Autenticação e Controle de Acesso em Forms e Reports via Oracle Internet Directory. Daniel Murara Barcia danielbarcia@hotmail.com

Transcrição

1 Autenticação e Controle de Acesso em Forms e Reports via Oracle Internet Directory. Daniel Murara Barcia danielbarcia@hotmail.com

2 INTRODUÇÃO As aplicações corporativas de um importante órgão público do Estado do Rio Grande do Sul são, em grande parte, desenvolvidas com a suíte Oracle Developer 6i (Forms e Reports) e o acesso a essas aplicações é realizado através de um sistema de controle de permissões por usuários que controla a manutenção de usuários de banco e de sistema, concedendo e verificando privilégios de acesso aos módulos. Essas aplicações rodam em ambiente cliente-servidor e o controle de acesso se dá por meio de tabelas que armazenam os dados dos usuários e os módulos aos quais eles têm acesso. A verificação das permissões ocorre através da captura do nome do usuário conectado ao banco ou seu ID (variáveis de banco USER ou UID). Essas variáveis são utilizadas nos selects que verificam os módulos aos quais o usuário tem acesso. Com a futura implantação de sistemas em ambiente web, como a implantação do Oracle Portal, surge o problema da incompatibilidade do modo de autenticação de usuários em diferentes plataformas. Como os ambientes são heterogêneos os usuários precisam de várias senhas para ter acesso aos sistemas, desde senhas de rede a senhas de banco e de diretório. A consequente integração dos sistemas legados nesse ambiente, expôs a necessidade de o modo de autenticação de usuários ser único, independente da plataforma. Objetivando a padronização e melhor controle de usuários, optou-se pela autenticação única em nível de diretório (Oracle Intenet Directory), buscando uma solução que permitisse a continuidade do controle de acesso a módulos através do sistema atual. Assim, seriam necessárias alterações na forma em que ocorre a captura do nome do usuário conectado para efetuar o controle de acesso. Além disso, para a integração de sistemas desenvolvidos em Forms e Reports 6i (cliente-servidor) à nova realidade, seria necessário um trabalho de migração para a versão 10g, que roda somente em ambiente web.

3 A solução proposta a seguir, descreve como será alterado o modo de verificação de permissões, a criação de novos usuários, o mecanismo de logon via Oracle Internet Directory e um roteiro para conversão dos Forms/Reports 6i para a versão 10g. LOGIN DE USUÁRIOS No banco de dados, foram criados 2 usuários (SISWEB e shared). Todos os usuários de banco atuais de cada servidor passarão a ser autenticados no OID e a sua sessão será aberta como usuário shared. Esses usuários também serão criados no OID e associados a um RAD que fará a conexão no banco com o usuário SISWEB. Assim, aplicações que rodam em ambiente Cliente-Servidor conectarão como usuário shared e aplicações que rodam em ambiente web, conectarão, via SSO, como usuário SISWEB. As roles atuais do sistema, que atualmente são concedidas diretamente a cada usuário, serão concedidas somente a uma única role. Esta role possui uma senha e será habilitada somente em tempo de execução no código dos Forms/Reports. Evita-se, dessa forma, que um usuário conecte-se ao banco através de uma ferramenta de edição (SQL Plus/Toad) e tenha acesso irrestrito aos objetos. Esse modelo de conexão faz com que todas as sessões de banco estejam com o mesmo nome de usuário (shared ou SISWEB). Para o controle de permissões, as libraries dos Forms/Reports, irão criar um contexto de usuário definindo o login_name do usuário em uma variável, seja ele feito via SSO ou via enterprise user. Para a criação da variável, o nome do usuário de diretório é capturado pela built-in GET_APPLICATION_PROPERTY(sso_usrdn) no caso dos Forms 10g e pela variável de usuário AUTHID no caso de Reports 10g. Essa variável poderá ser consultada quando da necessidade de verificação de direitos definidos nas tabelas do sistema de controle de acesso. Assim, o sistema não fará mais referências diretas ao nome do usuário (USER) ou ao seu código interno (UID). As mudanças no controle de permissões foram necessárias tendo em vista que todas as sessões de banco dos

4 usuários que estiverem rodando aplicações em Forms/Reports serão feitas com o mesmo usuário (shared ou SISWEB) inviabilizando a maneira tradicional de controle que atualmente utiliza as variáveis de sistema USER ou UID para efetuar os selects nas tabelas do SISCONTROL. O fato de o usuário logado ser sempre o mesmo e não ser possível identificar o terminal ou o nome externo do usuário na v$session quando estiver em ambiente web foi resolvido com uma alteração em uma das libraries dos Forms, que indica na barra de título da janela o sid e o serial# do usuário, através de pesquisa o contexto USERENV, variável SESSIONID. ALTERAÇÕES NA PACKAGE PK_SISCONTROL Todas as procedures e functions da package PK_SISCONTROL que faziam referência explícita ao USER ou UID passaram a utilizar o nome de usuário retornado por PK_SISCONTROL.Get_User_Name. Dessa forma, a package poderá ser utilizada tanto pelas aplicações em 10g como em 6i, não importando a maneira como foi efetuada a autenticação do usuário. Ex: FUNCTION GET_PASSE_LIVRE RETURN NUMBER IS BEGIN DECLARE NUsu NUMBER; CURSOR C IS SELECT 1 FROM PASSE_LIVRE WHERE UPPER (login_usuario) = PK_SISCONTROL.GET_USER_NAME; BEGIN nusu := NULL; OPEN C; FETCH C INTO nusu; CLOSE C; RETURN nusu;

