So binden Sie einen Lieferanten an den Database Gateway an

Ein Lieferant soll Daten über den WKL Database Gateway lesen oder schreiben, ohne Zugang zum übrigen Netz und ohne Anmeldedaten der Datenbank.

Der Auftraggeber stellt einen TLS-Adapter als einzigen Zugang vor den Gateway und lässt in seiner Beziehungsrichtlinie genau die Dienste des Lieferanten zu, die den Gateway erreichen sollen. Der Gateway übernimmt die geprüfte Partneridentität vom Adapter und berechtigt jede Operation nach der Regel des Alias für diese Identität. Beim Lieferanten spricht die Anwendung ihren lokalen TLS-Adapter an.

Beim Auftraggeber

1. Vereinbaren Sie mit dem Lieferanten eine Vertrauensbeziehung, wie in Föderation und bilaterales Vertrauen beschrieben.
2. Tragen Sie in Ihrer Beziehungsrichtlinie als Dienste die Systeme des Lieferanten ein, die den Gateway erreichen sollen, und als Zweck den Datenzugriff über den Gateway.
3. Stellen Sie den TLS-Adapter vor den Gateway und tragen Sie ihn im Gateway unter TrustedProxies als vertrauenswürdigen Proxy ein. Der Gateway übernimmt die Partneridentität dann nur vom Adapter.
4. Machen Sie den Gateway im Netz oder in der Firewall des Rechners nur für den Adapter erreichbar. Sonst könnte jeder die Kopfzeilen mit der Identität selbst schreiben.
5. Legen Sie im Gateway für die Partneridentität eine Regel des Alias an: welche Tabellen und Sichten, welche Operationen, welche Zeilen.

Beim Lieferanten

1. Richten Sie die Anwendung auf den lokalen TLS-Adapter aus, als läge der Gateway auf demselben Rechner oder im eigenen Netz. Das gilt für eigene Anwendungen über HTTP und OData ebenso wie für Microsoft Access, Excel oder Power BI über den WKL OData ODBC Driver oder den Gateway-Client.
2. Zertifikate und Schlüssel verwaltet TrustBridge auf dem Rechner; die Anwendung braucht keine.

Ergebnis. Jede Anfrage durchläuft den TLS-Adapter des Auftraggebers, der Kette, Namensraum, Sperrstatus und Beziehungsrichtlinie prüft. Der Gateway führt nur aus, was die Regel des Alias erlaubt, und protokolliert die Operation mit der Partneridentität. Den Verbindungsaufbau protokolliert der TLS-Adapter.

• Ob ein VPN des Lieferanten entfällt, hängt davon ab, wofür es sonst noch genutzt wird. Für den Datenzugriff über den Gateway braucht der Lieferant keinen Zugang zum übrigen Netz.
• Die Strecken zwischen TLS-Adapter und Gateway und zwischen Gateway und Datenbank schützt der Betreiber nach seinen eigenen Regeln.
• Wie Regeln, Aliasse und Anmeldeverfahren des Gateways funktionieren, beschreibt die Dokumentation des Database Gateway.
• Beenden Sie den Zugriff durch Widerruf der Beziehung, nicht durch Sperren einzelner Konten.

• Anbindung an den Database Gateway – wie der Zugriff in vier Schritten abläuft und was sich gegenüber einem direkten Zugriff ändert
• Föderation und bilaterales Vertrauen – Beziehungsrichtlinie je Richtung
• Zu einem Partner entstehen keine neuen Verbindungen