SAP HANA Admin - Kullanıcı Sağlama

SAP HANA kullanıcı ve rol yönetimi yapılandırması, HANA sisteminizin mimarisine bağlıdır. SAP HANA, BI platform araçlarıyla entegre edilirse ve bir raporlama veritabanı görevi görürse, son kullanıcı ve rol uygulama sunucusunda yönetilir.

Son kullanıcı doğrudan SAP HANA veritabanına bağlanırsa, kullanıcı ve HANA sisteminin veritabanı katmanındaki rol hem son kullanıcılar hem de yöneticiler için gereklidir.

HANA veritabanı ile çalışmak isteyen her kullanıcının gerekli yetkilere sahip bir veritabanı kullanıcısına sahip olması gerekir. HANA sistemine erişen kullanıcı, erişim gereksinimine bağlı olarak teknik kullanıcı veya son kullanıcı olabilir. Sistemde başarılı bir şekilde oturum açıldıktan sonra, kullanıcının gerekli işlemi gerçekleştirme yetkisi doğrulanır. Bu işlemin yürütülmesi, kullanıcıya verilen ayrıcalıklara bağlıdır. Bu ayrıcalıklar, HANA Security içindeki roller kullanılarak verilebilir. HANA Studio, kullanıcıyı ve HANA veritabanı sisteminin rollerini yönetmek için güçlü araçlardan biridir.

Kullanıcı Türleri

Kullanıcı türleri, güvenlik politikalarına ve kullanıcı profiline atanan farklı ayrıcalıklara göre değişir. Kullanıcı türü, teknik veritabanı kullanıcısı veya son kullanıcı olabilir. Kullanıcının amacı bildirmek veya veri manipülasyonu için HANA sistemine erişmesi gerekir.

Standart Kullanıcılar

Standart kullanıcılar, kendi Şemalarında nesne oluşturabilen ve sistem Bilgi modellerinde Okuma erişimine sahip olan kullanıcılardır. Okuma erişimi, her standart kullanıcıya atanan PUBLIC rolü tarafından sağlanır.

Kısıtlanmış Kullanıcılar

Kısıtlı kullanıcılar, HANA sistemine bazı uygulamalarla erişen ve HANA sisteminde SQL ayrıcalıklarına sahip olmayan kullanıcılardır. Bu kullanıcılar oluşturulduklarında başlangıçta herhangi bir erişimleri yoktur.

Kısıtlanmış kullanıcıları Standart kullanıcılarla karşılaştırırsak -

Kısıtlı kullanıcılar, HANA veritabanında veya kendi Şemalarında nesne oluşturamaz.
Standart kullanıcılar gibi profile eklenmiş genel Genel rolü olmadığından veritabanındaki herhangi bir veriyi görüntüleme erişimleri yoktur.
HANA veritabanına yalnızca HTTP / HTTPS kullanarak bağlanabilirler.

HANA Kullanıcıları Yönetimi ve Rol Yönetimi

Teknik veritabanı kullanıcıları, yalnızca veritabanında yeni nesneler oluşturmak, diğer kullanıcılara ayrıcalıklar atamak, paketler, uygulamalar vb. Gibi yönetimsel amaçlarla kullanılır.

SAP HANA Kullanıcı Yönetimi Faaliyetleri

İş ihtiyaçlarına ve HANA sisteminin konfigürasyonuna bağlı olarak, HANA studio gibi kullanıcı yönetim araçları kullanılarak gerçekleştirilebilecek farklı kullanıcı etkinlikleri vardır.

