강제적 접근 통제 속성

강제적 접근 통제 속성(Mandatory control property)은 같은 데이터소스가 공급하는 객체(Object)의 다른 속성값에 접근 요건을 적용합니다. 보안 표지(Marking), 조직(Organization) 또는 보안 분류(Classification)의 요건을 만족하는 사용자에게 해당 값을 보여 줍니다. Object Storage V2에서만 지원합니다.

제한 뷰 기반 구성

1. 보안 표지 열을 사용하는 제한 뷰(Restricted view)를 만듭니다.
2. Ontology Manager에서 대상 객체 유형(Object type)의 속성을 만들거나 선택합니다.
3. 제한 뷰의 해당 보안 표지 열에 속성을 매핑합니다.
4. 기본 자료형(Base type)을 Mandatory Control로 지정합니다. 기본 구성은 보안 표지와 조직을 지원하고 CBAC가 활성화되어 있으면 분류 방식을 선택할 수 있습니다.
5. 데이터소스의 Allowed markings와 Allowed organizations 또는 Max classification을 지정합니다.
6. 다른 기반 데이터소스도 보호해야 한다면 각 원천에 맞는 통제 속성을 설정합니다.
7. Save하고 재인덱싱 결과를 확인합니다.

접근 요건의 결합

데이터소스별 보호 범위

기반 데이터소스 하나의 통제 속성은 그 데이터소스에 연결된 다른 속성들을 보호합니다. 원천이 하나인 유형은 이 요건을 만족해야 객체를 볼 수 있습니다.

다중 원천 유형은 원천마다 다른 통제 속성을 둘 수 있습니다. 사용자가 일부 원천에만 접근할 수 있으면 그 원천에서 제공하는 속성만 보이고 나머지 속성은 null로 표시됩니다. 같은 접근 요건으로 보호할 속성들을 같은 원천에 배치합니다.

필수 값과 허용 범위 검증

데이터소스 기반 구성의 통제 속성은 제한 뷰의 보안 표지 열에 매핑해야 합니다. 제한 뷰 정책이 해당 열의 표지를 만족해야 행을 볼 수 있도록 실제 접근을 통제합니다.

통제 속성은 필수 속성이어야 하며 null을 허용하지 않습니다. 보안 표지와 조직 값에는 빈 배열을 허용할 수 있습니다. 빈 배열이면 해당 통제 요건은 모든 사용자가 만족하지만 프로젝트와 뷰 등의 다른 접근 권한은 별도로 필요합니다.

기존 편집이 있는 데이터소스 없는 유형에 통제 속성을 추가하는 경로에서는 먼저 nullable 문자열 배열 속성을 추가합니다. 액션으로 적절한 통제 값을 채운 뒤 기본 자료형을 Mandatory Control로 바꿉니다. 기존 객체에 null이 남은 상태로 필수 통제 속성을 바로 만들지 않습니다. 이 유형의 프로젝트 및 객체 보안 정책은 데이터소스 없는 유형의 설정을 따릅니다.

허용 표지와 조직 또는 최대 분류는 인덱싱 데이터와 편집 값 모두에 적용합니다. 정의 저장이 성공해도 기존 값이 범위를 벗어나면 객체 저장소의 검사에서 인덱싱에 실패할 수 있습니다. 나중에 입력 데이터에 잘못된 값이 추가되어도 마찬가지입니다.

허용 범위를 위반한 편집은 성공적으로 적용되지 않습니다. 분류 매개변수(Parameter)에 최대 분류를 직접 설정하면 제출 검증 단계에서 막을 수 있습니다. 데이터소스의 검증에만 의존하면 액션 요청이 제출된 뒤 실행에 실패할 수 있습니다.

구체화와 표시

허용 표지, 조직과 최대 분류는 객체 유형에서 구체화한 출력 데이터셋의 접근 요건에도 사용합니다. 전체 행을 볼 수 있는 사용자에게만 구체화 결과가 허용되도록 보호합니다.

통제 속성의 기본 표시 상태는 Hidden입니다. 일반 표나 객체 뷰(Object view)에 통제 값을 직접 표시할 필요가 적기 때문입니다. 필요하면 표시할 수 있으며 표시 설정 자체가 실제 접근 통제를 바꾸지는 않습니다.

액션 입력

액션에는 보안 표지 매개변수 또는 CBAC가 활성화된 경우 분류 매개변수를 추가할 수 있습니다. 조직 매개변수는 지원하지 않습니다.

생성 액션이 통제 값을 설정한다면 입력은 속성의 허용 범위를 만족해야 합니다. 분류 매개변수에도 최대 분류를 설정하여 제출 전에 값을 검증할 수 있습니다. 액션으로 만든 객체도 입력 원천의 객체와 같은 통제 값으로 보호됩니다.

Marketplace 설치

통제 속성을 가진 객체 유형과 통제 매개변수를 가진 액션 유형을 Marketplace에 패키징할 수 있습니다. 허용 보안 표지 또는 최대 분류를 설치 입력으로 선언합니다. 분류 매개변수 자체의 최대 분류도 설정되어 있으면 설치 입력이 됩니다.

설치자는 해당 값을 선택하고 설치된 정의에 반영합니다. 여러 속성이나 매개변수가 같은 값을 사용하면 하나의 통제 입력으로 묶입니다.