik chcący pracować z bazą danych HANA musi mieć użytkownika bazy danych z niezbędnymi uprawnieniami. Użytkownik uzyskujący dostęp do systemu HANA może być użytkownikiem technicznym lub końcowym w zależności od wymagań dostępu. Po pomyślnym zalogowaniu się do systemu weryfikowane są uprawnienia użytkownika do wykonania wymaganej operacji. Wykonanie tej operacji zależy od uprawnień nadanych użytkownikowi. Te uprawnienia można nadać przy użyciu ról w HANA Security. HANA Studio to jedno z potężnych narzędzi do zarządzania użytkownikami i rolami systemu bazodanowego HANA.

Typy użytkowników

Typy użytkowników różnią się w zależności od zasad zabezpieczeń i różnych uprawnień przypisanych do profilu użytkownika. Typ użytkownika może być użytkownikiem technicznej bazy danych lub użytkownikiem końcowym. Użytkownik potrzebuje dostępu do systemu HANA w celu zgłoszenia celu lub manipulacji danymi.

Użytkownicy standardowi

Użytkownicy standardowi to użytkownicy, którzy mogą tworzyć obiekty we własnych schematach i mają dostęp do odczytu w modelach informacyjnych systemu. Dostęp do odczytu zapewnia rola PUBLIC, która jest przypisana każdemu standardowemu użytkownikowi.

Użytkownicy z ograniczeniami

Użytkownicy z ograniczeniami to użytkownicy, którzy uzyskują dostęp do systemu HANA za pomocą niektórych aplikacji i nie mają uprawnień SQL w systemie HANA. Po utworzeniu tych użytkowników początkowo nie mają oni żadnego dostępu.

Jeśli porównamy użytkowników z ograniczeniami z użytkownikami standardowymi -

Użytkownicy z ograniczeniami nie mogą tworzyć obiektów w bazie danych HANA ani własnych schematów.
Nie mają dostępu do przeglądania żadnych danych w bazie danych, ponieważ nie mają dodanej do profilu ogólnej roli publicznej, takiej jak zwykli użytkownicy.
Mogą łączyć się z bazą danych HANA tylko przy użyciu protokołu HTTP / HTTPS.

Administracja użytkownikami HANA i zarządzanie rolami

Techniczni użytkownicy baz danych są wykorzystywani wyłącznie do celów administracyjnych, takich jak tworzenie nowych obiektów w bazie danych, nadawanie uprawnień innym użytkownikom, na pakietach, aplikacjach itp.

Działania związane z administrowaniem użytkownikami SAP HANA

W zależności od potrzeb biznesowych i konfiguracji systemu HANA, istnieją różne czynności użytkownika, które można wykonać przy użyciu narzędzi administracyjnych takich jak studio HANA.

Do najczęściej wykonywanych czynności należą:

Utwórz użytkowników
Przyznaj role użytkownikom
Zdefiniuj i utwórz role
Usuń użytkowników
Zresetuj hasła użytkowników
Ponownie aktywuj użytkowników po zbyt wielu nieudanych próbach logowania
Dezaktywuj użytkowników, gdy jest to wymagane

Utwórz użytkowników w HANA Studio

Tylko użytkownicy bazy danych z uprawnieniem ROLE ADMIN mogą tworzyć użytkowników i role w HANA Studio. Aby utworzyć użytkowników i role w HANA Studio, przejdź do konsoli administratora HANA. Zobaczysz zakładkę bezpieczeństwa w widoku systemu.

Po rozwinięciu zakładki bezpieczeństwa daje ona opcję użytkownika i ról. Aby utworzyć nowego użytkownika, kliknij prawym przyciskiem myszy użytkownika i przejdź do Nowego użytkownika. Otworzy się nowe okno, w którym można zdefiniować parametry użytkownika i użytkownika.

Wprowadź nazwę użytkownika (mandat) iw polu Uwierzytelnianie wprowadź hasło. Hasło jest stosowane podczas zapisywania hasła dla nowego użytkownika. Możesz także utworzyć użytkownika z ograniczonym dostępem.

Podana nazwa roli nie może być identyczna z nazwą istniejącego użytkownika lub roli. Zasady dotyczące haseł obejmują minimalną długość hasła oraz określenie, jakie typy znaków (dolna, górna, cyfra, znaki specjalne) muszą być częścią hasła.