En yaygın faaliyetler şunları içerir:

Kullanıcı oluşturun
Kullanıcılara rol verin
Rolleri tanımlayın ve oluşturun
Kullanıcıları silin
Kullanıcı şifrelerini sıfırlayın
Çok sayıda başarısız oturum açma girişiminden sonra kullanıcıları yeniden etkinleştirin
Gerektiğinde kullanıcıları devre dışı bırakın

HANA Studio'da Kullanıcılar Oluşturun

Yalnızca ROLE ADMIN sistem ayrıcalığına sahip veritabanı kullanıcılarının HANA Studio'da kullanıcılar ve roller oluşturmasına izin verilir. HANA Studio'da kullanıcılar ve roller oluşturmak için HANA Yönetici Konsolu'na gidin. Güvenlik sekmesini Sistem görünümünde göreceksiniz.

Güvenlik sekmesini genişlettiğinizde, bir Kullanıcı ve Roller seçeneği sunar. Yeni bir kullanıcı oluşturmak için Kullanıcıya sağ tıklayın ve Yeni Kullanıcı'ya gidin. Kullanıcı ve Kullanıcı parametrelerini tanımladığınız yeni bir pencere açılacaktır.

Kullanıcı adını (yetki) girin ve Kimlik Doğrulama alanına parolayı girin. Yeni bir kullanıcı için şifre kaydedilirken şifre uygulanır. Ayrıca kısıtlı bir kullanıcı oluşturmayı da seçebilirsiniz.

Belirtilen rol adı, mevcut bir kullanıcının veya rolün adıyla aynı olmamalıdır. Parola kuralları, minimum parola uzunluğunu ve hangi karakter türlerinin (alt, üst, rakam, özel karakterler) parolanın parçası olması gerektiğinin bir tanımını içerir.

SAML, X509 sertifikaları, SAP Logon bileti vb. Gibi farklı yetkilendirme yöntemleri yapılandırılabilir. Veritabanındaki kullanıcılar çeşitli mekanizmalarla doğrulanabilir -

Parola kullanan dahili kimlik doğrulama mekanizması.
Kerberos, SAML, SAP Logon Ticket, SAP Assertion Ticket veya X.509 gibi harici mekanizmalar.
Bir kullanıcının kimliği aynı anda birden fazla mekanizma ile doğrulanabilir. Ancak aynı anda Kerberos için yalnızca bir parola ve bir asıl ad geçerli olabilir. Kullanıcının veritabanı örneğine bağlanmasına ve onunla çalışmasına izin vermek için bir kimlik doğrulama mekanizması belirtilmelidir.

Ayrıca, kullanıcının geçerliliğini tanımlama seçeneği de sunar. Tarihleri seçerek geçerlilik aralığından bahsedebilirsiniz. Geçerlilik belirtimi, isteğe bağlı bir kullanıcı parametresidir.

SAP HANA veritabanıyla varsayılan olarak teslim edilen bazı kullanıcılar vardır: SYS, SYSTEM, _SYS_REPO, _SYS_STATISTICS.

Bu yapıldıktan sonra, sonraki kullanıcı profili için ayrıcalıkların tanımlanmasıdır.

Kullanıcı Profiline Olan Ayrıcalık Türleri

Kullanıcı profiline eklenebilecek farklı ayrıcalık türleri vardır.

Verilen Rol

Bu, kullanıcı profiline dahili sap.hana rolleri eklemek veya Roller sekmesi altında oluşturulan özel roller eklemek için kullanılır. Özel roller, erişim gereksinimine göre roller tanımlamanıza olanak tanır ve bu rolleri doğrudan kullanıcı profiline ekleyebilirsiniz. Bu, her seferinde farklı erişim türleri için bir kullanıcı profiline nesne ekleme ve hatırlama ihtiyacını ortadan kaldırır.

Kamu Rolü

Bu genel bir roldür ve varsayılan olarak tüm veritabanı kullanıcılarına atanır. Bu rol, sistem görünümlerine salt okunur erişimi ve bazı prosedürler için yürütme ayrıcalıklarını içerir. Bu roller geri alınamaz.

Modelleme

SAP HANA stüdyosunda bilgi modelleyiciyi kullanmak için gereken tüm ayrıcalıkları içerir.

