Die Architektur moderner Anwendungen sieht häufig sehr ähnlich aus: Ein Benutzer identifiziert sich auf der Middletier gegenüber der Anwendung. Die Anwendung selbst arbeitet dann entweder über einen Connection Pool mit der Datenbank oder es gibt, wie bei Oracle Application Express (Apex) oder den großen Anwendungspaketen von Oracle (Siebel, Oracle E-Business Suite, Peoplesoft...) und SAP, auf der Datenbankseite nur einen einzigen Anwender. Dieser führt alle Abfragen oder Datenmanipulationen für den Endanwender aus. In beiden Fällen - Connection Pool oder einzelner Anwendungsbenutzer - ist auf der Datenbank nicht mehr ohne Weiteres festzustellen, welcher Endanwender tatsächlich für eine Abfrage oder Manipulation verantwortlich ist.

Immer häufiger wird aber aus Gründen der Sicherheit und Nachvollziehbarkeit verlangt, dass nicht nur anwendungsseitig, sondern z.B. auch im Rahmen des Datenbankauditing nachweisbar sein muss, wer genau welche Daten abfragt oder ändert. Deshalb stellt sich die Frage, wie eine Anwendung mit den oben beschriebenen Eigenschaften Informationen über konkrete Benutzer an die Datenbank übergeben kann.

Die Oracle Datenbank bietet für diese Anforderung eine sehr einfache Möglichkeit. Sie setzt lediglich voraus, dass die auf der Middletier laufende Anwendung eine Umgebungsvariable manipuliert, den CLIENT_IDENTIFIER. Wie der CLIENT_IDENTIFIER in den eigenen Anwendungen zu verwenden ist, wird in diesem Tipp dargestellt. Übrigens verwendet Peoplesoft Tools in der Version 8.50 den CLIENT_IDENTIFIER bereits, und auch in der Oracle E-Business Suite soll er schon bald standardmäßig verfügbar sein.

Zunächst soll die Umgebung kurz skizziert werden, die den Hintergrund für die Beispiele dieses Beitrags liefert. Es handelt sich um eine Enterprise Edition der Datenbank in der Version 11.2.0.1. Der Parameter AUDIT_TRAIL ist auf den Wert XML,EXTENDED gesetzt. Die Einstellung bewirkt, dass die Audit Daten im XML Format in eine Datei auf das Betriebssystem geschrieben werden. Das XML Format erlaubt - anders als das oraclespezifische Format, das durch das Setzen des Parameters AUDIT_TRAIL auf OS entsteht - auch das Erfassen des vollständigen SQL Texts eines Statements. Der Aufzeichnung auf der Betriebssystemebene sollte in der Regel der Vorzug gegeben werden, weil damit die Performance einer produktiv genutzten Datenbank insgesamt weniger beeinflußt wird als durch das Schreiben der Audit Daten in die Systemtabelle AUD$. Die Dateien mit den Audit Daten werden in dem Verzeichnis abgelegt, auf das der Initialisierungsparameter AUDIT_FILE_DEST zeigt. Für die Tabelle EMP des Benutzers SCOTT ist das public synonym EMP definiert. Scott hat für die Tabelle EMP das Auditing mit folgendem Befehl aktiviert:

AUDIT select, insert, update, delete ON emp

SELECT db_user, object_name, client_id, sql_text FROM dba_common_audit_trail
WHERE object_name = 'EMP';

DB_USER  OBJECT_NAME  CLIENT_ID  SQL_TEXT
-------- ------------ ---------- -----------------------------------------------
APPUSER  EMP                     SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp
APPUSER  EMP                     UPDATE emp SET sal = sal + 1 WHERE empno = 7934
APPUSER  EMP                     SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp WHERE empno = 7934
APPUSER  EMP                     UPDATE emp SET sal = sal - 1 WHERE empno = 7934

-- Variable ENDANWENDER wird durch die Anwendung gesetzt und dann mit DBMS_SESSION weiterverarbeitet.
--
DBMS_SESSION.SET_IDENTIFIER(endanwender);

SELECT db_user, object_name, client_id, sql_text FROM dba_common_audit_trail
WHERE object_name = 'EMP';

DB_USER  OBJECT_NAME  CLIENT_ID  SQL_TEXT
-------- ------------ ---------- -----------------------------------------------
APPUSER  EMP                     SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp
APPUSER  EMP                     UPDATE emp SET sal = sal + 1 WHERE empno = 7934
APPUSER  EMP                     SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp WHERE empno = 7934
APPUSER  EMP                     UPDATE emp SET sal = sal - 1 WHERE empno = 7934
APPUSER  EMP          Fabry      SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp
APPUSER  EMP          Fabry      UPDATE emp SET deptno = 40 WHERE empno = 7900
APPUSER  EMP          Schwinn    SELECT empno, ename, job, mgr, hiredate, sal,
                                 comm, deptno FROM emp WHERE empno = 7900
APPUSER  EMP          Schwinn    UPDATE emp SET deptno = 30 WHERE empno = 7900

DBMS_SESSION.CLEAR_IDENTIFIER;

Zurück zur Community-Seite