Sécurité Redshift

Introduction à Redshift

Jason Myers

Principal Engineer

Sécurité Redshift

Contrôle d'accès par colonne
Sécurité au niveau des lignes avec des politiques
Masquage des données avec des politiques

Portefeuille de sécurité Redshift

Autorisations au niveau des colonnes

Masque entièrement une colonne
Vérification possible via SVV_COLUMN_PRIVILEGES

SELECT *
  FROM SVV_COLUMN_PRIVILEGES
 WHERE relation_name = 'products';

relation_name | column_name  | privilege_type | identity_name | identity_type
==============|==============|================|===============|==============
products      | product_name | SELECT         | amelia        | user
products      | product_name | SELECT         | analytics     | role

Sécurité au niveau des lignes

Politiques qui préfiltrent les données

CREATE RLS POLICY policy_books
WITH (category VARCHAR(255))
USING (category = 'Dark Academia');

SELECT product_line, category, product_name
FROM products;

product_line | category      | product_name
=============|===============|===================
Books        | Dark Academia | A Deadly Education

Sécurité au niveau des lignes

SVV_RLS_POLICY pour consulter les politiques

SELECT polname AS policy_name, 
       polatts AS column_details,
       polqual AS condition
  FROM SVV_RLS_POLICY;

policy_name  | column_details                                 | condition
 ============|================================================|===========================
policy_books | [{"colname":"category","type":"VARCHAR(255)"}] | category = 'Dark Academia'

Vue d'administration de la sécurité au niveau des lignes

SVV_RLS_APPLIED_POLICY peut être utilisé par les superutilisateurs pour voir les requêtes touchées

SELECT username, 
       command, 
       relschema, 
       relname, 
       polname,
FROM SVV_RLS_APPLIED_POLICY;

username | command | relschema | relname  | polname  
=========|=========|===========|==========|=============
aashvi   |    s    | public    | products | policy_books

Aperçu du masquage dynamique

Politique qui obscurcit les valeurs renvoyées par une requête
Seul un superutilisateur ou une personne autorisée peut les voir
Utilisations
- Numéros d'identification nationaux (p. ex. Social Security Number)
- Cartes de crédit

SELECT name, social_security_number
  FROM customers;

name     | social_security_number
======== | =======================
John Doe | XXX-XX-1234
Jane Doe | XXX-XX-5678

Passons à la pratique !

Introduction à Redshift