创建数据库控制策略

操作场景

数据库控制策略是用于拦截数据库会话敏感操作，实现数据库运维操作的细粒度控制。授权用户登录策略关联的数据库资源，当数据库运维会话触发规则，将会拦截数据库会话操作。

数据库控制策略支持以下功能项：

有效期：设置策略生效的日期范围，即策略的生效时间和失效时间。若不设置，则永久有效。
时间限制：设置策略生效或失效的星期和时刻。
执行动作：设置策略控制用户的执行动作。
- 断开连接：触发该策略规则后，拒绝执行该操作，断开会话连接，界面提示“本次连接已被管理员强制断开！”。
- 拒绝执行：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截”。
- 动态授权：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截，请提交数据库授权工单申请动态授权”，同时生成数据库授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。
- 允许执行：默认允许执行所有操作。当触发策略规则后，放行规则集中操作。

约束与限制

仅专业版堡垒机支持数据库运维操作审计。
仅针对MySQL、Oracle、Postgresql、Gaussdb类型数据库，支持通过数据库控制策略设置操作细粒度控制。

注意事项

在策略列表页面，策略排序区分优先级，排序越靠前优先级越高。可选中策略行上下拖动策略，改变策略排序。

前提条件

当前用户所属角色已拥有“数据库控制策略”模块的管理权限，如何查看各角色的权限，请参见角色。

方式一：创建数据库控制策略

登录堡垒机系统。
在左侧导航栏，选择“策略 > 数据库控制策略 >策略列表”，进入策略列表页面。
单击“新建”，弹出策略配置窗口。

配置策略基本信息。

表1 数据库控制策略参数说明
参数	说明
策略名称	自定义数据库控制策略的名称，系统内“策略名称”不能重复。名称规则：长度1-64个汉字或字符，允许输入英文字母、数字、或“-”。
执行动作	策略控制用户在数据库的执行动作。断开连接：触发该策略规则后，拒绝执行该操作，断开会话连接，界面提示“本次连接已被管理员强制断开！”。拒绝执行：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截”。动态授权：触发该策略规则后，拒绝执行该操作，界面提示“操作“xxx”已被拦截，请提交数据库授权工单申请动态授权”，同时生成数据库授权工单。用户需提交工单，并审核通过后，才能继续执行该命令。允许执行：默认允许执行所有操作。当触发策略规则后，放行规则集中操作。
有效期	设置策略生效的日期范围，即策略的生效时间和失效时间。若不设置，则永久有效。
时间限制	设置策略生效或失效的星期和时刻。

单击“下一步”，关联规则集。
- 可同时关联多个规则集，如何创建规则集，请参见创建和管理规则集。
  - 选择规则集：在“可选择的规则集”框中勾选规则集后，单击，将其移动到“已选择的规则集”框中。
  - 移除规则集：在“已选择的规则集”框中勾选规则集后，单击，将其移动到“可选择的规则集”框中。
- 当规则集关联策略后，新加入到规则集中的规则会自动继承规则集的策略权限。
- 若此处未关联规则集，后续可在数据库控制策略列表页或详情页进行关联。
单击“下一步”，关联用户或用户组。
请确保关联的用户或关联的用户组中的用户拥有提交数据库授权工单的权限，即用户所属角色已拥有“数据库授权工单”模块的管理权限，否则用户登录系统后无法查看数据库授权工单模块，则不能提交工单获取资源运维权限。如何查看各角色的权限，请参见角色。
- 可同时关联多个用户或用户组。
  - 选择用户或用户组：在“关联用户”/“关联用户组”页签，在“可选择的用户”/“可选择的用户组”框中勾选用户或用户组后，单击，将其移动到“已选择的用户”/“已选择的用户组”框中。
  - 移除用户或用户组：在“关联用户”/“关联用户组”页签，在“已选择的用户”/“已选择的用户组”框中勾选用户或用户组后，单击，将其移动到“可选择的用户”/“可选择的用户组”框中。
- 当用户组关联策略后，新用户加入到用户组中会自动继承用户组的策略权限。
- 若此处未关联用户或用户组，后续可在数据库控制策略列表页或详情页进行关联。
单击“下一步”，关联资源账户或账户组。
- 可同时关联多个资源账户或账户组。
  - 选择资源账户或账户组：在“关联资源账户”/“关联账户组”页签，在“可选择的资源账户”/“可选择的账户组”框中勾选资源账户或账户组后，单击，将其移动到“已选择的资源账户”/“已选择的账户组”框中。
  - 移除资源账户或账户组：在“关联资源账户”/“关联账户组”页签，在“已选择的资源账户”/“已选择的账户组”框中勾选资源账户或账户组后，单击，将其移动到“可选择的资源账户”/“可选择的账户组”框中。
- 当账户组关联策略后，新资源账户加入到账户组中会自动继承账户组的策略权限。
- 若此处未关联资源账户或账户组，后续可在数据库控制策略列表页或详情页进行关联。
单击“确定”。

返回策略列表页面，可查看新建的数据库控制策略。后续，用户在运维过程中，触发策略规则，即会被限制相关操作。