Bezpieczeństwo Redshift

Wprowadzenie do Redshift

Jason Myers

Principal Engineer

Bezpieczeństwo Redshift

Kontrola dostępu na poziomie kolumn
Zabezpieczenia na poziomie wierszy za pomocą polityk
Maskowanie danych za pomocą polityk

Portfolio bezpieczeństwa Redshift

Uprawnienia na poziomie kolumn

Całkowicie ukrywa kolumnę
Można zweryfikować za pomocą SVV_COLUMN_PRIVILEGES

SELECT *
  FROM SVV_COLUMN_PRIVILEGES
 WHERE relation_name = 'products';

relation_name | column_name  | privilege_type | identity_name | identity_type
==============|==============|================|===============|==============
products      | product_name | SELECT         | amelia        | user
products      | product_name | SELECT         | analytics     | role

Zabezpieczenia na poziomie wierszy

Polityki wstępnie filtrujące dane

CREATE RLS POLICY policy_books
WITH (category VARCHAR(255))
USING (category = 'Dark Academia');

SELECT product_line, category, product_name
FROM products;

product_line | category      | product_name
=============|===============|===================
Books        | Dark Academia | A Deadly Education

Zabezpieczenia na poziomie wierszy

SVV_RLS_POLICY do podglądu polityk

SELECT polname AS policy_name, 
       polatts AS column_details,
       polqual AS condition
  FROM SVV_RLS_POLICY;

policy_name  | column_details                                 | condition
 ============|================================================|===========================
policy_books | [{"colname":"category","type":"VARCHAR(255)"}] | category = 'Dark Academia'

Widok administracyjny zabezpieczeń na poziomie wierszy

SVV_RLS_APPLIED_POLICY umożliwia Superużytkownikom podgląd zapytań

SELECT username, 
       command, 
       relschema, 
       relname, 
       polname,
FROM SVV_RLS_APPLIED_POLICY;

username | command | relschema | relname  | polname  
=========|=========|===========|==========|=============
aashvi   |    s    | public    | products | policy_books

Omówienie dynamicznego maskowania

Polityka ukrywająca wartości zwracane przez zapytanie
Tylko superużytkownik lub uprawniona osoba może je zobaczyć
Zastosowania
- Numery identyfikacyjne (np. numer PESEL)
- Karty kredytowe

SELECT name, social_security_number
  FROM customers;

name     | social_security_number
======== | =======================
John Doe | XXX-XX-1234
Jane Doe | XXX-XX-5678

Czas na ćwiczenia!

Wprowadzenie do Redshift