Povezava z Database Gateway
Povzetek. WKL Database Gateway je naravna prva uporaba TrustBridge: obstoječa poslovna aplikacija dobavitelja potrebuje dostop do podatkov naročnika. Gateway ureja, katere operacije s podatki so dovoljene; TrustBridge mu zagotovi preverjeno identiteto partnerskega sistema in zaščiti povezavo do njega. Adapter TLS je edini vhod pred Gatewayem in mu posreduje organizacijo, storitev in namen povezave; Gateway vsako zahtevo pooblasti po svojih pravilih. Dobavitelj za to ne potrebuje niti uporabniškega računa v omrežju naročnika niti poverilnic za podatkovno bazo. TrustBridge deluje tudi brez Gatewaya; povezava z njim je možnost, ne pogoj.
Pojmi
- Database Gateway – podatkovna storitev WKL, ki podatkovne baze naredi dosegljive prek HTTP in OData ter vsako zahtevo pooblasti po pravilih za vsak alias.
- Alias – vir podatkov, objavljen v Gatewayu, z lastno povezavo in lastnimi pravili.
- Zaupanja vreden posrednik (proxy) – predhodna storitev, katere posredovano identiteto Gateway prevzame, ker je dosegljiv izključno prek te storitve.
- Identiteta partnerja – kombinacija organizacije, imena storitve in razmerja povezave, ki jo preveri adapter TLS.
Dostop v štirih korakih
sequenceDiagram participant LA as Aplikacija dobavitelja participant TL as Adapter TLS dobavitelja participant TA as Adapter TLS naročnika participant GW as Database Gateway participant DB as Podatkovna baza Note over TL,TA: 1. razmerje dogovorjeno, politiki obeh strani aktivni LA->>TL: zahteva za Gateway TL->>TA: 2. TLS 1.3 s certifikati, dodatno skrivnostjo PQ, hibridno skupino TA->>TA: preveri verigo, imenski prostor, stanje preklica, politiko TA->>GW: zahteva z identiteto partnerja in namenom GW->>GW: 3. preveri pravilo aliasa za to identiteto GW->>DB: 4. izvede dovoljeno operacijo DB-->>GW: rezultat GW-->>TA: odgovor, operacija zabeležena TA-->>TL: odgovor TL-->>LA: odgovor
- Dogovor o razmerju. Naročnik in dobavitelj se dogovorita za omejeno razmerje zaupanja. Naročnik v svoji smeri dovoli natanko tiste storitve dobavitelja, ki naj dosežejo Gateway, za namen dostopa in s kriptografskimi zahtevami, ki jih postavlja.
- Vzajemno preverjanje in zaščita povezave. Adapterja TLS obeh strani vzpostavita vzajemno overjeno povezavo TLS 1.3, dodatno zaščiteno s postkvantno skrivnostjo agentov ključev. Naročnikov adapter preveri verigo, imenski prostor, stanje preklica in politiko razmerja ter identiteto partnerja posreduje Gatewayu.
- Preverjanje pravic. Gateway zahtevo preveri po pravilu aliasa za to identiteto partnerja: katere tabele in pogledi, katere operacije, katere vrstice.
- Izvedba in dokaz. Dovoljena operacija se izvede in zabeleži v dnevniku Gatewaya skupaj z identiteto partnerja. Vzpostavitev povezave je zabeležena v dnevniku adapterja TLS.
Kaj se spremeni v primerjavi z neposrednim dostopom
| Doslej pogosto | S TrustBridge in Gatewayem |
|---|---|
| Dostop VPN dobavitelja v omrežje naročnika | samo povezava do adapterja TLS pred Gatewayem, za dovoljene storitve dobavitelja |
| Poverilnice za podatkovno bazo pri dobavitelju | nobenih; Gateway se s podatkovno bazo poveže sam |
| En uporabniški račun za vsakega dobavitelja, vzdrževan ročno | identiteta iz certifikata, pravice kot pravilo v Gatewayu |
| Prekinitev z zaklepanjem računa, dostopa VPN in gesla na več mestih | preklic razmerja na enem mestu |
| Dokazi v razpršenih dnevnikih | povezava v dnevniku adapterja TLS, operacija v dnevniku Gatewaya, oboje z isto identiteto partnerja |
Ali VPN s tem postane odveč, je odvisno od tega, za kaj se še uporablja. Za dostop do podatkov prek Gatewaya dobavitelj ne potrebuje dostopa do preostalega omrežja naročnika.
Postavitev pri naročniku
graph TD
subgraph AG [Omrežje naročnika]
TA[Adapter TLS<br/>edini vhod od zunaj]
GW[Database Gateway<br/>pravila za vsak alias]
DB[(Podatkovna baza)]
KA[Agent ključev]
end
EXT[Sistemi partnerjev]
EXT -->|TLS 1.3, vrata adapterja| TA
KA ==>|zunanji PSK| TA
TA -->|identiteta partnerja, lokalno| GW
GW --> DB
classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
classDef auth fill:#fff4ce,stroke:#8a6d00,color:#201f1e
classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
class TA,DB onl
class GW auth
class EXT par
class KA pq
style AG fill:#ffffff,stroke:#8a8886,color:#201f1e| Nastavitev | Kje | Namen |
|---|---|---|
| Adapter TLS kot zaupanja vreden posrednik | Gateway, TrustedProxies | Gateway identiteto partnerja prevzame samo od adapterja |
| Gateway dosegljiv samo iz adapterja | omrežje ali požarni zid strežnika | sicer bi lahko vsakdo sam zapisal glave z identiteto |
| Pravilo za vsak alias za identiteto partnerja | Gateway | določi dovoljene operacije in vrstice |
| Politika razmerja s storitvami Gatewaya | TrustBridge | dovoli samo dogovorjene sisteme dobavitelja |
Postavitev po korakih je opisana v Povezava dobavitelja z Database Gateway.
Postavitev pri dobavitelju
Aplikacija dobavitelja se poveže s svojim lokalnim adapterjem TLS, kot da bi bil Gateway na istem strežniku ali v lastnem omrežju. To velja za lastne aplikacije prek HTTP in OData enako kot za Microsoft Access, Excel ali Power BI prek WKL OData ODBC Driver ali odjemalca Gateway. Aplikacija ne potrebuje niti certifikatov niti ključev; oboje TrustBridge upravlja na strežniku.
Česa ta stran ne določa
- Pravil Gatewaya. Kako delujejo pravila, aliasi in postopki prijave, opisuje dokumentacija Database Gateway.
- Zaščite odsekov znotraj omrežja. Povezavo med adapterjem TLS in Gatewayem ter med Gatewayem in podatkovno bazo upravljavec zaščiti po svojih pravilih.
- Obveznosti uporabe Gatewaya. TrustBridge enako ščiti povezave do drugih aplikacij; povezava z Gatewayem je ena od več.
- Trditve, da VPN v vsakem okolju postane odveč.