כל דבר בנושא DB2.

[TheDM]

כל דבר בנושא DB2.

אז מה זה DB2 ? קודם כל DB2 הוא מסד נתונים טבלאי מבית IBM שהעבודה מולו מתבצעת באמצעות שאילתות SQL ממש כמו כל שאר מסדי הנתונים בשוק בימינו. בעבר DB2 עבד רק על פלטפורמת המחשב המרכזי אבל היום IBM שיחררה גרסאות של DB2 לסביבת יוניקס, לינוקס ווינדוס. היות ואני יכול לדבר על DB2 במשך ימים (וזה מה שאני עושה כשאני מעביר קורסים בנושא DB2) אז אני אתן כמה נקודות עיקריות ואתייחס רק ל-DB2 לסביבת המחשב המרכזי: DB2 עובד עם המערכות הסטנדרטיות של המחשב המרכזי, כלומר ניתן לנהל הרשאות ב-RACF וניתן להתחיל trace-ים שיוציאו פלטים ל-SMF או GTF. כמובן ש-DB2 תומך בריבוי מעבדים ויכול לנצל את זטחי הזיכרון העצומים ומספר המעבדים הגדול שמחשבים מרכזיים ידועים בהם. בין יתרונותיו הבולטים של מסד הנתונים הזה יש את היציבות הנהדרת שלו (שהיא תוצאה של תוכנה שמפתחים אותה כבר במשך למעלה מ-20 שנה), היכולת לגיבוי ושיחזור ברמת הטבלה הבודדת (וחשוב מכל: היכולת לשחזר כל טבלה לנקודת זמן כלשהי לבחירתך בלי קשר לתאריך הגיבוי), היום בעקבות ריבוי מערכות ה-ERP (וביחוד SAP) DB2 תומך גם בגיבוי\שיחזור של כלל הנתונים על מסד הנתונים במגוון טכנולוגיות מתקדמות (flash copy), איסופי סטטיסטיקות ואירגון המידע בדרכים היעילות ביותר לגישה. רגע, לא אמרת משהו על SQL סטטי? נקודה טובה, רוב מסדי הנתונים בעולם היום עוסקים במה שנקרא SQL דינמי שזה אומר שמסלול הגישה לנתונים (או בעברית "איך אני משיג בשבילך את מה שאתה רוצה") נקבע בעת הפעלה השאילתה, ב-DB2 משתמשים ב-SQL סטטי, מה שאומר שתהליך החשיבה כדי לקבוע מה הדרך היעילה ביותר לגשת למידע נקבעת מראש וככה נחסך זמן כאשר מפעילים את השאילתה שלך. אורי, מה שאתה כותב זה נחמד אבל אפשר לקבל את זה ממקור רישמי? כן, כל הספרות המקצועית של DB2 נמצאת Online באתר של IBM ב: http://www-306.ibm.com/software/data/db2/zos/v8books.html (זה הספרות של גרסה שמונה, ויש כבר תשע אבל רוב העולם בשבע). אם יש למישהו עוד שאלות בנושא יותר ספציפי אני אשמח לענות (תשרשרו את השאלות תחת הפנייה הזו). אורי ליפשיץ.

 

[eliak]

לוג DBA

אחת הבעיות במערכות פתולות היא היכולת של אדמיניסטרטור לשלוט על לוג הפעילות שלו ובטח ש DBA יכול לגשת במקום האפליקציה וכך להסתיר את הגישה שלו איך הנושא הזה מטופל במחשב מרכזי ז"א היכולת שלא לאפשר ל DBA לרמות את המערכת בגישה והיכולת שהוא לא יצליח להסתיר את הגישה וירשם בלוג בלי יכולת למחוק

 

[TheDM]

בעצם:"מה אם לא סומכים על ה-DBA?"

שלום, הנושא שהעלת הוא בעייתי וסבוך, התשובה הפשוטה היא שאין לך ברירה אלה לסמוך על ה-DBA שלך כי אם הוא שווה משהו אין מגבלה שבאמת תעצור אותו. הדרך הנכונה היא לסדר הרשאות נכונות מראש: * אפשר להגביל גם את ההרשאות של ה-DBA: ניתן לתת ל-DBA הרשאות לבצע פעולות SYSTEM אבל לא לגעת בתוכן של המידע (זה פשוט לתת לו קבוצת הרשאות שונה). * ניתן למנוע בכלל גישה ללוגים של DB2 לכל אחד חוץ מ-DB2. אחרי שאמרנו את זה בוא נראה מה עוד אפשר לעשות: * בין קשה מאוד לבלתי אפשרי לשחק עם הלוגים של DB2, ניתן לבצע פעולות מסוימות עם utility שלא נרשמות בלוג אבל הן נרשמות במקומות אחרים. * DB2 שומר רישום מדויק של כל פעולת SQL במערכת ועל ידי מי היא בוצעה, אם הרמת פירוט הזו לא מתאימה לך ניתן לפתוח trace ששומר יותר מידע על כל פעולה. אני אסיים בשני דברים: 1. נראה לי שיש לך בעיה יותר מסוימת, אם אתה לא רוצה לרשום פה אתה יכול לשלוח לי mail ל- Uri.Lifshi (AT) Gmail.com . 2. קשה מאוד לעקוף את המנגנונים של DB2 כדי לעשות משהו שלא יראה בלוגים וגם אז כדי לעשות את זה אתה חייב הרשאות SYSTEM מאוד חזקות. אורי.

