Aus Sicherheitsgründen können von den Frontends und Webanwendungen keine direkten Datenbankanfragen ausgeführt werden. Definierte SQL-Operatoren werden mit einem Risiko bewertet, so dass diese nicht über die One Identity Manager-Komponenten verwendet werden können. Dazu gehören beispielsweise LIKE, NOT LIKE, <, <=, > oder >=.

Um bestimmte Funktionen in den One Identity Manager-Komponenten weiterhin nutzen zu können, benötigen die Benutzer die Programmfunktion Common_AllowRiskyWhereClauses.

Benutzer, die diese Programmfunktion nicht besitzen, können nur Datenbankabfragen ausführen, die als vertrauenswürdig eingestuft sind oder kein Risiko darstellen (Risikowert = 0,0). Einige der Funktionen in den One Identity Manager-Komponenten, wie beispielsweise das Testen von dynamischen Rollen oder die Ausführung von Filterabfragen, sind ohne die Programmfunktion nicht möglich.

Soll es bestimmten Benutzern möglich sein, sicherheitskritische Abfragen auszuführen, können Sie die Berechtigungen über Berechtigungsgruppen an die Benutzer vergeben.

• Für die nicht-rollenbasierte Anmeldung wird die Berechtigungsgruppe QBM_Critical_WhereClause bereitgestellt. Diese Gruppe besitzt die Programmfunktion. Nehmen Sie die Systembenutzer, die sicherheitskritische Abfragen ausführen dürfen, in die Berechtigungsgruppe auf. Administrative Systembenutzer erhalten diese Berechtigungsgruppe automatisch.

• Für die rollenbasierte Anmeldung wird die Berechtigungsgruppe QER_4_Critical_WhereClause bereitgestellt. Diese Gruppe besitzt die Programmfunktion. Die Berechtigungsgruppe ist mit der Anwendungsrolle Basisrollen | Sicherheitskritische Abfragen verbunden. Nehmen Sie die Personen, die sicherheitskritische Abfragen ausführen dürfen, in die Anwendungsrolle auf.

Mit welchem Risiko die Ausführung von SQL-Anweisungen bewertet wird, können Sie zusätzlich über Konfigurationsparameter steuern.

• Über den Konfigurationsparameter QBM | SQLCheck | RiskEvaluation legen Sie die Risikobewertung der ausgeführten SQL-Anweisungen fest. Zulässige Werte sind:

  • Low: SQL-Anweisungen mit gewissem Risiko sind zulässig.

  • Medium: Das Risiko von SQL-Anweisungen wird in abgeschwächter Höhe bewertet. Somit wird der Schwellwert zur Sperrung des Benutzers später erreicht und es sind mehr Abfragen möglich.

  • Strict: Das Risiko von SQL-Anweisungen wird in voller Höhe bewertet. Eine Sperrung des Benutzers erfolgt aber erst nach Erreichen eines gewissen Schwellwertes.

  Ist der Konfigurationsparameter nicht aktiviert, erfolgt die Risikobewertung mit dem Wert Strict.

• Über den Konfigurationsparameter QBM | SQLCheck | SubSelect legen Sie fest, wie die Bewertung von SQL-Anweisungen mit Unterabfragen erfolgen soll. Ist der Konfigurationsparameter aktiviert, werden Fundstellen in SQL-Anweisungen mit Unterabfragen als höheres Risiko eingestuft.

Hinweise für kundenspezifische Anpassungen

• Datenbankabfragen, die beispielsweise auf kundenspezifischen Formularen benötigt werden oder Datenbankabfragen, die über die API des Anwendungsservers ausgeführt werden, müssen im One Identity Manager als vordefinierte Datenbankabfragen formuliert werden. Die Ausführung der Datenbankabfragen erfolgt immer mit den Berechtigungen des angemeldeten Benutzers. Ausführliche Informationen zum Verwenden vordefinierter Datenbankabfragen finden Sie im One Identity Manager Konfigurationshandbuch.

• Beispiele für die Verwendung von vordefinierten Datenbankabfragen finden Sie auf dem Installationsmedium im Verzeichnis QBM\dvd\AddOn\ApiSamples.

• Für die alphabetische Darstellung von beispielsweise Personen oder Unternehmensstrukturen können Sie in kundenspezifischen Menüanpassungen die Tabelle QERVFirstUnicodeChar nutzen.