Глава 23. Управление доступом: методы наиболее успешной практики

В этой главе описываются некоторые методы наиболее успешной практики для подготовки ваших разрешений управления доступом. Поскольку у каждой организации есть различный способ осуществить их установки MySQL и контроль, описанные сценарии являются общими руководящими принципами.

Следующие сценарии описаны:

Роли, вовлеченные в каждый сценарий, следующие:

23.1. Открытые наборы полномочий

У открытого внедрения нет определенных для группы ролей. У этого сценария есть следующие ролевые типы:

Следующие пользователи вовлечены в этот сценарий:

Роль Manager

Эта секция описывает ролевое определение менеджера для открытого внедрения. Пользователи в этой роли это продвинутые пользователи. Они ответственны за формирование всего. Этой роли разрешают выполнить следующие действия:

Таблица 23.1. Определение роли Manager

Доступ Уровень

Server Group

Administer

Экземпляры MySQL

Administer

Query Analysis Aggregate Data

Read-Only

Query Analysis Example and Explain Data

Read-Only

Web Application Login

Read-Only

MySQL Enterprise Monitor

Administer

Advisor Configuration

Administer

Event Blackout

Administer

Event Handling

Administer

New Group Creation

Administer

Settings

Administer

Users and Roles

Administer

Пользователи Manager ответственны за формирование порогов советника и определение обработчиков событий и Notification Groups. Notification Groups содержит членов стандартной роли DBA и Senior DBA.

У этого пользователя есть разрешение закрыть события из-за Экземпляры MySQL = Administer.

Роль DBA

Эта секция описывает ролевое определение DBA для открытого внедрения. Пользователи в этой роли контролируют пользователей. Они ответственны за исследование событий и решение вопросов с проверенными серверами MySQL. Этой роли разрешают выполнить следующие действия:

Таблица 23.2. Определение роли DBA

Доступ Уровень

Server Group

Administer

Экземпляры MySQL

Administer

Query Analysis Aggregate Data

Read-Only

Query Analysis Example and Explain Data

Read-Only

Web Application Login

Read-Only

MySQL Enterprise Monitor

Read-Only

Advisor Configuration

Administer

Event Blackout

Administer

Event Handling

Administer

New Group Creation

Administer

Settings

None

Users and Roles

None

Возможно в этом открытом внедрении, добавить всех пользователей DBA к роли DBA по умолчанию. Однако, для любой установки рекомендуется иметь четко определенную иерархию пользователей. Особенно для SMTP или уведомлений SNMP, которые, если неуправляемы, могут произвести очень большой объем трафика. Рекомендуется иметь единственную группу старших пользователей, которые управляют советником, обработчиком событий и конфигурацией Notification Group. Все запросы должны пройти тех старших пользователей.

Кроме того, невозможно отредактировать роль DBA по умолчанию.

Члены роли

Пользователей назначают на роли следующим образом:

23.2. Строгий набор полномочий

Строгий сценарий это основанное на группе внедрение. Пользователей назначают на роли с переменным доступом к группам.

Этот сценарий сосредотачивается на двух группах, развитии и производстве. Развитие это группа серверов MySQL, где продукт развит и проверен. Производство это группа серверов MySQL, на которых готовое изделие использовано для клиентов.

Рис. 23.1. Обзор строгого набора полномочий

Architecture of strict permission set showing production and development
Экземпляры MySQL, monitored by MySQL Enterprise Service Manager, and viewed
by different user types, DBA, developers, and Administrators.

Пользователи, роли и группы

Это внедрение требует следующих групп активов:

Устанавливая агентов, чтобы контролировать активы, критически важно выбрать правильную группу во время процесса установки. Если неправильная группа выбрана или никакая группа не выбрана, активы выходят за пределы объема ролей, определенных здесь, и не могут быть замечены никаким пользователем, кроме тех, кто в ролях SeniorDBA.

Это внедрение требует следующих ролевых типов:

Это внедрение требует пользователей:

Ролевые определения в масштабе всей системы

Для каждой из этих ролей выберите System-Wide Permissions во фрейме Core Monitored Assets.

Таблица 23.3. Ролевое определение в масштабе всей системы

Доступ SeniorDBA GroupAdmin

Server Group

Administer

None

Экземпляры MySQL

Administer

None

Query Analysis Aggregate Data

Administer

None

Примеры и раскрытие данных Query Analysis

Administer

None

Web Application Login

Read-Only

None

MySQL Enterprise Monitor

Administer

None

Advisor Configuration

Administer

None

Event Blackout

Administer

None

Event Handling

Administer

None

New Group Creation

None

Administer

Settings

Administer

None

Users and Roles

None

Administer

Членство этих ролей:

Роли Development Group

Для каждой из этих ролей выберите Group-Specific Permissions во фрейме Core Monitored Assets и Development из выпадающего списка группы.

Таблица 23.4. Определение роли Development Group

Доступ SeniorDev JuniorDev JuniorDBA

Server Group

Administer

Read-Only

Read-Only

Экземпляры MySQL

Read-Only

Read-Only

Read-Only

Query Analysis Aggregate Data

Read-Only

Read-Only

Read-Only

Query Analysis Example and Explain Data

Read-Only

Read-Only

Read-Only

Web Application Login

Read-Only

Read-Only

Read-Only

MySQL Enterprise Monitor

Read-Only

Read-Only

Read-Only

Конфигацрация советников

Read-Only

Read-Only

Read-Only

Затенение событий

None

None

None

Обработка событий

Read-Only

None

Read-Only

Создание новых групп

None

None

None

Настройки

None

None

None

Пользователи и роли

None

None

None

В настоящее время Advisor Configuration и Event Handling глобальные разрешения. Изменения, внесенные на этом уровне, могут затронуть всех пользователей MySQL Enterprise Monitor. По сути, только старшему пользователю с разрешениями в масштабе всей системы, нужно разрешить менять эти настройки.

Роли Production Group

Для этой роли выберите Group-Specific Permissions во фрейме Core Monitored Assets и Production из выпадающего списка группы.

Таблица 23.5. Определение роли Production Group

Доступ SeniorDev

Server Group

Read-Only

Экземпляры MySQL

Read-Only

Query Analysis Aggregate Data

None

Query Analysis Example and Explain Data

None

Web Application Login

Read-Only

MySQL Enterprise Monitor

Read-Only

Advisor Configuration

Read-Only

Event Blackout

None

Event Handling

None

New Group Creation

None

Settings

None

Users and Roles

None

Распределенные отделы

Строгое внедрение также полезно для крупных компаний с глобально распределенными командами, получая доступ к центральным фермам серверов.

Это внедрение включает следующее:

Рис. 23.2. Строгий сгруппированный набор полномочий

Architecture of strict permission set showing specific departments
limited to viewing only the Экземпляры MySQL to which they have access.