Sistem Ayrıcalıkları

Bir kullanıcı profiline eklenebilecek farklı türde Sistem ayrıcalıkları vardır. Bir kullanıcı profiline sistem ayrıcalıkları eklemek için (+) işaretine tıklayın.

Yedekleme / Geri Yükleme, Kullanıcı Yönetimi, Örneği başlatma ve durdurma vb. İçin sistem ayrıcalıkları kullanılır.

İçerik Yöneticisi

MODELLEME rolündeki ile benzer ayrıcalıkları içerir, ancak buna ek olarak, bu rolün diğer kullanıcılara bu ayrıcalıkları vermesine izin verilir. Ayrıca, içe aktarılan nesnelerle çalışmak için depo ayrıcalıklarını içerir.

Veri Yöneticisi

Bu, nesnelerden kullanıcı profiline Veri eklemek için gerekli olan başka bir ayrıcalık türüdür.

Aşağıda bazı yaygın desteklenen Sistem Ayrıcalıkları verilmiştir -

ATTACH DEBUGGER- Farklı bir kullanıcı tarafından çağrılan bir prosedür çağrısının hata ayıklamasına yetki verir. Ek olarak, ilgili yordam için DEBUG ayrıcalığı gereklidir.

AUDIT ADMIN- Aşağıdaki denetimle ilgili komutların yürütülmesini kontrol eder: DENETİM POLİTİKASI OLUŞTURMA, DROP DENETİM POLİTİKASI ve DEĞİŞTİRME DENETİM POLİTİKASI ve denetim yapılandırmasındaki değişiklikler. Ayrıca AUDIT_LOG sistem görünümüne erişim sağlar.

AUDIT OPERATOR- Aşağıdaki komutun yürütülmesine izin verir: ALTER SYSTEM CLEAR AUDIT LOG. Ayrıca AUDIT_LOG sistem görünümüne erişim sağlar.

BACKUP ADMIN - Yedekleme ve kurtarma prosedürlerini tanımlamak ve başlatmak için BACKUP ve RECOVERY komutlarını yetkilendirir.

BACKUP OPERATOR - Bir yedekleme işlemini başlatmak için BACKUP komutunu yetkilendirir.

CATALOG READ- Kullanıcılara, tüm sistem görünümlerine filtrelenmemiş salt okunur erişim yetkisi verir. Normalde, bu görünümlerin içeriği, erişen kullanıcının ayrıcalıklarına göre filtrelenir.

CREATE SCHEMA- CREATE SCHEMA komutunu kullanarak veritabanı şemalarının oluşturulmasına yetki verir. Varsayılan olarak, her kullanıcının bir şeması vardır. Bu ayrıcalıkla, kullanıcının ek şemalar oluşturmasına izin verilir.

CREATE STRUCTURED PRIVILEGE- Yapılandırılmış Ayrıcalıkların (Analitik Ayrıcalıklar) oluşturulmasına izin verir. Yalnızca bir Analitik Ayrıcalığın sahibi bu ayrıcalığı diğer kullanıcılara veya rollere daha fazla verebilir veya iptal edebilir.

CREDENTIAL ADMIN - Kimlik bilgisi komutlarını yetkilendirir: CREATE / ALTER / DROP CREDENTIAL.

DATA ADMIN- Sistem görünümlerindeki tüm verileri okuma yetkisi verir. Ayrıca SAP HANA veritabanındaki herhangi bir Veri Tanımlama Dili (DDL) komutunun yürütülmesini sağlar. Bu ayrıcalığa sahip bir kullanıcı, erişim ayrıcalıklarına sahip olmadıkları veri depolanan tabloları seçemez veya değiştiremez, ancak tabloları bırakabilir veya tablo tanımlarını değiştirebilir.

DATABASE ADMIN - CREATE, DROP, ALTER, RENAME, BACKUP, RECOVERY gibi çoklu veritabanındaki veritabanları ile ilgili tüm komutları yetkilendirir.

