79 lines
2.2 KiB
Markdown
79 lines
2.2 KiB
Markdown
# SQLcl VPD 배포/검증/롤백 런북 (#460)
|
|
|
|
## 사전 점검
|
|
|
|
```bash
|
|
SQLCL_BIN=/path/to/sql \
|
|
SQLCL_JAVA_HOME=/path/to/jdk \
|
|
./run.sh backoffice-env-check
|
|
```
|
|
|
|
확인 항목:
|
|
|
|
- SQLcl 버전이 출력된다.
|
|
- Java 11 이상이 출력된다.
|
|
- DB 현재 사용자가 의도한 schema다. 예: `ADMIN`.
|
|
- `CB_AGENT_DOC_VPD_FILTER` 상태가 `VALID`다.
|
|
- ORDS endpoint가 200/401/403 중 하나를 반환한다. 404면 base URL 또는 path가 맞지 않는다.
|
|
|
|
## VPD filter 배포
|
|
|
|
```bash
|
|
SQLCL_BIN=/path/to/sql SQLCL_JAVA_HOME=/path/to/jdk "$SQLCL_BIN" "USER/PASSWORD@TNS"
|
|
```
|
|
|
|
SQLcl 안에서 실행:
|
|
|
|
```sql
|
|
@database/adb/26_agent_ords_security_dynamic_vpd_filter.sql
|
|
SHOW ERRORS FUNCTION cb_agent_doc_vpd_filter
|
|
@database/adb/27_agent_ords_security_dynamic_vpd_filter_test.sql
|
|
```
|
|
|
|
기대 결과:
|
|
|
|
- function compile 성공
|
|
- `SHOW ERRORS` 결과 없음
|
|
- `Dynamic VPD filter unit checks passed`
|
|
|
|
## ORDS 회귀 검증
|
|
|
|
```bash
|
|
SQLCL_BIN=/path/to/sql \
|
|
SQLCL_JAVA_HOME=/path/to/jdk \
|
|
./run.sh backoffice-vpd-ords-test
|
|
```
|
|
|
|
기대 결과:
|
|
|
|
- HR: 3행, `DOC_ID=[1,2,6]`, `CONTENTS` 미노출
|
|
- SELF: 1행, `DOC_ID=[3]`, `CONTENTS` 미노출
|
|
- ALL: 6행, `DOC_ID=[1,2,3,4,5,6]`, `CONTENTS` 노출
|
|
- INVALID_TOKEN: HTTP 403 등 성공이 아닌 응답
|
|
|
|
## 장애 시 확인 순서
|
|
|
|
1. `./run.sh backoffice-env-check`로 SQLcl/JDK/DB/ORDS 상태를 먼저 확인한다.
|
|
2. DB function이 `INVALID`면 `SHOW ERRORS FUNCTION cb_agent_doc_vpd_filter`를 본다.
|
|
3. ORDS가 404면 `BACKOFFICE_ORDS_BASE_URL`과 `cb_protected_object.ords_path`를 비교한다.
|
|
4. ORDS가 403이면 token hash, 만료시각, revoke 여부를 확인한다.
|
|
5. 행 수가 맞지 않으면 `cb_user_role`, `cb_permission`, `cb_permission_rule`을 확인한다.
|
|
|
|
## 롤백
|
|
|
|
가장 단순한 롤백은 직전 Git revision의 `26_agent_ords_security_dynamic_vpd_filter.sql`을 다시 적용하는 것이다.
|
|
|
|
```bash
|
|
git show HEAD~1:database/adb/26_agent_ords_security_dynamic_vpd_filter.sql > /tmp/previous-vpd-filter.sql
|
|
SQLCL_BIN=/path/to/sql SQLCL_JAVA_HOME=/path/to/jdk "$SQLCL_BIN" "USER/PASSWORD@TNS"
|
|
```
|
|
|
|
SQLcl 안에서:
|
|
|
|
```sql
|
|
@/tmp/previous-vpd-filter.sql
|
|
SHOW ERRORS FUNCTION cb_agent_doc_vpd_filter
|
|
```
|
|
|
|
롤백 후에도 반드시 ORDS 회귀 검증을 다시 실행한다.
|