VPD(DBMS_RLS)で行レベルのアクセスポリシーを追加

コマンド

-- 1) Policy function returning the predicate:
CREATE OR REPLACE FUNCTION customer_app.customer_vpd_fn (
  p_schema IN VARCHAR2,
  p_object IN VARCHAR2
) RETURN VARCHAR2
AS
BEGIN
  -- The schema owner sees all rows (NULL = no restriction)
  IF SYS_CONTEXT('USERENV', 'SESSION_USER') = 'CUSTOMER_APP' THEN
    RETURN NULL;
  END IF;
  -- Other users see only their own city
  RETURN 'city = SYS_CONTEXT(''USERENV'', ''CLIENT_IDENTIFIER'')';
END;
/

-- 2) Attach the policy to the table:
BEGIN
  DBMS_RLS.ADD_POLICY(
    object_schema   => 'CUSTOMER_APP',
    object_name     => 'CUSTOMER',
    policy_name     => 'CUSTOMER_CITY_VPD',
    function_schema => 'CUSTOMER_APP',
    policy_function => 'CUSTOMER_VPD_FN',
    statement_types => 'SELECT, UPDATE, DELETE',
    update_check    => TRUE,
    policy_type     => DBMS_RLS.CONTEXT_SENSITIVE);
END;
/

-- 3) Check:
SELECT object_owner, object_name, policy_name, function,
       sel, upd, del, chk_option, enable, policy_type
FROM   dba_policies WHERE object_owner = 'CUSTOMER_APP';
-- Test (as the application user): EXEC DBMS_SESSION.SET_IDENTIFIER('Ankara');

-- 4) Temporarily disable / drop:
EXEC DBMS_RLS.ENABLE_POLICY('CUSTOMER_APP', 'CUSTOMER', 'CUSTOMER_CITY_VPD', FALSE);
EXEC DBMS_RLS.DROP_POLICY('CUSTOMER_APP', 'CUSTOMER', 'CUSTOMER_CITY_VPD');

概要

Virtual Private Databaseは、ポリシー関数が返すWHERE述語を表に対するすべてのSQLに自動的に追加し、同じ表のユーザーが権限のある行のみを参照/変更できるようにする。update_check=>TRUEは、ユーザーが自分では参照できない値に行を更新することを防ぐ。

使用する場面

マルチテナントアプリケーション、地域/支店ベースのデータ分離、アプリケーションコードに手を加えずに行セキュリティを追加するために。

注意

Enterprise Editionに含まれ、追加ライセンス不要。CLIENT_IDENTIFIERはクライアントが自由に設定できるため、本番では信頼できるパッケージで設定するアプリケーションコンテキスト(CREATE CONTEXT ... USING)を使用する。SYSおよびEXEMPT ACCESS POLICYを持つユーザーはポリシーをバイパスする。その権限のないData Pumpエクスポートは警告なしに一部のデータのみをエクスポートする。関数内のエラーはORA-28112ですべてのアクセスをブロックする。誤ったpolicy_type(例: STATIC)は述語をキャッシュし、誤った結果を返す。