EXPORT- EXPORT TABLE komutu ile veri tabanındaki ihracat faaliyetine izin verir. Bu ayrıcalığın yanı sıra, kullanıcının dışa aktarılması için kaynak tablolarda SELECT ayrıcalığına ihtiyaç duyduğunu unutmayın.

IMPORT- İTHALAT komutlarını kullanarak veri tabanındaki içe aktarma etkinliğini yetkilendirir. Bu ayrıcalığın yanı sıra, kullanıcının içe aktarılacak hedef tablolarda INSERT ayrıcalığına ihtiyaç duyduğunu unutmayın.

INIFILE ADMIN - Sistem ayarlarının değiştirilmesine izin verir.

LICENSE ADMIN - SET SYSTEM LICENSE komutunu yeni bir lisans yüklemek için yetkilendirir.

LOG ADMIN - Günlük temizleme mekanizmasını etkinleştirmek veya devre dışı bırakmak için ALTER SYSTEM LOGGING [ON | OFF] komutlarını yetkilendirir.

MONITOR ADMIN - OLAYLAR için ALTER SYSTEM komutlarını yetkilendirir.

OPTIMIZER ADMIN - Sorgu iyileştiricisinin davranışını etkileyen SQL PLAN CACHE ve ALTER SYSTEM UPDATE STATISTICS komutlarıyla ilgili ALTER SYSTEM komutlarını yetkilendirir.

RESOURCE ADMIN- Sistem kaynaklarıyla ilgili komutları yetkilendirir. Örneğin, ALTER SYSTEM RECLAIM DATAVOLUME ve ALTER SYSTEM RESET MONITORING VIEW. Ayrıca, Yönetim Konsolunda bulunan birçok komuta da yetki verir.

ROLE ADMIN- CREATE ROLE ve DROP ROLE komutlarını kullanarak rollerin oluşturulmasına ve silinmesine izin verir. Ayrıca GRANT ve REVOKE komutlarını kullanarak rollerin verilmesi ve iptaline izin verir.

Etkinleştirilmiş roller, yani yaratıcısı önceden tanımlanmış kullanıcı _SYS_REPO olan roller anlamına gelir, başka rollere veya kullanıcılara atanamaz veya doğrudan bırakılamaz. ROLE ADMIN ayrıcalığına sahip kullanıcılar da bunu yapamaz. Lütfen etkinleştirilen nesnelerle ilgili belgeleri kontrol edin.

SAVEPOINT ADMIN - ALTER SYSTEM SAVEPOINT komutunu kullanarak bir kayıt noktası işleminin yürütülmesine izin verir.

SAP HANA veritabanının bileşenleri yeni sistem ayrıcalıkları oluşturabilir. Bu ayrıcalıklar, bileşen adını sistem ayrıcalığının ilk tanımlayıcısı olarak ve bileşen ayrıcalık adını ikinci tanımlayıcı olarak kullanır.

Nesne / SQL Ayrıcalıkları

Nesne ayrıcalıkları, SQL ayrıcalıkları olarak da bilinir. Bu ayrıcalıklar, Tablolar, Görünümler veya Şemalar Seçme, Ekleme, Güncelleme ve Silme gibi nesnelere erişim sağlamak için kullanılır.

Aşağıda Nesne Ayrıcalıklarının türleri verilmiştir -

Yalnızca çalışma zamanında var olan veritabanı nesnelerinde nesne ayrıcalığı.
Hesaplama görünümleri gibi, havuzda oluşturulan etkin nesnelerde nesne ayrıcalığı.
Depoda oluşturulan etkinleştirilmiş nesneleri içeren şema üzerindeki nesne ayrıcalığı.
Nesne / SQL Ayrıcalıkları, veritabanı nesnelerindeki tüm DDL ve DML ayrıcalıklarının koleksiyonudur.

