DB2 9 安全性外掛部署指南：客戶端/伺服器端驗證與群組查找機制深度解析

身份驗證外掛角色

DB2 本身不維護用戶 ID/密碼或群組成員資訊，透過安全性外掛實現：

• 客戶端驗證外掛：取得目前登入用戶的登入上下文 (用戶 ID/密碼或 GSS-API 憑證如 Kerberos Ticket)。
• 伺服器端驗證外掛：驗證用戶提供的用戶 ID/密碼，映射為內部 DB2 授權 ID。
• 群組查找外掛：為授權 ID 產生所屬群組授權 ID 清單，用於權限判斷。

觸發外掛的兩大情境

1. 連線建立或實例連接 (ATTACH)：用戶可選提供用戶 ID/密碼。若未提供，客戶端外掛取得預設登入上下文傳送伺服器；若提供且驗證類型非 CLIENT，伺服器端外掛驗證憑證。
2. 實例級操作授權：如更新 DBM 配置、啟動資料庫管理器。大多數指令不接受用戶 ID/密碼參數，此時客戶端外掛取得發出指令的當前登入用戶，群組外掛產生群組清單授權。

非 CLIENT 驗證的資訊流程 (伺服器端驗證)

CLIENT 驗證特例

若 AUTHENTICATION = CLIENT，驗證發生在客戶端，伺服器信任客戶端傳來的授權 ID。不建議生產環境使用，因無法防範客戶端竄改。

部署與配置步驟

1. 開發/取得外掛程式庫 (32/64 位元對應實例位元數)。
2. 將外掛庫放置於標準路徑：sqllib/security32/、sqllib/security64/ (Windows: bin/)。
3. 更新 DBM 配置參數指定外掛名稱：

   db2 update dbm cfg using CLNT_PW_PLUGIN <客戶端密碼外掛>
   db2 update dbm cfg using SRVCON_PW_PLUGIN <伺服器端密碼外掛>
   db2 update dbm cfg using GROUP_PLUGIN <群組查找外掛>
   db2 update dbm cfg using GSS_PLUGIN_LIST <GSS-API外掛清單>

4. 重啟實例 (db2stop; db2start) 生效。

常見外掛類型

• IBM 預設：IBMAUTH (作業系統原生驗證)、IBMGSS (Kerberos)。
• LDAP/Active Directory：IBMLDAPauthserver 等。
• 自訂：實作 db2secPluginInit, db2secValidatePassword, db2secGetGroupsForUser 等標準 API。

最佳實踐建議

• 生產環境採用 SERVER 或 SERVER_ENCRYPT 驗證類型，搭配 IBMAUTH 或 Kerberos 外掛。
• 群組查找外掛效能關鍵：快取群組成員資訊、避免每次查詢 LDAP 往返。
• 定期審核 db2secGetGroupsForUser 回傳群組是否與企業權限模型同步。
• 測試環境驗證外掛相容性：32/64 位元、線程安全、記憶體洩漏。

掌握外掛架構與部署流程，即能構建符合企業安全合規的 DB2 身份驗證與授權體系。