Można skonfigurować różne metody autoryzacji, takie jak SAML, certyfikaty X509, bilet logowania SAP itp. Użytkownicy w bazie danych mogą być uwierzytelniani za pomocą różnych mechanizmów -

Mechanizm uwierzytelniania wewnętrznego za pomocą hasła.
Mechanizmy zewnętrzne, takie jak Kerberos, SAML, SAP Logon Ticket, SAP Assertion Ticket czy X.509.
Użytkownik może być jednocześnie uwierzytelniany przez więcej niż jeden mechanizm. Jednak jednocześnie tylko jedno hasło i jedna nazwa główna protokołu Kerberos mogą być ważne. Należy określić jeden mechanizm uwierzytelniania, aby umożliwić użytkownikowi połączenie się i pracę z instancją bazy danych.

Daje również możliwość określenia ważności użytkownika. Możesz wspomnieć o okresie ważności, wybierając daty. Określenie ważności jest opcjonalnym parametrem użytkownika.

Istnieje kilku użytkowników, którzy są domyślnie dostarczani z bazą danych SAP HANA: SYS, SYSTEM, _SYS_REPO, _SYS_STATISTICS.

Gdy to zrobisz, następnym krokiem jest zdefiniowanie uprawnień dla profilu użytkownika.

Rodzaje uprawnień do profilu użytkownika

Istnieją różne typy uprawnień, które można dodać do profilu użytkownika.

Przyznana rola

Służy do dodawania wbudowanych ról sap.hana do profilu użytkownika lub do dodawania ról niestandardowych utworzonych na karcie Role. Role niestandardowe umożliwiają definiowanie ról zgodnie z wymaganiami dostępu i można je dodawać bezpośrednio do profilu użytkownika. Eliminuje to potrzebę zapamiętywania i dodawania obiektów do profilu użytkownika za każdym razem dla różnych typów dostępu.

Rola publiczna

Jest to rola ogólna i jest domyślnie przypisywana wszystkim użytkownikom bazy danych. Ta rola obejmuje dostęp tylko do odczytu do widoków systemowych i uprawnienia do wykonywania niektórych procedur. Tych ról nie można cofnąć.

Modelowanie

Zawiera wszystkie uprawnienia wymagane do korzystania z narzędzia do modelowania informacji w studiu SAP HANA.

Uprawnienia systemowe

Istnieją różne typy uprawnień systemowych, które można dodać do profilu użytkownika. Aby dodać uprawnienia systemowe do profilu użytkownika, kliknij znak (+).

Uprawnienia systemowe służą do tworzenia kopii zapasowych / przywracania, administrowania użytkownikami, uruchamiania i zatrzymywania instancji itp.

Administrator treści

Zawiera podobne uprawnienia jak w roli MODELOWANIE, ale z tym że rola ta może nadawać te uprawnienia innym użytkownikom. Zawiera również uprawnienia repozytorium do pracy z importowanymi obiektami.

Administrator danych

Jest to kolejny typ uprawnienia wymagany do dodawania danych z obiektów do profilu użytkownika.

Poniżej przedstawiono niektóre typowe obsługiwane uprawnienia systemowe -

ATTACH DEBUGGER- Autoryzuje debugowanie wywołania procedury, wywołanego przez innego użytkownika. Ponadto wymagane jest uprawnienie DEBUG do odpowiedniej procedury.

AUDIT ADMIN- Kontroluje wykonywanie następujących poleceń związanych z audytem: UTWÓRZ POLITYKĘ AUDYTU, UPUŚĆ POLITYKĘ AUDYTU i ZMIEŃ POLITYKĘ AUDYTU oraz zmiany konfiguracji kontroli. Umożliwia również dostęp do widoku systemu AUDIT_LOG.

AUDIT OPERATOR- Autoryzuje wykonanie następującego polecenia: ALTER SYSTEM CLEAR AUDIT LOG. Umożliwia również dostęp do widoku systemu AUDIT_LOG.

BACKUP ADMIN - Autoryzuje polecenia BACKUP i RECOVERY do definiowania i inicjowania procedur tworzenia kopii zapasowych i odzyskiwania.

BACKUP OPERATOR - upoważnia polecenie BACKUP do zainicjowania procesu tworzenia kopii zapasowej.

