marklogic - 元素级安全性问题

Question

我们在 /record/historical 上有一个 protected 路径，没有命名空间，只有一个角色具有读取权限，而“管理员”角色具有读取、更新、插入权限。

我们有一个用户“部署”，具有“管理员”角色。

当以“部署”身份登录查询控制台时，查询 /record我可以得到完整的结果/record文档(包括 /record/historical )，但是当我查询 /record/historical 时(或低于它的任何东西)，我没有得到任何结果。

此外，这个问题在 MarkLogic 的不同实例(全部 9.0-4)中并不一致。除了用户和 protected 路径之外，我还应该检查哪些差异？

Answer 1

要配置元素级安全性，您需要设置 两者 protected paths和 query rolesets .

首先检查实例之间的 protected 路径和查询角色集配置。您可以使用管理界面查看此配置，并在“安全”下查看，然后查看“查询角色集”。

需要查询角色集才能使用大规模索引有效地跨 protected 路径中的数据执行查询。如果没有定义查询角色集，您对 protected 数据的搜索查询将不会返回任何结果。这解释了为什么当您从数据库读取文档时，您描述的 protected 路径安全性的行为按预期工作，但在查询(搜索)数据库时却没有按预期工作。

即使您授予用户 admin 角色，仍需要查询角色集。但我强烈建议您考虑是否确实需要授予用户管理员角色。它几乎总是不是，作为最佳实践，您应该努力为用户提供他们完成工作所需的最低限度的权力。

要详细了解 MarkLogic 中的安全性和元素级安全性，我鼓励您查看以下示例和文档:

MarkLogic Security video series其中包括有关元素级安全性的一集

Element-Level Security chapter的Security Guide在产品文档中

self-paced or instructor-led training course on MarkLogic Security