IDENTITY
END USER
실제 DDS 보안 사용자로 DB에 접속합니다.
같은 접근 결과를 다른 보안 모델로 확인합니다.
이 화면은 VPD 데모와 별도로 실행되는 DDS 전용 데모입니다. 선택한 END USER로 직접 접속해 Oracle의 DATA ROLE과 DATA GRANT가 적용된 결과를 보여줍니다.
이 화면의 보안 경계
이 인스턴스는 VPD 권한 테이블을 읽어 조건을 계산하지 않습니다. END USER → DATA ROLE → DATA GRANT → 보호 VIEW가 전부 Oracle DDS에 선언되어 있고, 조회 결과는 그 선언의 적용 결과입니다.
두 데모는 같은 접근 매트릭스를 비교하지만 실행 모델은 다릅니다. VPD는 공통 계정·Bearer·동적 predicate를 사용하고, DDS는 직접 END USER와 선언형 DATA GRANT를 사용합니다. Bearer 키를 ORDS Handler에서 사용자 이름으로 바꾸는 것만으로는 DDS 보안 컨텍스트가 만들어지지 않습니다.
POLICY
DATA ROLE / GRANT
원본별 허용 범위가 선언형으로 연결됩니다.
3EVIDENCE
조회 결과
허용된 VIEW와 행만 반환됩니다.
DDS 사용자 비밀번호가 설정되지 않았습니다. VM에서는
DDSUSER_*_PASSWORD 또는 DDS_BACKOFFICE_*_PASSWORD 환경 변수를 설정해야 조회할 수 있습니다.
1 · SECURITY SUBJECT
조회 주체와 데이터 원본 선택
선택한 DDS END USER의 권한으로 직접 연결합니다. 비밀번호는 화면에 표시하거나 저장하지 않습니다.
2 · EXPECTED MATRIX
원본별 권한 매트릭스
VPD 데모와 같은 결과를 별도 데이터·권한 객체에서 DDS 선언형 모델로 비교합니다.
dds_demo_myMY 데이터셋 허용PG 객체는 ORA-00942
dds_demo_pgPG 데이터셋 허용MY 객체는 ORA-00942
dds_demo_bothPG + MY 허용두 DATA GRANT 모두 적용
dds_demo_none접속만 허용데이터 권한 없음 · default deny
3 · EVIDENCE
상태
조회 결과
ADMIN.V_DDS_CUSTOMERS_PG
결과
메시지
SESSION_USER-
ORA_END_USER_CONTEXT-
반환 행0
| ID | 이름 | 이메일 | 가입일 | 지역 |
|---|---|---|---|---|
| 1 | Alice | alice@example.com | 2026-01-01 | APAC |
조회 조건을 통과한 행이 없습니다.
판정 근거와 운영 메모
성공한 경우 연결 시점의 SESSION_USER와 ORA_END_USER_CONTEXT를 함께 확인할 수 있습니다. 차단된 경우 DDS가 보호 객체 자체를 숨겨 ORA-00942를 반환하는 것이 정상입니다.
현재 앱은 결과만 읽습니다. 권한 변경은 CREATE DATA ROLE, GRANT DATA ROLE, CREATE DATA GRANT 승인 절차를 거쳐 SQL로 관리합니다.