Aşağıda, yaygın olarak desteklenen bazı Nesne Ayrıcalıkları verilmiştir -

HANA veritabanında birden fazla veritabanı nesnesi vardır, bu nedenle tüm ayrıcalıklar tüm veritabanı nesneleri için geçerli değildir.

Nesne Ayrıcalıkları ve bunların veritabanı nesnelerine uygulanabilirliği.

Kullanıcı Profilinde Analitik Ayrıcalıklar

Bazen, aynı görünümdeki verilere, bu veriler için herhangi bir ilgili gereksinimi olmayan diğer kullanıcıların erişememesi gerekir.

HANA Bilgi Görünümlerine erişimi nesne düzeyinde sınırlamak için analitik ayrıcalıklar kullanılır. Analitik Ayrıcalıklarda satır ve sütun düzeyinde güvenlik uygulayabiliriz.

Analitik Ayrıcalıklar aşağıdakiler için kullanılır:

Belirli bir değer aralığı için satır ve sütun düzeyinde güvenlik tahsisi
Modelleme görünümleri için satır ve sütun düzeyinde güvenlik tahsisi

Paket Ayrıcalıkları

SAP HANA havuzunda, belirli bir kullanıcı veya bir rol için paket yetkilerini ayarlayabilirsiniz. Paket ayrıcalıkları, veri modellerine (Analitik veya Hesaplama görünümleri veya Depo nesnelerine) erişim sağlamak için kullanılır. Bir havuz paketine atanan tüm ayrıcalıklar, tüm alt paketlere de atanır. Ayrıca, atanan kullanıcı yetkilerinin diğer kullanıcılara aktarılıp aktarılamayacağını da belirtebilirsiniz.

Kullanıcı profiline paket ayrıcalıkları ekleme adımları -

Step 1- HANA stüdyosunda Kullanıcı oluşturma altında Paket ayrıcalığı sekmesine tıklayın → Bir veya daha fazla paket eklemek için (+) işaretini seçin. Birden çok paket seçmek için Ctrl tuşunu kullanın.
Step 2 - Depo Paketi Seç iletişim kutusunda, erişim yetkisi vermek istediğiniz depo paketini bulmak için paket adının tamamını veya bir kısmını kullanın.
Step 3 - Erişim yetkisi vermek istediğiniz bir veya daha fazla depo paketini seçin, seçilen paketler Paket Ayrıcalıkları sekmesinde görünür.

Kullanıcıya nesneleri değiştirme yetkisi vermek için arşiv paketlerinde aşağıdaki izin ayrıcalıkları kullanılır -

REPO.READ - Seçilen pakete ve tasarım zamanı nesnelerine (hem yerel hem de içe aktarılmış) okuma erişimi
REPO.EDIT_NATIVE_OBJECTS - Paketlerdeki nesneleri değiştirme yetkisi
Grantable to Others

Bunun için 'Evet'i seçerseniz, bu, atanan kullanıcı yetkisinin diğer kullanıcılara geçmesine izin verir.

Uygulama Ayrıcalıkları

HANA XS uygulamasına erişim yetkisini tanımlamak için kullanılan bir kullanıcı profilindeki uygulama ayrıcalıkları. Bu, bireysel bir kullanıcıya veya bir kullanıcı grubuna atanabilir. Uygulama ayrıcalıkları, veritabanı yöneticileri için gelişmiş işlevler ve normal kullanıcılara salt okunur erişim sağlamak gibi aynı uygulamaya farklı erişim düzeyleri sağlamak için de kullanılabilir.

Bir kullanıcı profilinde Uygulamaya özgü ayrıcalıkları tanımlamak veya bir kullanıcı grubu eklemek için aşağıdaki ayrıcalıklar kullanılmalıdır -

Uygulama ayrıcalıkları dosyası (.xsprivileges)
Uygulama erişim dosyası (.xsaccess)
Rol tanım dosyası (<RoleName> .hdbrole)