CATALOG READ- Zezwala użytkownikom na niefiltrowany dostęp tylko do odczytu do wszystkich widoków systemu. Zwykle zawartość tych widoków jest filtrowana na podstawie uprawnień użytkownika uzyskującego dostęp.

CREATE SCHEMA- Autoryzuje tworzenie schematów bazy danych za pomocą polecenia CREATE SCHEMA. Domyślnie każdy użytkownik jest właścicielem jednego schematu. Z tym uprawnieniem użytkownik może tworzyć dodatkowe schematy.

CREATE STRUCTURED PRIVILEGE- Zezwala na tworzenie uprawnień strukturalnych (uprawnień analitycznych). Tylko właściciel uprawnienia analitycznego może dalej nadawać lub cofać to uprawnienie innym użytkownikom lub rolom.

CREDENTIAL ADMIN - Autoryzuje polecenia poświadczeń: CREATE / ALTER / DROP CREDENTIAL.

DATA ADMIN- Uprawnia do odczytu wszystkich danych w widokach systemu. Umożliwia także wykonywanie dowolnych poleceń języka definicji danych (DDL) w bazie danych SAP HANA. Użytkownik mający to uprawnienie nie może wybierać ani zmieniać tabel przechowywanych z danymi, do których nie ma uprawnień dostępu, ale może usuwać tabele lub modyfikować definicje tabel.

DATABASE ADMIN - Autoryzuje wszystkie polecenia związane z bazami danych w wielu bazach danych, takie jak CREATE, DROP, ALTER, RENAME, BACKUP, RECOVERY.

EXPORT- Autoryzuje eksport w bazie danych za pomocą polecenia EXPORT TABLE. Należy zauważyć, że oprócz tego uprawnienia użytkownik wymaga uprawnienia SELECT do tabel źródłowych, które mają zostać wyeksportowane.

IMPORT- Autoryzuje operacje importu w bazie danych za pomocą poleceń IMPORT. Należy zauważyć, że oprócz tego uprawnienia użytkownik wymaga uprawnienia INSERT do importowanych tabel docelowych.

INIFILE ADMIN - Uprawnia do zmiany ustawień systemowych.

LICENSE ADMIN - Autoryzuje polecenie SET SYSTEM LICENSE do zainstalowania nowej licencji.

LOG ADMIN - Autoryzuje polecenia ALTER SYSTEM LOGGING [ON | OFF] w celu włączenia lub wyłączenia mechanizmu opróżniania dziennika.

MONITOR ADMIN - Autoryzuje polecenia ALTER SYSTEM dla ZDARZEŃ.

OPTIMIZER ADMIN - Autoryzuje polecenia ALTER SYSTEM dotyczące poleceń SQL PLAN CACHE i ALTER SYSTEM UPDATE STATISTICS, które mają wpływ na zachowanie optymalizatora zapytań.

RESOURCE ADMIN- Autoryzuje polecenia dotyczące zasobów systemowych. Na przykład ALTER SYSTEM RECLAIM DATAVOLUME i ALTER SYSTEM RESET MONITORING VIEW. Autoryzuje również wiele poleceń dostępnych w konsoli zarządzania.

ROLE ADMIN- Autoryzuje tworzenie i usuwanie ról za pomocą poleceń CREATE ROLE i DROP ROLE. Uprawnia również do nadawania i odbierania ról za pomocą poleceń GRANT i REVOKE.

Role aktywowane, czyli role, których twórcą jest wstępnie zdefiniowany użytkownik _SYS_REPO, nie mogą być nadawane innym rolom lub użytkownikom ani bezpośrednio usuwane. Użytkownicy z uprawnieniami ROLA ADMINISTRATORA również nie mogą tego zrobić. Sprawdź dokumentację dotyczącą aktywowanych obiektów.

SAVEPOINT ADMIN - Autoryzuje wykonanie procesu punktu zapisu za pomocą polecenia ALTER SYSTEM SAVEPOINT.

Komponenty bazy danych SAP HANA mogą tworzyć nowe uprawnienia systemowe. Te uprawnienia używają nazwy komponentu jako pierwszego identyfikatora uprawnienia systemowego i nazwy uprawnienia komponentu jako drugiego identyfikatora.

Uprawnienia do obiektów / SQL

Uprawnienia do obiektów są również znane jako uprawnienia SQL. Te uprawnienia są używane, aby umożliwić dostęp do obiektów, takich jak wybieranie, wstawianie, aktualizowanie i usuwanie tabel, widoków lub schematów.

