Datenbankverbindung über einen eingeschränkten Datenbank-User

Zur Erhöhung der Sicherheit ist es möglich, dass die Datenbankverbindung von Tomcat zur Datenbank mit einem eingeschränkten User durchgeführt wird. Dies wird von ZENDAS (Zentrale Datenschutzstelle der baden-württembergischen Universitäten) für den Produktivbetrieb nachdrückliche empfohlen.

Richten Sie dazu einen entsprechenden eingeschränkten User in Ihrer Datenbank ein und geben Sie diesen beim Propadmin bei eingeschränkter User an. Der erste im Propadmin auszufüllende User muss weiterhin umfassende Rechte auf alle Tabellen haben, weil er auch bei Modulinstallationen/-updates verwendet wird. Das Minimum, was der eingeschränkte User haben muss sind select Rechte auf alle Tabellen, insert-Rechte auf die Tabelle user_pw und protokoll (sowie bei Postgres auf die zugehörige Sequence protokoll_protokoll_id_seq) und update-Rechte auf userinfo.

Sobald Sie Ihre db.properties mit dem Propadmin bearbeitet haben, können Sie praktisch die Minimal nötigen Rechte vergeben, in dem Sie einmal das Skript

sx_restrictedconnmanager.x false aufrufen. Rufen Sie dieses Skript erneut auf nach Modulneuinstallationen oder Upgradepatches.

Nach einem Tomcat-Neustart findet sich in der catalina.out nach "Aufbau von Datenbank-ConnectionPool (..) .. OK" ein Hinweis:

eingeschränkter Datenbankuser für Verbindung: true|false

Wenn Sie Funktionen wie User/Gruppe/Maske einrichten/löschen etc. im XML-Frontend benutzen wollen, müssen zusätzliche Kernmodultabellen freigeschaltet werden:

protokoll
userinfo
groupinfo
user_institution
user_sachgeb_bez
user_masken_bez
group_sachgeb_bez
group_masken_bez
user_group_bez
user_pw
user_sichten
user_sichtarten
group-sichten
group_sichtarten
felderinfo
maskeninfo
maske_system_bez
masken_felder_bez
sachgeb_maske_bez
organigramm
themenbaum

Am einfachsten können Sie dies erledigen, indem Sie das Skript

sx_restrictedconnmanager.x true aufrufen.

Exkurs:

Wenn Sie die höchste Sicherheit wollen, aber der Zuständige für die Userverwaltung trotzdem das XML-Frontend benutzen können soll, könnten Sie folgendermaßen vorgehen:

· Richten Sie für den regulären SuperX-Betrieb einen eingeschränkten User mit minimalen Rechten ein, wie oben beschrieben und deaktivieren Sie alle Datenbankformulare, indem Sie nach jedem Modulupgrade das Verzeichnis tomcat/webapps/superx/edit leeren.

· Erzeugen Sie einen weiteren eingeschränkten Datenbankuser, der zusätzlich die Kernmodultabellen bearbeiten darf.

· Richten Sie einen zweiten Tomcat ein, der mit diesem zweiten eingeschränkten Datenbankuser arbeitet.

· Sorgen Sie (z.B. per Firewall) dafür, dass nur der für die Userverwaltung zuständige Mitarbeit Zugriff auf den zweiten Tomcat hat.

Seite 101 / 257
Letzter Update: 07.06.2007
Impressum