 

[ע נ נ ת]

לדעניותי, אם אתה לא סומך על הDBA שלך - למה

בכלל העסקת אותו? באותה צורה, איש הsystem יכול לעשות שינויים מערכתיים שלא תדע עליהם, ואיש האפליקציה יכול לכתוב תכנית נפלאה, שעושה כל מה שרצית שהיא תעשה - ומאחורי הגב, בדרך, מוסיפה עוד כמה features שלא תכננת אבל הוא כן. שלום, אני בוגרת קורס תכנות וממר"ם, 18 שנים DBA לDB2. וכמו שאורי אמר, אם הDBA הוא אדם רציני - אז מצד אחד, הוא יצליח לעקוף את רוב המגבלות; מצד שני, סביר להניח שהוא אחראי מספיק והוא לא יעשה את זה.

 

[eliak]

עבודה שונה

מכובדי מה זה קשור הלסמוך הזה לכם יש עבודה מסוג אחד שזה MF DBA ולי יש עבודה מסוג אחר וזה לרשום מה עושה MF DBA וכל בעל תפקיד בכל פלטפורמה מחשובית. אל תקחו את זה אישית אבל אני מתפרנס מזה הלרשום מה כל אחד עושה ולהוציא התראות על חריגות. הביקורת צריכה את זה והממשלה מבקשת את זה ונהול סיכונים מודרני לא יכול בלי זה. כל מה שספרתם אני יודע ואני צריך שתהיו יצירתיים ואני לא מסתיר כלום אורי ,השאלה היא ישירה כדי ללמוד מכם את האפשרויות כי MF כיום אין אנשים צעירים שמפתחים כלי בקרה לדוגמא בשרתים אין את הבעיה הזו יש מוצר שמבצע jpeg שנשלח לאחסון ובכל שלב אין אפשרות למחוק אותו אז מקווה ששכנעתי

 

[טופי]

אתה מדבר על Auditing

זהו אכן שלב הכרחי באבטחת מידע. לפי מיטב ידיעתי גם בDB2 ניתן להגדיר Auditing. (אין לי שום ידע בDB2, אבל שמעתי על זה נעשה) הנה לינק

 

[TheDM]

לינק לא מדויק.

שלום טופי, הלינק שצירפת מדבר על auditing ב-DB2 UDB for LUW ואילו אנחנו בפורום הזה מדברים רק על DB2 UDB for z/OS (בכל זאת זה פורום בנושא מחשב מרכזי

). לינק שיכול מאוד לעזור בנושא הוא הפרק שעוסק באבטחה ו-auditing ב-administration guide: http://publib.boulder.ibm.com/cgi-bin/bookmgr/BOOKS/dsnagh16/3.0?DT=20061206092512 אורי ליפשיץ.

 

[טופי]

וזה לא יעבוד?

הפקודות שונות? ומה זה LUW?

 

[TheDM]

טוב, אני חושב שהבנתי יותר מה אתה מחפש...

אבל עדיין יש כמה דרכים לגשת לפיתרון הנושא: (1) ניתן לעבוד מתוך ה-DB2 ולפתוח trace ברמת DB2, במקרה כזה אתה יכול לפרט בTRACE שלך בדיוק איזה פעולות אתה רוצה שירשמו הצידה לרשומות SMF/GTF ולהוציא מהם דוח"ות. (2) ניתן לעבור על הלוגים של DB2 ולהוציא מהם איזה פקודות SQL בוצעו ועל איזה טבלאות (יש לא מעט מוצרים שעושים את זה) ואז יש לך דו"ח של מי נגע באיזה נתונים. (3) אם אתה מנהל את ההרשאות גישה למידע ב-RACF (בניגוד ללשמור אותן בתוך DB2) ניתן להוציא דו"ח של גישה לנתונים משם. (4) תלוי דרך הגישה לנתונים (דרך SPUFI/TBEDIT וכו...) לרשום user exit שיתן לך את הפעולה של מי שניגש לנתונים. לכל אחת מהדרכים שציינתי ישנן יתרונות וחסרונות כמובן. מקרה שעזרתי.

 

[TzachiY]

מעקב אחר פעילות ב- DB2

בלוג של מסד הנתונים נרשמות כל הפעולות שמשנות מידע, בעקרון - אין אפשרות להמנע מרישום זה (למעט מספר חריגים) פעולות צפיה במידע לא נרשמות (למעט חריגים). מהם החריגים: עבור שינוי מידע - ניתן לבצע LOAD ללא רישום ללוג (צריך אח"כ לבצע גיבוי לטבלה). ניתן להגדיר טבלה כך שתעבוד ללא LOG (החל מגרסה 9 או החל מגרסה 8 עבור שדה LOB בלבד) - כמובן שאחר כך זו בעיה של ה- DBA איך לשחזר את המידע ... עבור צפיה במידע - ניתן לפתוח TRACE מתאים אך הוא מציג רק פקודה ראשונה של שליפת מידע שבוצעה בתוכנית ולא את כל פקודות הצפיה. מטרת הלוג אינה למעקב אלא לשחזור מידע ושלמות נתונים. מי שרוצה ל"צלם" פעילויות - יש מספר מוצרים בשוק שעושים זאת למשל INTELINX או IMPERVA (נושא לדיון אחר) כל הכלים הנ"ל שומרים את המידע ב-DB חיצוני אחר ומי שחושב ששם אי אפשר לשנות מידע ....

צחי יאסין

 

[הזחל הכחול]

ברוך הבא ../images/Emo70.gif../images/Emo70.gif../images/Emo70.gif

שמח לראות אותך איתנו

 

[zBigBlue]

מתי אתה "מתקמבק" ?