Chính sách truy cập dữ liệu

Màn hình Data access (Truy cập dữ liệu) kiểm soát từng truy vấn gửi tới các cơ sở dữ liệu đã kết nối. Nếu quyền trong Kết nối cơ sở dữ liệu quyết định "ai được dùng bảng nào", thì ở đây bạn quyết định "truy vấn nào được chạy ngay, truy vấn nào bị chặn, truy vấn nào cần người xem trước" và "phần nào trong kết quả cần được che".

Bạn mở màn hình này bằng các tab Data access policies (Chính sách truy cập dữ liệu), PII masking rules (Quy tắc che giấu PII) và Query audit log (Nhật ký kiểm toán truy vấn) ở phía trên màn hình Database connections (Kết nối cơ sở dữ liệu). Bạn cũng có thể mở nó qua liên kết Query audit log trong Admin → Audit (Quản trị → Kiểm toán). Chỉ Owner (chủ sở hữu) và Admin (quản trị viên) mới dùng màn hình này.

Quy tắc chính sách

Mỗi quy tắc có một Effect (Tác động):

• Allow (Cho phép) — chạy ngay.
• Deny (Từ chối) — không chạy.
• Approval required (Cần phê duyệt) — trước khi chạy phải có quyết định của Owner hoặc Admin. Yêu cầu được đưa vào Phê duyệt.

Trong New rule (Quy tắc mới), đặt Name (Tên), Effect, Priority (lower values run first) (Ưu tiên, số nhỏ hơn được đánh giá trước), Match roles (Khớp vai trò), Allowed tables (comma-separated) (Bảng được phép, phân tách bằng dấu phẩy) và Denied tables (comma-separated) (Bảng bị từ chối, phân tách bằng dấu phẩy), bật Enabled (Kích hoạt) rồi nhấn Save (Lưu). Quy tắc mới áp dụng cho mọi cơ sở dữ liệu, không giới hạn thời gian.

Các quy tắc được đánh giá lần lượt từ số ưu tiên nhỏ nhất, và quy tắc khớp đầu tiên sẽ được áp dụng. Truy vấn không khớp quy tắc nào sẽ bị từ chối. Ban đầu có sẵn hai quy tắc mặc định — cho phép Owner và Admin truy vấn, và cho phép tác nhân truy vấn.

Nếu có những quy tắc có thể xung đột với nhau, màn hình sẽ báo "N potential rule conflicts detected" (Phát hiện N xung đột quy tắc tiềm ẩn) và cho bạn thấy quy tắc nào được đánh giá trước.

Trình kiểm tra chính sách

Trong Policy tester (dry run) (Trình kiểm tra chính sách, chạy thử), nhập SQL query (Truy vấn SQL), Database ID (ID cơ sở dữ liệu) và Test role (Vai trò kiểm tra) rồi nhấn Run test (Chạy kiểm tra). Công cụ không chạy truy vấn thật mà chỉ cho biết quy tắc nào được áp dụng, truy vấn đọc những bảng nào và bảng nào bị từ chối. Sau khi thay đổi quy tắc, hãy luôn chạy thử.

Quy tắc che giấu PII

Các cột chứa thông tin cá nhân sẽ được che trước khi trả kết quả. Dùng các nút cạnh Quick add: (Thêm nhanh) để thêm ngay các mẫu phổ biến như email, số điện thoại, số định danh cá nhân, địa chỉ hoặc số thẻ, hoặc tự đặt Column pattern (Mẫu cột) và Table pattern (Mẫu bảng) (có thể dùng ký tự đại diện *) trong New rule.

Masking strategy (Chiến lược che) có năm lựa chọn:

• Full mask (Che toàn bộ) — che toàn bộ giá trị, ví dụ ****.
• Partial mask (Che một phần) — chỉ giữ lại vài ký tự ở đầu và cuối (ví dụ al*****.com).
• Hash (Băm) — thay cùng một giá trị bằng cùng một mã băm, nên dù đã che vẫn có thể nhóm các giá trị giống nhau.
• Replace with NULL (Thay bằng NULL) — xóa trống giá trị.
• Truncate (Cắt bớt) — chỉ hiển thị đến độ dài đã đặt (ví dụ hel...).

Trong Masking preview (Xem trước kết quả che), nhập JSON mẫu rồi nhấn Preview (Xem trước) để so sánh Original (Bản gốc) và After masking (Sau khi che) cạnh nhau.

Cột đã bị che vẫn bị chặn ngay cả khi ai đó cố lấy ra bằng bí danh hoặc biểu thức tính toán.

Kiểm tra nhật ký

Kết quả cho phép, từ chối, chờ phê duyệt hay lỗi của các truy vấn đã qua chính sách, cùng các cột đã bị che, được ghi lại trong Query audit log. Các yêu cầu bị chặn bởi quyền của kết nối cơ sở dữ liệu được ghi trong Admin → Audit. Cách dùng chi tiết xem tại Kiểm toán → Nhật ký kiểm toán truy vấn.