레이블은 크게 데이터 레이블과 사용자 레이블로 나누어 생각할 수 있다.

레이블을 구성하는 요소는 레벨, 구획, 그룹으로 나뉜다. 해당 요소들을 적절하게 결합하여 레이블을 생성할 수 있다.

레벨은 레이블 정보의 민감도를 등급화 한 지표이다. 큰 레벨 값은 정보의 민감도가 높다는 것을 의미한다.

다음과 같이 레벨을 정의할 수 있다.

구획은 레이블이 지정된 데이터 정보의 민감도를 더 세분화하는 영역이다. 특정 프로젝트와 관련 있는 모든 데이터는 동일한 구획으로 레이블을 지정할 수 있다.

다음과 같이 구획을 정의할 수 있다.

그룹은 계층적 구조로 레이블이 지정된 데이터 정보의 민감도를 더 세분화하는 영역이다. 조직 구성을 기반으로 데이터에 레이블을 지정할 수 있으며, 특정 부서와 관련있는 모든 데이터는 레이블에 해당 부서의 그룹을 포함할 수 있다.

다음과 같이 그룹을 정의할 수 있다.

레이블 구성 요소를 정의한 후 특정 레벨, 구획, 그룹 집합을 결합하여 데이터 레이블을 생성할 수 있다.

다음과 같은 구문 형태로 레이블 문자열 표현이 가능하다.

LEVEL:COMPARTMENT1,…,COMPARTMENTn:GROUP1,…,GROUPn

SECRET:ALPHA,BETA:TMAX_DATA
CONFIDENTIAL:GAMMA:TMAX
PUBLIC
SECRET::TMAX_SOFT

레벨은 레이블 정보의 민감도를 등급화한 지표이다. 큰 레벨 값은 정보의 민감도가 높다는 것을 의미한다.

다음과 같이 레벨을 정의할 수 있다.

구획은 레이블이 지정된 데이터 정보의 민감도를 더 세분화하는 영역이다. 특정 프로젝트와 관련 있는 모든 데이터는 동일한 구획으로 레이블을 지정할 수 있다.

다음과 같이 구획을 정의할 수 있다.

그룹은 계층적 구조로 레이블이 지정된 데이터 정보의 민감도를 더 세분화하는 영역이다. 조직 구성을 기반으로 데이터에 레이블을 지정할 수 있으며, 특정 부서와 관련있는 모든 데이터는 레이블에 해당 부서의 그룹을 포함할 수 있다.

다음과 같이 그룹을 정의할 수 있다.

관리자는 사용자에게 Label Security 정책에 대한 레벨 권한을 명시적으로 설정할 수 있다.

관리자는 사용자가 접근할 수 있는 구획을 명시적으로 지정할 수 있다. 쓰기 권한이 없는 구획이 포함된 행을 직접 삽입, 업데이트 또는 삭제할 수 없다.

다음은 사용자에게 지정한 구획에 대한 예이다.

관리자는 사용자가 접근할 수 있는 그룹을 명시적으로 지정할 수 있다.

다음은 사용자에게 지정한 그룹에 대한 예이다.

Label Security 정책 컨테이너는 정책에 대한 메타 데이터를 저장한다. 이 컨테이너는 정책의 이름, 정책을 부여할 테이블에 추가되는 열의 이름, 정책에 대한 기본 옵션을 담고있다.

다음은 정책을 생성하는 구문에 대한 예이다.

BEGIN
  SA_SYSDBA.CREATE_POLICY (
    policy_name => 'tls_pol',
    column_name => 'lb_col',
    default_options => 'read_control');
  END;
/

Default option은 정책을 특정 테이블에 적용할 때, 테이블 옵션을 부여하지 않을 경우 설정되는 기본 옵션이다.

데이터 레이블은 테이블 행 의 민감도를 나타낸다. 데이터 레이블의 구성요소는 레벨, 구획, 그룹이 있다.

레벨은 등급에 따른 구분이다. 숫자가 클수록 높은 보안 등급을 의미한다.

다음은 정책에 대한 레벨을 생성하는 예이다.

BEGIN 
  SA_COMPONENTS.CREATE_LEVEL(
    policy_name => 'tls_pol',
    level_num   => 30,
    short_name => 'S',
    long_name   => 'SECRET'
  );
  SA_COMPONENTS.CREATE_LEVEL(
    policy_name => 'tls_pol',
    level_num   => 20,
    short_name => 'C',
    long_name   => 'CONFIDENTIAL'
  );
  SA_COMPONENTS.CREATE_LEVEL(
    policy_name => 'tls_pol',
    level_num   => 10,
    short_name => 'P',
    long_name   => 'PUBLIC'
  );
END;
/

구획은 영역에 따른 구분이다. 사용자는 자신이 속한 영역의 데이터를 읽을 수 있다.