5 EXCEPTION WHEN NO_DATA_FOUND THEN RETURN NULL; WHEN OTHERS THEN RETURN NULL; END; PK_SISCONTROL.Get_User_Name: retorna o usuário logado. Verifica inicialmente o contexto ENVPADRAO e caso seja chamado de uma sessão logada via SSO, pesquisa o nome do usuário. Se não existir, a sessão foi autenticada via enterprise user no OID, buscando o nome do contexto USERENV, variável EXTERNAL_NAME. Se ainda assim não existir, retorna o usuário logado no banco através da variável USER. FUNCTION GET_USER_NAME RETURN VARCHAR2 IS v_login_name varchar2(256) := null; BEGIN /* Caso seja chamado de uma sessão logada via SSO, pesquisa o nome do usuário no contexto criado na abertura do Form/Report. Se não existir um contexto, verifica se a sessão foi autenticada via enterprise user no OID, consultando a variável EXTERNAL_NAME Se também não existir, a conexão foi efetuada diretamente por usuário de banco e retorna o usuário pela variável USER. /* -- Verifica no contexto SELECT sys_context ('ENVPADRAO', 'LOGIN_USUARIO') INTO v_login_name FROM dual; -- Se v_login_name for nulo, então verifica se foi via enterprise user do OID IF v_login_name IS NULL THEN SELECT substr(sys_context('userenv', 'EXTERNAL_NAME'), 4, instr(sys_context('userenv', 'EXTERNAL_NAME'), ',') - 4) INTO v_login_name FROM dual; END IF; -- Se v_login_name for nulo, então retorna o usuário de banco IF v_login_name IS NULL THEN SELECT USER INTO v_login_name FROM dual; END IF; RETURN upper(v_login_name); END;

6 , PK_SISCONTROL. Create_User_OID: cria um usuário no diretório. Utilizada na tela SCAUSU. O usuário não será mais criado no banco de dados e sim no diretório. PROCEDURE CREATE_USER_OID (ldap_host VARCHAR2, ldap_port VARCHAR2, ldap_user VARCHAR2, ldap_passwd VARCHAR2, login_name VARCHAR2, user_pwd VARCHAR2) IS retval PLS_INTEGER; my_session DBMS_LDAP.session; emp_dn VARCHAR2(256); emp_array DBMS_LDAP.MOD_ARRAY; emp_vals DBMS_LDAP.STRING_COLLECTION; ldap_base VARCHAR2(256); BEGIN retval := -1; DBMS_LDAP.USE_EXCEPTION := TRUE; my_session := DBMS_LDAP.init(ldap_host,ldap_port); retval := DBMS_LDAP.simple_bind_s(my_session, ldap_user,ldap_passwd); emp_array := DBMS_LDAP.create_mod_array(5); emp_vals(1) := login_name; DBMS_LDAP.populate_mod_array(emp_array,DBMS_LDAP.MOD_ADD, 'cn',emp_vals); DBMS_LDAP.populate_mod_array(emp_array,DBMS_LDAP.MOD_ADD, 'uid',emp_vals); emp_vals(1) := login_name; DBMS_LDAP.populate_mod_array(emp_array,DBMS_LDAP.MOD_ADD, 'sn',emp_vals); emp_vals(1) := USER_PWD; DBMS_LDAP.populate_mod_array(emp_array,DBMS_LDAP.MOD_ADD, 'userpassword',emp_vals); emp_vals(1) := 'top'; emp_vals(2) := 'person';

7 emp_vals(3) := 'organizationalperson'; emp_vals(4) := 'inetorgperson'; emp_vals(5) := 'orcluser'; emp_vals(6) := 'orcluserv2'; DBMS_LDAP.populate_mod_array(emp_array,DBMS_LDAP.MOD_ADD, 'objectclass',emp_vals); ldap_base := 'cn=users,dc=orgao,dc=rs,dc=gov,dc=br'; emp_dn := 'cn=' login_name ', ' ldap_base; retval := DBMS_LDAP.add_s(my_session,emp_dn,emp_array); DBMS_LDAP.free_mod_array(emp_array); retval := DBMS_LDAP.unbind_s(my_session); END; SOLUÇÃO PARA AUTENTICAÇÃO E VERIFICAÇÃO DE PRIVILÉGIOS EM FORMS 10G O Forms Server foi configurado para autenticar usuários via SSO. Assim, a URL traz a página de logon do SSO para informar usuário/senha. Ao efetuar o Logon, com usuário de diretório, o OID direciona a conexão de banco para o usuário SISWEB definido no RAD. As rotinas de criação e manutenção de usuários e privilégios, passam a ser executadas unicamente na versão 10g. Não haverá mais a manutenção de usuários no banco e sim no diretório. As funcionalidades de concessão de roles para usuários deixam de existir, pois as mesmas não serão mais concedidas diretamente a cada usuário, mas somente aos usuários shared e SISWEB. A tela SCAUSU, que anteriormente desempenhava tais funções, passa a realizar somente a criação do usuário no diretório, além da manutenção na tabela USUARIO. As demais manutenções de privilégios permanecem inalteradas. DESCRIÇÃO DAS ALTERAÇÕES REALIZADAS: 1. Execução da trigger PRE-FORM

