Monopam Gateway üzerinden veritabanı ve Kubernetes erişimi
Neler değişti
Her içerik güncellemesi sürümlenir. Bir sürümü seçerek öncekiyle karşılaştırın.
Sürüm 8 → 9
GüncellemeVeritabanı proxy'sini işletmeye dair yeni modül: açıldıktan sonra politika teslimi, maskeleme boşlukları, ifade onayları ve tarayıcı konsolu. Modülde artık diyagramlar ve sonunda önce neye bakılacağını gösteren bir liste var.
1 ders güncellendisüre
İçerik güncellemesi. Kayıtlı öğrenciler bilgilendirildi.
Süre 17 dakikadan 18 dakikaya değişti.
Veritabanı proxy'si kullanıcının istemcisi ile veritabanı arasında durur ve her ifadeyi değerlendirir. Hemen her devreye almada üç durum ortaya çıkar.
### Proxy açıldıktan hemen sonra "her şey engelleniyor"
Proxy, politikalarınızın kendi kopyasını tutmaz. Monopam bunları proxy'nin yönetim portu üzerinden ona gönderir. Bu ilk gönderim başarılı olana kadar proxy **kapalı başarısız** olur: her kullanıcının her ifadesi `no policies loaded` gerekçesiyle engellenir.
Dolayısıyla yeni açılmış bir proxy her şeyi engelliyorsa Database Rules büyük olasılıkla sorunsuzdur. Şüpheli olan teslimat yoludur. Gateway yapılandırmasının doğru Monopam adresini gösterdiğini ve `Admin Token` değerinin eşleştiğini denetleyin. Gönderim başarılı olunca ifadeler normal biçimde değerlendirilir. Kapalı başarısız olmak güvenli varsayılandır: politikası yokken her şeye izin veren bir proxy, her yeniden başlatmada açık bir kapı olurdu.
### Maskelemeden kaçan bir telefon numarası
Maskelemenin iki kaynağı vardır.
| Kaynak | Nasıl karar verir | Güçlü yanı | Sınırı |
| --- | --- | --- | --- |
| PII otomatik algılama | Sütun adına (e-posta, telefon, kart ve benzeri) ve değerin biçimine göre | Kimsenin belgelemediği şemaları kapsar | Biçim algılama, yanlış pozitifleri önlemek için bilerek katıdır |
| Açık maskeleme kuralı | Sütunu ve dönüştürücüyü siz adlandırırsınız | Kesindir ve otomatik algılamaya karşı her zaman kazanır | Sütunu bilmeniz gerekir |
Sınırın bir örneği: değerlere bakan telefon algılayıcısı kesintisiz bir rakam dizisi bekler. Boşluklarla `+90 532 123 45 67` olarak saklanan değer eşleşmez. Sütunun adı `phone` ise ad yine de yakalar. Adı `contact_info` ise iki test de çalışmaz ve numara açık döner.
Çözüm, algılayıcının daha gevşek olmasını dilemek değildir. O sütun için açık bir maskeleme kuralı ekleyin. Otomatik algılamayı güvenlik ağı, açık kuralları ise kişisel veri tuttuğunu zaten bildiğiniz her sütun için kontrol olarak görün.
### Onay gerektiren ifadeler
Etkisi Approval olan bir Database Rule ifadeyi çalıştırmaz. psql ya da DBeaver gibi yerel bir istemci kullanan kullanıcı için şunlar olur:
1. Proxy ifadeyi reddeder ve otomatik olarak bir onay talebi açar.
2. Kullanıcı talep açıkken yeniden denerse denemeler **aynı** talebe bağlanır. Onaylayanlar talep yağmuruna tutulmaz.
3. Talebin varsayılan penceresi 60 dakikadır. Kimse karar vermezse süresi dolar.
4. Bundan sonraki ilk deneme **yeni** bir talep açar.
Bu yüzden ertesi sabah gelen bir onaylayan, dün akşamdan süresi dolmuş bir talep ve bugünden taze bir talep görebilir. İkisi de aynı kullanıcıya ve ifadeye aittir; yalnızca taze olan hâlâ karara bağlanabilir. Onay tam olarak açıldığı ifadeyi kapsar.
::diagram pam-statement-approval
### Tarayıcı konsolu arka kapı değildir
Ekipler bazen tarayıcıdaki SQL konsolunun "yalnızca bir web sayfası" olduğu için yerel istemciden zayıf olduğunu varsayar. Bir atlatma yolunun tam tersidir: konsol ifadelerini aynı proxy üzerinden gönderir; aynı kurallar, maskeleme, hız sınırları ve denetim uygulanır ve veritabanı kimlik bilgisi tarayıcıya hiç ulaşmaz. Konsol ile yerel istemci arasındaki seçim kontrol değil, kolaylık sorusudur.
### Önce neye bakılır
| Belirti | Önce bakılacak yer |
| --- | --- |
| Her ifade `no policies loaded` ile engelleniyor | Gateway yapılandırmasındaki Monopam adresi ve `Admin Token` |
| Kişisel bir değer açık olarak dönüyor | Sütun adı ve saklanan biçim. Ardından sütun için açık bir maskeleme kuralı ekleyin |
| Onaylayan, aynı ifade için süresi dolmuş bir talep ve yeni bir talep görüyor | Yeni olanı karara bağlayın. Yalnızca o hâlâ karara bağlanabilir |