SAP BI

Privilèges analytiques et liens avec la sécurité SAP

Introduction

Sur la plateforme SAP HANA, la sécurité est gérée au moyen de privilèges. Il en existe plusieurs types :

Les privilèges systèmes vont permettre de définir la fonction de l’utilisateur : administrer la base de données, réaliser des sauvegardes etc.

Les privilèges sur les objets vont définir les droits d’accès sur les objets de la base de données : Select sur les tables, sur les vues, insérer des données, supprimer des tables etc.

Les privilèges sur les objets sont intéressants pour limiter l’accès et l’utilisation des objets mais ce n’est pas suffisent pour gérer l’accès aux données de façon plus fine. Selon leur métier, tous les utilisateurs n’accèdent pas aux mêmes données.

Pour cela, SAP HANA dispose de privilèges analytiques pour permettre un contrôle d’accès précis aux données. C’est-à-dire définir quelles lignes de données peuvent être vues par quels utilisateurs.

Les privilèges analytiques vont être appliqué au travers des modèles virtuels (Calculation Views).

Pour permettre l’accès et l’utilisation des modèles virtuels, il est également nécessaire d’appliquer des privilèges sur les packages contenant les modèles.

Tous ces privilèges peuvent être définis et regroupés dans des « Rôles » afin de facilité la gestion de la sécurité par métier ou fonction.

Les privilèges analytiques

Application des privilèges analytiques

Il existe deux types de privilèges Analytiques : privilèges analytiques classiques et les privilèges analytiques SQL.

Le type « SQL » a fait son apparition avec la SP10 de SAP HANA 1 et tend à remplacer les privilèges analytiques classiques. En effet, ils offrent plus de flexibilité et supportent des opérations de restrictions plus complexes et plus précises.

Création d'un privilège analytique

Il est recommandé de créer les privilèges analytiques de type run-time object afin qu’ils soient associés au catalogue lors des déploiements alors qu’un privilège analytique de type design-time object ne permettra pas cette facilité de déploiement.

Pour l’exemple, nous allons attribuer un privilège analytique sur une calculation view de type Dimension. Cette dimension retourne la liste de tous les clients. Le but est de limiter la liste des clients aux groupes de comptes clients dont l’utilisateur est responsable.

1 – Pour créer un privilège analytique sélectionner et faire un clique-droit sur le package qui contiendra le privilège, cliquer sur « Nouveau » > « Analytic Privilège« .

Dans la boite de dialogue qui s’ouvre choisir le type de privilège analytique (ici SQL Analytic Privilege). Et dans la suivante, choisir le package de destination.

Création du privilège analytique

2 – Lorsque le privilège analytique est créé, la fenêtre de paramétrage s’ouvre afin de saisir les valeurs de restriction :

  • Secured Model : Cliquer sur Add et sélectionner la vue concernée.
Secured Model
  • Sur la droite, sélectionner le mode de définition du privilège
Modes de définition du privilège
  • Définir une période de validité (si nécessaire).
Période de validité
  • Sélectionner un attribut sur lequel sera appliqué la restriction
Attribut de restriction
  • Assigner une valeur.
Assignation d'une valeur
  • Une fois le paramétrage terminé, cliquer sur le bouton Bouton pour activer le privilège afin d’activer le privilège.

3 – La version SQL se présente ainsi :

Version SQL

Il est possible de créer un privilège analytique dynamique. Le principe est d’appliquer une restriction en fonction d’un élément associé à l’utilisateur. Ainsi on ne définit pas dans le privilège la valeur de l’attribut qui va permettre la restriction mais on va utiliser une procédure stockée qui retournera une valeur en fonction d’éléments de la base de données.

Privilège analytique dynamique

Exemple : une table de la base de données contient la répartition des Groupes de comptes client par utilisateur.

Une requête exécutée dans une procédure peut donc retourner le groupe de compte client en fonction de l’utilisateur qui exécute la calculation view.

La première étape est donc de créer une procédure stockée ainsi :

Création d'une procédure stockée

Remarque : la procédure n’accepte aucun paramètre en entré et doit avoir un paramètre en sortie.

C’est donc cette procédure qui sera associée au privilège analytique :

Procédure associée au privilège analytique

Application des privilèges

Pour pouvoir appliquer les privilèges analytiques, il faut les attribuer aux utilisateurs concernés :

Pour cela, il faut ouvrir le dossier « Security » puis « Users », sélectionner l’utilisateur auquel attribuer le privilège. Dans l’onglet « Analytic Privilege », cliquer sur le bouton « + » et dans la boite qui s’affiche, rechercher et sélectionner le privilège analytique à attribuer.

Appliquer le privilège analytique

Ce privilège peut être attribué directement à l’utilisateur ou à un rôle.

Résultats

Avant application du privilège la vue « Dim_Customer » retournait 79 lignes réparties ainsi :

Résultats des privilèges analytiques

Le datamart utilisant la dimension « Dim_Customer » présentait la répartition du CA de la façon suivante : 36 clients sur deux groupes de comptes. Notez que seule la vue « Dim_Customer » a fait l’objet d’un privilège analytique qui s’est appliqué automatiquement (par jointure) à la vue de fait du datamart.

Répartition du CA Clients

Après application du privilège, la vue interrogée n’affiche que 50 clients pour un seul groupe de compte :

Vue après activation du privilège

Et le datamart utilisant cette dimension n’affiche plus que 9 lignes sous-ensembles du résultat avant application du privilège.

Datamart après l'activation du privilège

CONCLUSION DE L’EXPERT

SAP HANA montre toute sa puissance par de simples opérations qui auront la capacité d’appliquer une politique de sécurité efficace d’accès aux données. L’utilisation des privilèges analytiques dynamiques au travers des Calculations Views apportera la flexibilité nécessaire lors de la mise en place de la sécurité.

Un projet ? Une question ?

Laissez-nous vos coordonnées et nous vous recontactons dans les plus brefs délais !

Articles récents
Évènements à venir
Newsletter DeciVision

Soyez notifiés de nos derniers articles de blog, de nos prochains webinars et nos actualités !