3

私は、OLAP サーバーによって部分的に強化される公開 Web プロジェクトに取り組んでいます。セキュリティの観点から、これを行ういくつかの方法を比較したかったのです。

  1. 私の最初のアイデアは、ユーザーの意図の表現を AJAX 経由で Web サーバーに渡し、Web サーバーに多くの入力検証を行わせ、適切な MDX 式を作成して OLAP サーバーに渡し、最後に OLAP の結果をプロキシすることでした。ブラウザ。(接線的には、これは jpivot が採用したアプローチのようです。たとえば、クリックして jpivot の例でテーブルにドリルダウンしたところ、サーバーに送信されたのは MDX ではなく、単純に x-www-form-urlencoded 文字列でした"wcf65768426.x=3&wcf65768426.y=3".)

  2. 対照的に、xmla4jsプロジェクトは、ファイアウォール ポートを開き、OLAP サーバーを XML/A 経由で世界 (または少なくとも特定の顧客) に公開し、クライアント側の JavaScript で MDX クエリを記述し、ブラウザを直接使用することを前提としているようです。 OLAP サーバーにヒットします。

私の直観的な反応は、2 番目のアプローチには非常に懐疑的です。誰かが私の OLAP サーバーに対して任意の MDX ステートメントを実行したとしても、悪いことは何も起こらないと思われます。私はまだ特に高度な MDX の学習者ではありませんが、これがリスクのない提案であることはすぐにはわかりません。少なくとも、誰かが非常に高価なクエリを開始したり、人々が簡単に利用できるようにすることを望んでいたよりも大きなデータセットのチャンクをダウンロードしたりする可能性があります。これは、人々が一般的に SQL サーバーで行うようなことではありません。私は当初、OLAP サーバーでも同様のことを行うべきではないことを示唆する同じ理由を考える傾向があります。

しかし、xmla4js の背後にいる人々は、クレイジーなセキュリティ リスクではないいくつかのユース ケースを念頭に置いていたと思います。そして、私はこれについて慎重に考えすぎている可能性があると思います.

より経験豊富な OLAP 関係者が、たとえば XML/A を介して OLAP サーバーに直接アクセスできるようにすることの賢明さについてコメントしたいと思いますか?

4

2 に答える 2

1

興味深い質問です。確かに、ユーザーが Web ページをハッキングする可能性があると思われる場合、それはデータマート (ここでは OLAP サーバー) への直接アクセスを提供するリスクの原因となります。これは xmla4js オプションであり、ユーザーが rdbm に直接アクセスできるようにするのと非常によく似ています。

  • 確かに、非常に時間がかかる MDX クエリを作成するのは比較的簡単です (たとえば、計算されるメンバを使用するなど)。

  • OLAP ではきめ細かいセキュリティが可能であるため、ユーザーは詳細にアクセスできない場合があります。ファクトとディメンションのセキュリティ。

オプション 1 の 1 つの問題は、コスト (時間とお金) です。実装に時間がかかり、既存のウィジェットやライブラリ ( GVI ライブラリなど)を使用できなくなります。セキュリティとハッキングと配信までの時間はどれくらい重要ですか?

考えられる解決策の 1 つは、XMLA に http プロキシを使用して、「既知の」要求のみを実行できるようにすることです。しかし、既知のクエリとは何ですか?

一部の OLAP サーバーでは、MDX 要求によって割り当てられるスレッドの数と、並行して実行できる要求の数をより適切に制御できます。しかし、これは問題を部分的にしか解決しません。

これは本当に興味深い問題です... 些細なことではありません。残念ながら、あなたは私たちの顧客ではありません ;-)

于 2011-12-22T12:11:35.580 に答える
0

振り返ってみると、これはおそらく、OLAP 全般についてではなく、個々の OLAP サーバー製品について尋ねるべき質問です。たとえば、OLAP サーバーがセキュリティを考慮してコーディングされていて、読み取り専用の非管理者アカウントがサポートされており、時間がかかりすぎるクエリをタイムアウトできる場合、そのサーバーを公開する方が適しています。反対の場合よりも。

残念ながら、OLAP ベンダーは、これについて明確なガイダンスを提供する傾向がないようです。たとえば、匿名アクセス用に Sql Server Analysis Services を設定するために必要な情報を見つけるのは比較的簡単ですが、パブリック インターネットへの匿名 SSAS XML/A アクセスを開くことがどれほど危険であるかについての Microsoft からの明示的な声明を見つけるのは困難です。 .

于 2012-04-03T16:31:27.993 に答える