8 1.1. Executa SISCONTROL.Ini_Sessao Executa a habilitação da Role RL_SISWEB para o usuário de banco, no caso, SISWEB Cria o contexto ENVPADRAO através da procedure ENVPADRAO.Set_ENVPADRAO, passando como parâmetro o usuário logado no diretório. O nome do usuário de diretório é obtido através da função SISCONTROL.Get_Oid_User. Essa função, utiliza a built-in Get_Application_Property(sso_usrdn), que retorna o nome do usuário logado no SSO e não o usuário de banco. Nesse contexto, entre outras, é criada a variável LOGIN_NAME, contendo o nome do usuário Seta as variávies globais a partir das variáveis do contexto ENVPADRAO O ambiente de execução é determinado pela variável DB_NAME, do contexto USERENV 1.2. Executa Template.Pre_Form Executa a habilitação da Role RL_SISWEB para o usuário de banco, no caso, SISWEB. (Esse procedimento está também na PRE-FORM para poder realizar a habilitação da role para forms chamados a partir do SCAMENU, que não têm a chamada da SISCONTROL.Ini_Sessao e nem a montagem de menus. 2. Trigger WHEN-NEW-FORM-INSTANCE 2.1. Executa d2k_nav_util.initialise 2.2. Monta a árvore de menus através de D2K_Nav_Initialiase_Data Verifica o ambiente de execução chamando SISCONTROL.Ambiente_Execucao Verifica o tipo de usuário chamando PK_SISCONTROL.Get_User_Type Monta os menus conforme o tipo de usuário (desenvolvedor ou não). 3. Chamada de Módulos através do Menu ou LOV de Módulos 3.1. Montagem da LOV pelo Record Group RG_MODULO: select m.cd_modulo,m.nome_modulo,m.tp_modulo,m.ds_modulo,,t.ds_tp_modulo

9 from modulo m,tipo_modulo t where m.display = 'S' and m.tp_modulo in (2, 4) and t.tp_modulo = m.tp_modulo and m.nome_modulo in (select p.nome_modulo from classe_usuario clu,privilegio p,usuario u where p.cd_classe = clu.cd_classe and p.tp_classe = clu.tp_classe and clu.cd_usuario = u.cd_usuario and u.login_usuario = sys_context ('ENVPADRAO', 'LOGIN_USUARIO' )) order by m.nome_modulo asc 3.2. BL_HTOOL.WHEN-BUTTON-PRESSED Verifica se o usuário tem acesso ao módulo chamando CHK_MODULO Executa módulo através de SISCONTROL.Go_Modulo D2K_NAV_TREE.WHEN-MOUSE-DOUBLECLICK Executa módulo através de SISCONTROL.Go_Modulo SISCONTROL.Go_Modulo Registra o evento chamando Pk_Util.Eventos_Sistema Caso o módulo seja um Form executa OPEN_FORM ou GO_FORM Caso o módulo seja um Report: Verifica o ambiente de execução com SISCONTROL.Ambiente_Execucao Executa a URL através de Web.Show_Document SOLUÇÃO PARA AUTENTICAÇÃO E VERIFICAÇÃO DE PRIVILÉGIOS EM REPORTS 10G Para capturar o nome de usuário de diretório nos Reports, tendo em vista consultas de verificação de privilégios ou em quaisquer situações em que seja necessário a utilização do nome do usuário conectado, é necessário criar um parâmetro de usuário chamado AUTHID. Esse parâmetro é populado automaticamente logo após o usuário efetuar a conexão

10 via SSO. A partir disso, basta substituir referências às variáveis USER/UID por esse parâmetro. SOLUÇÃO PARA AUTENTICAÇÃO E VERIFICAÇÃO DE PRIVILÉGIOS EM FORMS/REPORTS 6I As aplicações desenvolvidas em Forms 6i farão o logon normalmente, informando usuário/senha/banco. A diferença é que todos os usuários estarão sendo autenticados no OID e consequentemente irão conectar efetivamente no banco como usuário shared. Todas as verificações de privilégios serão feitas pelas mesmas rotinas da package PK_SISCONTROL. As alterações necessárias são somente em nível de PLL s (TEMPLATE.pll e SISCONTROL.pll) onde será pesquisado referências diretas a USERNAME/UID e no form de template (TECREF.fmb) que terá o select de montagem do Record Group modificado para fazer a consulta tendo como parâmetro o usuário retornado pela função PK_SISCONTROL.get_user_name.