Controlul accesului bazat pe atribute (ABAC) în noSQL <[SET:descriptionro]Un program util pentru securitate este

Un model util pentru securitate este să se aplice permisiunile bazate pe date într-o înregistrare, mai degrabă decât să se atribuie separat permisiunilor înregistrate. Aceasta ar putea fi bazată fie pe metadate, fie pe coloane individuale (clone Bigtable), fie pe elemente (baze de date Aggregate NoSQL).

Un exemplu bun este faptul că un nume de client este menționat într-un document. Poate doriți să restricționați accesul la toate documentele care menționează acel client doar pentru persoanele care au acces la informațiile acestui client. Puteți restricționa accesul la aceste documente procesând datele din document și aplicând permisiunile de securitate relevante pe baza valorii acelor date.

Nu există baze de date NoSQL care să ofere această capacitate direct din cutie. Aceasta deoarece permisiunile trebuie să fie atribuite înregistrării după ce datele sunt salvate de către aplicație, dar înainte de a fi disponibile pentru recuperare de către alte aplicații sau utilizatori. Deci, această atribuire a permisiunii trebuie să aibă loc în limita tranzacției.

De asemenea, foarte puține baze de date NoSQL acceptă tranzacțiile care respectă ACID (MarkLogic, FoundationDB și Neo4j, de exemplu). Dacă o bază de date nu acceptă acordarea de permisiuni în afara casetei pe baza datelor dintr-un document, dar nu suportă tranzacțiile ACID și declanșatoarele de pre-comitere, este posibilă o soluție ușoară.

Este, în general, ușor de scris un declanșator care verifică prezența unei valori într-o înregistrare și modificarea permisiunilor pe baza valorii acesteia. Atâta timp cât o bază de date acceptă acest lucru în timpul procesului de comitere, și nu după comiterea, atunci știți că datele dvs. sunt securizate utilizând un simplu declanșator de pre-comitere.

De exemplu, MarkLogic Server suportă tranzacții ACID pe bază de serializabilitate și declanșatoare de pre-comitere. În continuare este un document XML simplu pe care vreau să îl suport pentru controlul accesului bazat pe atribute:

Declanșatorii MarkLogic Server folosesc limbajul XQuery W3C. Următorul exemplu XQuery este un declanșator simplu care, atunci când este instalat în MarkLogic, atribuie permisiuni de citire și scriere:

versiunea xquery "1. 0-ml"; spațiul de nume al modulelor de import trgr = ' // marklogic. com / xdmp / declanșează 'la' / MarkLogic / declanșează. xqy "; declara variabila $ trgr: uri ca xs: string extern; declara variabila $ trgr: trigger ca nod () extern; ($ trgr-uri, (xdmp: permission ("seniorsales", "update"), xdmp: " permisiune ("vânzări", "citire"))) else ()

Odată ce declanșatorul este instalat în setpermsul fișierului.xqy într-o bază de date a modulelor serverului MarkLogic, executați următorul cod în aplicația de codificare web pentru MarkLogic - Query Console pentru a activa declanșatorul. Într-o instalare implicită MarkLogic Server, puteți găsi Consola de interogare la adresa URL: // localhost: 8000 / qconsole.

Iată un cod care arată modul de instalare a declanșatorului utilizând Consola de interogare:

versiunea xquery "1. 0-ml"; Domeniul de nume de module de import trgr = " // marklogic. com / xdmp / declanșează" la "/ MarkLogic / declanșează. xqy "; trgr: create-trigger ("setperms", "Set Permisiuni pentru Documente de Vânzare", trgr: trigger-data-event (trgr: collection-scope -fm: true (), xdmp: default-permissions (), fn: true (), trg: false ())