Postgresql 中文操作指南

SELinux 的安全模型将所有访问控制规则描述为主题实体（通常是数据库的客户端）与对象实体（例如数据库对象）之间的关系，而每个实体都会通过安全标签进行识别。如果尝试访问未标记的对象，则会将该对象视为已分配 unlabeled_t 标签。

目前，sepgsql 允许将安全标签分配给模式、表格、列、序列、视图和函数。当 sepgsql 正在使用中时，会自动在创建时向受支持的数据库对象分配安全标签。此标签称为默认安全标签，并根据系统安全策略来决定，该策略以创建者的标签、分配给新对象的父对象和可选的构造对象的名称作为输入。

一个新的数据库对象基本会继承其父对象的标签，除非安全策略具有特殊规则，即类型转换规则，在这种情况下可能会应用其他标签。对于架构，父对象是当前数据库；对于数据表、序列、视图和函数，它包含模式；对于列，它包含数据表。

对于数据表，db_table:select、db_table:insert、db_table:update 或 db_table:delete 会针对所有引用的目标数据表进行 checked，具体取决于语句的类型；此外，对于 WHERE 或 RETURNING 子句中引用的列包含的数据表，db_table:select 也会针对其进行 checked，例如作为 UPDATE 的数据源。

针对每个引用的列也应该 checked 列级别权限。db_column:select 不仅对使用 SELECT 读取的列进行 checked，也对其他 DML 语句中引用的列进行 checked；db_column:update 或 db_column:insert 也应该针对被 UPDATE 或 INSERT 修改的列进行 checked。

例如，考虑：

这里，db_column:update 将针对 t1.x 进行 checked，因为它正在更新；db_column:{select update} 将针对 t1.y 进行 checked，因为它同时会被更新和引用；db_column:select 将针对 t1.z 进行 checked，因为它只会被引用。db_table:{select update} 也应该针对表级别进行 checked。

对于序列，在使用 SELECT 引用序列对象时将会检查 db_sequence:get_value；但是，请注意我们当前不会检查对于 lastval() 等相应函数执行的权限。

对于视图，将会检查 db_view:expand，然后将单独地检查从视图展开的对象上的任何其他必需权限。

对于函数，用户试图将函数作为一个查询的一部分执行，或使用快速路径调用时，将会检查 db_procedure:{execute}。如果此函数是一个可信的过程，则它还将检查 db_procedure:{entrypoint} 权限，以查看它是否可以作为可信过程的入口点执行。

为了访问任何模式对象，需要在包含模式上对 db_schema:search 有权限。未提供此权限的模式在引用对象却没有模式限定符的情况下，将不会被搜索（就像用户在模式上没有 USAGE 权限一样）。如果指定了明确的模式限定符，而用户在指定的模式上没有必需的权限，则会发生错误。

必须允许客户端访问所有引用的表和列，即使它们源自随后展开的视图，这样我们就可以应用与表内容引用方式无关的一致访问控制规则。

默认数据库权限系统允许数据库超级用户使用 DML 命令修改系统目录，以及引用或修改 toast 表。如果启用了 sepgsql，则禁止这些操作。

SELinux 定义了几个权限来控制每种对象类型的常见操作；比如创建、更改、删除和重贴安全标签。此外，几个对象类型具有特殊权限来控制它们的特征操作；比如在特定模式内添加或删除名称条目。

创建新数据库对象需要 create 权限。SELinux 依据客户端的安全标签和新对象的提议安全标签授予或拒绝此权限。在某些情况下，需要获得其他权限：

执行 DROP 命令时，将会在要删除的对象上检查 drop。还需要检查通过 CASCADE 间接删除的对象的权限。此外，删除特定模式中包含的对象（表、视图、序列和过程）需要该模式上的 remove_name。

执行 ALTER 命令时，将会为每种对象类型检查要修改的对象上的 setattr，但是子对象（如表的索引或触发器）例外，因为这时候将在父对象上检查权限。在某些情况下，需要获得其他权限：

受信任的过程与安全定义程序函数或 setuid 命令类似。SELinux 提供了一项功能，允许受信任的代码使用不同于客户端的安全标签运行，通常用于以高度受控的方式提供对敏感数据的访问权限（例如，可能会省略行，或降低存储值的精度）。函数是否充当受信任的过程受其安全标签和操作系统安全策略控制。举例：

上述操作应由管理用户执行。

在这种情况下，普通用户不能直接引用 customer.credit，但是受信任的过程 show_credit 允许用户打印部分数字遮罩掉的客户信用卡号码。

如果安全策略允许，可以使用 SELinux 的动态域转换功能将客户端流程（客户端域）的安全标签切换到新的环境。客户端需要 setcurrent 权限，还需要从旧域到新域的 dyntransition。

应慎重考虑动态域转换，因为它们允许用户选择性地切换其标签，因此也切换其权限，而不是（如受信任的过程的情况）按照系统强制执行的。因此，当 dyntransition 权限用于切换到比原始权限集更小的权限集时，才被认为是安全的。举例：

在上面的示例中，我们被允许从较大的 MCS 范围 c1.c1023 切换到较小的范围 c1.c4，但是不允许切换回来。

动态域转换和受信任过程的组合启用了一个有趣的使用用例，它适合连接池软件的典型进程生命周期。即使您的连接池软件不被允许运行大多数 SQL 命令，您也可以允许它在受信任过程中使用 sepgsql_setcon() 函数，从而切换客户端的安全标签；应该采用某种证书来授权切换客户端标签的请求。此后，此会话将具有目标用户的权限，而不是连接池程序的权限。连接池程序稍后可以通过在具有适当权限检查的受信任过程中再次使用带 NULL 参数的 sepgsql_setcon()，来恢复安全标签更改。此处的关键是只有受信任过程实际上有权限更改有效安全标签，并且只有在给定适当证书后才会这样做。当然，为了确保操作安全，证书存储（表、过程定义或其他）必须受到保护，以防止未经授权的访问。

我们全面拒绝 LOAD 命令，因为加载的任何模块都可以轻易规避安全策略强制执行。