다음은 정책에 대한 구획을 생성하는 예이다.

BEGIN
  SA_COMPONENTS.CREATE_COMPARTMENT (
    policy_name     => 'tls_pol',
    comp_num      => '80',
    short_name      => 'A',
    long_name       => 'ALPHA’
  );
  SA_COMPONENTS.CREATE_COMPARTMENT (
    policy_name     => 'tls_pol',
    comp_num      => '50',
    short_name      => 'B',
    long_name       => 'BETA')
  ;
  SA_COMPONENTS.CREATE_COMPARTMENT (
    policy_name     => 'tls_pol',
    comp_num       => '20',
    short_name      => 'G',
    long_name       => 'GAMMA')
  ;
END;
/

그룹은 계층에 따른 구분이다. 사용자는 자신이 속한 조직의 데이터를 읽을 수 있다.

다음은 정책에 대한 그룹을 생성하는 예이다.

BEGIN
  SA_COMPONENTS.CREATE_GROUP (
    policy_name     => 'tls_pol',
    group_num       => 1000,
    short_name      => 'T’,
    long_name       => 'TMAX')
  ;
  SA_COMPONENTS.CREATE_GROUP (
    policy_name     => 'tls_pol',
    group_num       => 1100,
    short_name      => 'T_DATA',
    long_name       => 'TMAX_DATA’,
    parent_name     => 'T')
  ;
  SA_COMPONENTS.CREATE_GROUP (
    policy_name     => 'tls_pol',
    group_num       => 1200,
    short_name      => 'T_SOFT',
    long_name       => 'TMAX_SOFT',
    parent_name      => 'T')
  ;
END;
/

SA_LABEL_ADMIN.CREATE_LABEL을 통해 데이터 레이블을 생성할 수 있다.

다음은 데이터 레이블을 생성하는 예이다.

BEGIN
  SA_LABEL_ADMIN.CREATE_LABEL(
    policy_name => 'tls_pol',
    label_tag   => 300000,
    label_value => 'S',
    data_label  => TRUE
);
  SA_LABEL_ADMIN.CREATE_LABEL(
    policy_name => 'tls_pol',
    label_tag   => 200000,
    label_value => 'C',
    data_label  => TRUE
);
  SA_LABEL_ADMIN.CREATE_LABEL(
    policy_name => 'tls_pol',
    label_tag   => 100000,
    label_value => 'P',
    data_label  => TRUE
);
END;
/

사용자 레이블은 SA_USER_ADMIN.SET_LEVELS, SA_USER_ADMIN.SET_COMPARTMENTS, SA_USER_ADMIN.SET_GROUPS 프러시저를 통해 부여할 수 있다.

레벨은 SA_USER_ADMIN.SET_LEVELS 프러시저를 통해 부여할 수 있다.

다음은 정책에 대한 사용자 레벨을 부여하는 예이다.

BEGIN
  SA_USER_ADMIN.SET_LEVELS(
    policy_name => 'tls_pol',
    user_name   => 'tibero',
    max_level   => 'S',
    min_level   => 'C',
    def_level   => 'C',
    row_level   => 'C')
  ;
END;
/

레벨을 설정한 후 선택적으로 구획을 사용자에게 부여할 수 있다. SA_USER_ADMIN.SET_COMPARTMENTS 프러시저를 통해 부여할 수 있다.

다음은 정책에 대한 사용자 구획을 부여하는 예이다.

BEGIN
  SA_USER_ADMIN.SET_COMPARTMENTS (
    policy_name   => 'tls_pol',
    user_name     => 'tibero', 
    read_comps    => 'A, B, G',
    write_comps   => 'A, B',
    def_comps     => 'A, B',
    row_comps     => 'A, B')
  ;
END;
/

레벨을 설정한 후 선택적으로 그룹을 사용자에게 부여할 수 있다. SA_USER_ADMIN.SET_GROUPS 프러시저를 통해 부여할 수 있다.

다음은 정책에 대한 사용자 그룹을 부여하는 예이다.

BEGIN 
  SA_USER_ADMIN.SET_GROUPS (
    policy_name    => 'tls_pol',
    user_name      => 'tibero', 
    read_groups    => 'T',
    write_groups   => 'T',
    def_groups     => 'T',
    row_groups     => 'T')
  ;
END;
/

테이블에 대한 정책 적용은 SA_POLICY_ADMIN.APPLY_TABLE_POLICY 프러시저를 통해 할 수 있다.

다음은 데이터베이스 테이블에 정책을 적용하는 예이다.

BEGIN
  SA_POLICY_ADMIN.APPLY_TABLE_POLICY(
    policy_name       => 'tls_pol',
    schema_name       => 'tibero',
    table_name        => 'test_table',
    table_options     =>‘read_control’)
  ;
END;
/