Poniżej przedstawiono typy uprawnień do obiektów -

Uprawnienia do obiektów dotyczące obiektów bazy danych, które istnieją tylko w środowisku wykonawczym.
Uprawnienia do obiektów dla aktywowanych obiektów utworzonych w repozytorium, takich jak widoki obliczeniowe.
Uprawnienie do obiektu na schemacie zawierającym aktywowane obiekty utworzone w repozytorium.
Uprawnienia do obiektów / SQL to zbiór wszystkich uprawnień DDL i DML dotyczących obiektów bazy danych.

Poniżej przedstawiono niektóre powszechnie obsługiwane uprawnienia do obiektów -

W bazie danych HANA znajduje się wiele obiektów bazy danych, więc nie wszystkie uprawnienia mają zastosowanie do wszystkich rodzajów obiektów bazy danych.

Uprawnienia do obiektów i ich zastosowanie do obiektów bazy danych.

Uprawnienia analityczne w profilu użytkownika

Czasami wymagane jest, aby dane w tym samym widoku nie były dostępne dla innych użytkowników, którzy nie mają żadnych odpowiednich wymagań dotyczących tych danych.

Uprawnienia analityczne służą do ograniczania dostępu do widoków informacji HANA na poziomie obiektu. W uprawnieniach analitycznych możemy zastosować zabezpieczenia na poziomie wierszy i kolumn.

Uprawnienia analityczne są używane do -

Alokacja zabezpieczeń na poziomie wiersza i kolumny dla określonego zakresu wartości
Alokacja zabezpieczeń na poziomie wierszy i kolumn dla widoków modelowania

Uprawnienia do pakietu

W repozytorium SAP HANA można ustawić autoryzacje pakietów dla określonego użytkownika lub dla roli. Uprawnienia do pakietów są używane w celu umożliwienia dostępu do modeli danych - widoków analitycznych lub obliczeniowych lub do obiektów repozytorium. Wszystkie uprawnienia przypisane do pakietu repozytorium są również przypisane do wszystkich pakietów podrzędnych. Możesz również wspomnieć, czy przypisane uprawnienia użytkowników mogą zostać przekazane innym użytkownikom.

Kroki, aby dodać uprawnienia pakietu do profilu użytkownika -

Step 1- Kliknij kartę Uprawnienia pakietu w studiu HANA w obszarze Tworzenie użytkownika → Wybierz znak (+), aby dodać jeden lub więcej pakietów. Użyj klawisza Ctrl, aby wybrać wiele pakietów.
Step 2 - W oknie dialogowym Wybierz pakiet repozytorium użyj całości lub części nazwy pakietu, aby zlokalizować pakiet repozytorium, do którego chcesz zezwolić na dostęp.
Step 3 - Wybierz jeden lub więcej pakietów repozytorium, do których chcesz autoryzować dostęp, wybrane pakiety pojawią się na karcie Uprawnienia do pakietu.

Następujące uprawnienia są używane w pakietach repozytorium, aby autoryzować użytkownika do modyfikowania obiektów -

REPO.READ - Dostęp do odczytu do wybranego pakietu i obiektów czasu projektowania (zarówno natywnych, jak i importowanych)
REPO.EDIT_NATIVE_OBJECTS - Uprawnienia do modyfikacji obiektów w pakietach
Grantable to Others

Jeśli wybierzesz w tym celu opcję „Tak”, pozwoli to przypisanym uprawnieniom użytkownika przekazać innym użytkownikom.

Uprawnienia aplikacji

Uprawnienia aplikacji w profilu użytkownika służącym do definiowania uprawnień dostępu do aplikacji HANA XS. Można to przypisać do pojedynczego użytkownika lub do grupy użytkowników. Uprawnienia aplikacji mogą być również wykorzystywane do zapewniania różnych poziomów dostępu do tej samej aplikacji, na przykład w celu zapewnienia zaawansowanych funkcji administratorom baz danych i dostępu w trybie tylko do odczytu zwykłym użytkownikom.

Aby zdefiniować uprawnienia specyficzne dla aplikacji w profilu użytkownika lub dodać grupę użytkowników, należy użyć następujących uprawnień -

Plik uprawnień aplikacji (.xsprivileges)
Plik dostępu do aplikacji (.xsaccess)
Plik definicji roli (<RoleName> .hdbrole)