主页 / 问题 / 1198082
Accepted
Sova Kefirova
Asked:2021-10-31 18:45:15 +0000 UTC2021-10-31 18:45:15 +0000 UTC

FGA 审计策略：ORA-28138：策略谓词错误

  • 772

我正在尝试对某些用户的表行更改进行审核。

来自system我这样写的用户：

BEGIN
   DBMS_FGA.add_policy (
        object_schema   => 'system',
        object_name     => 'my_fga_table',
        policy_name     => 'my_fga_policy_1',
        statement_types => 'SELECT, INSERT, DELETE, UPDATE',
        audit_condition => 'USER=''REFEREE_1'' OR USER=''REFEREE_2'''
   );
END;

来自REFEREE_1尝试更改表格的用户：

UPDATE SYSTEM.my_fga_table SET points=90 WHERE boxer_name='BOXER_1';

但我收到一个错误：

Error at Command Line : 1 Column : 15
Error report -
SQL Error: ORA-28138: Ошибка в предикате политики
28138. 00000 -  "Error in Policy Predicate"
*Cause:    An invalid policy predicate was specified.
*Action:   Please specify a valide policy Predicate for the FGA policy

问题是什么？

sql

1 个回答

  1. Best Answer

    正如错误所说，问题出在谓词中。如果您查看会话的跟踪文件，则错误消息可能包含更多信息 - 谓词有什么问题：

    select value from v$diag_info where name = 'Default Trace File';

FGA Policy FGA_POLICY_1
FGA supports simple predicates only - error 28138

    对参数中指定的谓词audit_condition施加了许多限制，文档中提到了这些限制：

    表达式不得使用 AND 和 OR 等运算符组合条件。

    仅支持简单谓词，它们不能与ANDor组合OR。

    一种可能的解决方案是使用具有更简单谓词的多个规则。

    可以使用函数，例如以下将起作用：

    audit_condition => q'[regexp_like (user, 'referee_(1|2)', 'i')]'

    或者为谓词中的条件创建自己的函数：

    create or replace function system.validateUserFga (u varchar2) return char is
begin 
    return case when lower (u) in ('referee_1', 'referee_2') then 'y' else 'n' end;
end;
/
begin
    dbms_fga.add_policy (
        object_schema   =>'system',
        object_name     =>'t',
        policy_name     =>'fga_policy_1',
        statement_types =>'insert',
        audit_condition =>q'[system.validateUserFga (user) = 'y']'); 
end;
/

    给定用户的审核条目：

    insert into system.t values (1);

1 row inserted.

select policy_name, sql_text
from dba_fga_audit_trail
/
POLICY_NAME      SQL_TEXT                        
---------------- --------------------------------
FGA_POLICY_1     insert into system.t values (1)
    • 3

相关问题