Doris 安全与权限：构建多维度数据库防护体系- 惊觉

Doris 安全与权限：构建多维度数据库防护体系

Apache Doris 作为一款高性能的 MPP 分析型数据库，提供了完善的安全机制，包括基于角色的访问控制(RBAC)、行级安全策略和审计日志功能。本文将深入解析这些安全特性，帮助读者构建全方位的数据防护体系。

1. Doris 安全模型概述

Doris 的安全模型建立在多层防护机制之上，确保数据在存储、访问和操作各环节的安全性。其核心安全架构包含用户认证、权限验证、访问控制和审计追踪四个层面。

用户认证阶段，Doris 支持内置用户和外部认证（如 LDAP）两种方式。通过 CREATE USER 语句创建用户后，可使用 PASSWORD 子句设置密码，也可采用 AUTHN 子句指定认证方式。例如：

CREATE USER 'admin' IDENTIFIED BY 'password';
CREATE USER 'analyst' IDENTIFIED WITH ldap 'analyst@company.com';

在权限验证层面，Doris 采用 GRANT/REVOKE 语句管理用户权限，权限分为系统级和对象级两类。系统级权限包括管理权限（如 ADMIN、GRANT）和资源权限；对象级权限涵盖数据库、表等对象的访问权限。权限验证流程如下：

访问控制层面，Doris 除了支持传统的表级权限外，还提供了更细粒度的行级安全控制，确保用户只能访问其有权查看的数据行。

审计追踪层面，Doris 记录所有关键操作，包括登录、权限变更、数据访问等，为安全审计和合规性检查提供依据。

2. RBAC 权限模型详解

Doris 的权限管理采用基于角色的访问控制(RBAC)模型，通过角色将权限集与用户分离，简化了权限管理流程。

2.1 角色与用户管理

角色是权限的容器，可以包含多个权限，再将角色授予用户。Doris 中通过 CREATE ROLE/ROLE GRANT/ROLE REVOKE 语句管理角色和权限分配。

-- 创建角色
CREATE ROLE 'admin_role';
CREATE ROLE 'analyst_role';
CREATE ROLE 'viewer_role';
-- 将系统权限授予角色
GRANT ADMIN ON CLUSTER * TO 'admin_role';
GRANT SHOW DATA ON DATABASE sales TO 'analyst_role';
GRANT SELECT ON TABLE sales.orders TO 'viewer_role';
-- 将角色授予用户
GRANT ROLE 'admin_role' TO 'admin_user';
GRANT ROLE 'analyst_role', 'viewer_role' TO 'analyst_user';

不同角色的职责划分如下表所示：

角色类型	权限范围	职责描述
管理员角色	系统级管理权限	负责用户管理、系统配置、权限分配等管理工作
分析师角色	特定数据库/表的读写权限	负责数据查询、分析和报表生成
查看者角色	特定表的只读权限	仅能查看数据，无法修改

2.2 权限继承与撤销

Doris 支持权限继承机制，用户可以通过继承获得多个角色的权限。权限的授予和撤销遵循最小权限原则，确保用户只拥有完成其工作所需的最低权限。

-- 权限撤销示例
REVOKE ROLE 'viewer_role' FROM 'analyst_user';
REVOKE SELECT ON TABLE sales.orders FROM 'viewer_role';

2.3 权限查看与审计

通过 SHOW GRANTS 语句可以查看用户或角色的权限信息，便于权限审计和确认。

-- 查看用户权限
SHOW GRANTS FOR 'analyst_user';
-- 查看角色权限
SHOW GRANTS FOR ROLE 'analyst_role';

3. 行级权限配置与管理

Doris 支持行级安全策略(RLS)，允许根据用户属性或其他条件控制数据行的可见性，实现数据访问的精细化控制。

3.1 行级权限配置

行级权限通过 CREATE/ALTER TABLE 语句中的 ROW POLICY 子句实现，可以定义基于用户、用户属性或其他条件的行级过滤规则。

-- 创建行级策略
ALTER TABLE sales.orders 
ADD POLICY orders_policy 
TO 'analyst', 'sales_manager'
USING (region IN (
    SELECT region FROM user_regions WHERE user = current_user()
));

