Базы данных Oracle - статьи
Более сложная структура метки доступа
Важным развитием является возможность формировать метку доступа более сложным путем, нежели чем на основе только уровня секретности. В состав метки можно еще включать следующие компоненты:
- Разделы данных (compartment). Позволяют сгруппировать данные по категориям с общим режимом доступа, например «административные данные», «финансовые данные», «операционные данные».
- Группы безопасности пользователей (security groups). Позволяют сгруппировать пользователей данных по принципу общих правил доступа, например «главное управление», «южное отделение», «северное отделение», «предприятие X», «предприятие Y». В отличие от разделов данных группы пользователей могут формировать древовидную подчиненность.
И разделы данных, и группы пользователей описываются тройками
<номер, краткое название, развернутое название> ,
однако в отличие от уровня секретности номера здесь не несут никакого прикладного смысла и выбираются произвольно.
Таким образом в общем случае метка доступа может иметь вид:
уровень: раздел1, раздел2, ...: группа1, группа2 ...
В версии 10.1 информацию об уровнях, разделах данных и группах пользователей стало возможным помещать в сервер имен OID/LDAP, что существенно для ценности самого подхода.
В отличие от простых меток, соответствующих уровням доступа, составные метки имеют более сложные правила упорядочения, но и обеспечивают большую функциональность.
