Oracle Label Security 訪問規則與特權豁免機制完整參考

OLS 訪問規則矩陣與特權豁免體系權威指南

本文系統整理 Oracle Label Security 的讀/寫訪問規則判定邏輯、八大細粒度特權豁免類型、授權語法與實戰場景，為安全審計與合規配置提供標準參考。

一、DB2LBACRULES 規則集判定矩陣（OLS 兼容模式）

OLS 內部兼容 DB2 LBAC 規則語義，分讀規則與寫規則：

讀訪問規則（READ RULES）

寫訪問規則（WRITE RULES）

核心原則：「同級寫，向下讀」（ARRAY），「全包含讀寫」（SET/TREE）。

二、特權豁免類型完整清單（8+1）

通過 `GRANT EXEMPTION ON RULE FOR TO ` 授予：

三、Oracle 原生特權體系（SA_USER_ADMIN.SET_USER_PRIVS）

OLS 採用三大類別特權，粒度更粗但管理更簡單：

四、授權與回收語法

DB2 風格（細粒度）

-- 授予
GRANT EXEMPTION ON RULE DB2LBACREADSET FOR HR_SEC TO SCOTT;

-- 回收
REVOKE EXEMPTION ON RULE DB2LBACREADSET FOR HR_SEC FROM SCOTT;

Oracle 原生（粗粒度）

BEGIN
  SA_USER_ADMIN.SET_USER_PRIVS('HR_SEC', 'SCOTT', 'COMPACCESS');
  -- 或移除特權
  SA_USER_ADMIN.SET_USER_PRIVS('HR_SEC', 'SCOTT', NULL);
END;
/

五、實戰場景決策表

六、審計查詢腳本

-- 查看用戶細粒度豁免
SELECT * FROM DBA_SA_USER_PRIVS WHERE POLICY_NAME='HR_SEC';

-- 查看用戶原生特權
SELECT * FROM DBA_SA_USER_LEVELS WHERE POLICY_NAME='HR_SEC';

-- 檢查是否存在高風險 FULL/WRITEUP 授予
SELECT GRANTEE, PRIVILEGE FROM DBA_SA_USER_PRIVS 
WHERE POLICY_NAME='HR_SEC' AND PRIVILEGE IN ('FULL','WRITEUP','WRITEDOWN');

七、最佳實踐原則

1. 最小權限：優先用 `COMPACCESS`/`PROFILE_ACCESS`，極少用 `FULL`/`WRITEUP`
2. 分離職責：授予特權的角色（`SECADM`）與業務用戶分離
3. 定期審計：每月執行上述審計腳本，異常授予立即回收
4. 文檔記錄：每個豁免授予必須記錄業務理由、審批人、失效日期