上述策略限制了用户只能访问其有权限查看的区域订单数据。current_user() 函数返回当前登录用户名，与 user_regions 表中的用户信息进行关联验证。

3.2 行级权限应用场景

行级权限主要应用于以下场景：

多租户环境：不同租户只能访问自身数据
部门数据隔离：销售只能查看各自负责区域的数据
敏感数据保护：限制普通用户访问高敏感度数据
临时访问控制：为特定项目或任务临时提供数据访问权限

3.3 行级权限管理

行级策略可以通过 ALTER TABLE 语句进行修改或删除，实现动态的权限调整。

-- 修改行级策略
ALTER TABLE sales.orders 
MODIFY POLICY orders_policy 
USING (region IN (
    SELECT region FROM user_regions 
    WHERE user = current_user() 
    AND access_level >= 'manager'
));
-- 删除行级策略
ALTER TABLE sales.orders 
DROP POLICY orders_policy;

4. 审计日志配置与应用

审计日志是数据库安全的重要组成部分，Doris 提供了完善的审计功能，记录关键操作和异常行为。

4.1 审计日志配置

通过修改 Doris 配置文件或使用 SET 命令启用审计功能：

-- 全局启用审计
SET GLOBAL audit_log_enabled = true;
SET GLOBAL audit_log_modules = 'query,load,user';
-- 设置审计日志文件路径
SET GLOBAL audit_log_dir = '/var/log/doris/audit';
-- 设置审计日志保留天数
SET GLOBAL audit_log_expire_days = 30;

4.2 审计日志内容

Doris 审计日志记录以下关键信息：

用户登录与登出
权限变更操作
数据库DDL操作
表数据查询与修改
大量数据导出
系统配置变更

审计日志格式示例：

{
    "timestamp": "2023-11-15T14:30:45.123+08:00",
    "user": "analyst",
    "ip": "192.168.1.100",
    "role": "analyst_role",
    "database": "sales",
    "table": "orders",
    "operation": "SELECT",
    "query": "SELECT * FROM orders WHERE region = 'east'",
    "rows_examined": 1250,
    "status": "success"
}

4.3 审计日志分析

通过分析审计日志，可以检测以下安全事件：

异常登录尝试（频繁失败登录）
非常规时间的大规模查询
未授权的敏感数据访问
大量数据导出操作
系统配置变更

可以使用 ELK Stack 或 Splunk 等工具对审计日志进行集中收集和分析，实现实时安全监控。

最小示例与注意事项

示例：完整安全配置流程

-- 1. 创建管理员用户
CREATE USER 'admin' IDENTIFIED BY 'Admin@2023';
GRANT ADMIN ON CLUSTER * TO 'admin';
-- 2. 创建分析师角色
CREATE ROLE 'analyst_role';
GRANT SHOW DATA ON DATABASE sales TO 'analyst_role';
GRANT SELECT ON TABLE sales.orders TO 'analyst_role';
GRANT INSERT ON TABLE sales.customers TO 'analyst_role';
-- 3. 创建分析师用户
CREATE USER 'analyst' IDENTIFIED BY 'Analyst@2023';
GRANT ROLE 'analyst_role' TO 'analyst';
-- 4. 设置行级权限
ALTER TABLE sales.orders 
ADD POLICY orders_policy 
TO 'analyst' 
USING (region IN (
    SELECT region FROM user_regions WHERE user = current_user()
));
-- 5. 启用审计日志
SET GLOBAL audit_log_enabled = true;
SET GLOBAL audit_log_modules = 'query,load,user';

注意事项

密码策略：强制使用复杂密码，并定期更换
权限最小化原则：仅授予完成工作所需的最低权限
审计日志定期备份：确保审计数据的持久性
异常行为监控：设置警报阈值，及时发现异常访问
定期安全审计：定期审查用户权限和审计日志
生产环境隔离：开发、测试和生产环境使用不同的认证机制

转载自 CSDN-专业IT技术社区

原文链接：https://blog.csdn.net/qq_41840843/article/details/166791707

Doris 安全与权限：构建多维度数据库防护体系