Агент Trino

Агент Trino — системный контроль доступа с именем grantforge: coordinator спрашивает его о каждом каталоге, схеме, таблице, столбце, подпрограмме, свойстве сеанса и пользователе, которых касается запрос, а он отвечает по подписанным политикам сервиса данных trino. Trino с 470 по 478 работает на Java 23 или 24, а Trino 479 и новее — на Java 25, поэтому дистрибутив содержит два JAR, в каждом из которых зависимости перемещены внутрь:

Интеграционные тесты Testcontainers в репозитории запускают первый JAR в Trino 470 и 476, а второй — в 479 и 484. Это не сертифицирует все остальные версии. Плагин сервиса описан в разделе Trino.

Как это работает

• Каждая проверка решается в каждой области, которую она называет. Право на каталог, схему или таблицу распространяется на то, что внутри, поэтому агент решает столбец в его каталоге, схеме, таблице и в нём самом: запрет в любой из них отклоняет, разрешение в любой из них предоставляет.
• Списки не показывают того, что использовать нельзя. SHOW CATALOGS, SHOW SCHEMAS, SHOW TABLES, SHOW FUNCTIONS, information_schema и метаданные драйвера показывают только то, что пользователь может использовать или внутри чего может что-то использовать.
• То, что описывает данные, остаётся открытым. information_schema каждого каталога, схемы jdbc и metadata каталога system, которые читают JDBC-драйверы и BI-инструменты, и встроенные функции Trino не требуют политик; их строки фильтруются так же, как списки.
• Строки фильтруются, столбцы маскируются. Политики фильтрации строк применяются к каждому запросу, читающему таблицу, а маски подгоняются под тип столбца, чтобы маска никогда не ломала запрос: текстовые маски применяются к столбцам varchar и char и приводятся обратно к типу столбца, маска года — к датам и меткам времени, пользовательское выражение приводится к типу, а любой другой столбец, названный текстовой маской, читается как NULL своего типа.
• Имперсонация и чужие запросы подчиняются политикам. Выполнение запроса от имени другого пользователя требует impersonate на этого пользователя; просмотр или завершение чужих запросов — view_query или kill_query на него. Любой может выполнять запросы, а также видеть и завершать свои.
• Отказы объясняют причину. Клиент получает Access Denied: alice may not select hive.sales.orders.card: GrantForge policy 6 denies it, либо что ни одна политика этого не разрешает, либо что политик ещё нет.
• Решения кэшируются, доступы объединяются. Решения текущего снимка кэшируются, по умолчанию 100 000 на 10 секунд, а новый снимок начинает с нуля. Одинаковые разрешённые доступы в пределах окна, по умолчанию 10 секунд, сообщаются одним событием доступа с указанием их числа; отказы сообщаются по одному и сразу. Каждое событие называет запрос.
• Привилегии принадлежат GrantForge. Операторы Trino GRANT, REVOKE, DENY и операторы ролей отклоняются, так как политики управляются в GrantForge.

Начиная с Trino 479 второй JAR проверяет и ветки таблиц: для их просмотра нужно видеть таблицу, а создание, удаление или перемотка ветки требует alter на таблицу; обновление представления и смена владельца или комментария материализованного представления требуют alter на него.

Развёртывание

1. Добавьте сервис данных trino и настройте его политики. Откройте Права доступа к данным → Агенты, выберите сервис и выпустите токен агента. Он показывается один раз; сохраните его в файле, доступном для чтения только учётной записи Trino.

2. Скопируйте JAR, соответствующий версии coordinator, в отдельный каталог внутри каталога плагинов Trino, например /usr/lib/trino/plugin/grantforge/. Доступ проверяет только coordinator; worker ничего не нужно.

3. Создайте на coordinator файл etc/access-control.properties, заменив адрес, пути и имя экземпляра из примера:

   access-control.name=grantforge
   grantforge.server.url=https://grantforge.example.com
   grantforge.token.file=/etc/trino/grantforge.token
   grantforge.instance=coordinator-1
   grantforge.cache.dir=/var/lib/trino/grantforge-cache

   Каталог кэша должен быть доступен для записи учётной записи Trino. GrantForge заменяет файловый или иной контроль доступа Trino, а не работает рядом с ним.

4. Перезапустите coordinator. Пока агент не получит первый снимок, запросы отклоняются, кроме того, что описывает данные.

5. Сначала перенесите существующие правила: правила файлового контроля доступа Trino больше не действуют. Заранее создайте соответствующие политики.

Пользователи, группы и роли

Политики называют пользователя сеанса запроса — такого, каким его даёт Trino после аутентификации и сопоставления пользователей. Группы — те, что даёт пользователю поставщик групп Trino, вместе с группами, в которые пользователя помещает GrantForge; роли — те, что даёт пользователю GrantForge.

Решения и ограничения

• Без пригодного снимка отклоняется всё, кроме того, что описывает данные, выполнения запросов и собственных запросов. Неиспользуемый сервис оставляет Trino без проверок, как без контроля доступа; операторы привилегий и ролей Trino всё равно отклоняются.
• Токен, привязанный к сервису, тип которого не trino, отклоняет всё.
• Trino прежде всего спрашивает, может ли пользователь вообще использовать каталог: пользователь без прав в каталоге получает собственное сообщение Trino Cannot access catalog.
• SELECT, читающий столбец, который пользователю читать нельзя, отклоняется с указанием первого такого столбца; столбцы не удаляются из результата.
• Trino не записывает в таблицу, столбцы которой маскирует для пользователя: такой INSERT завершается ошибкой, пока действует маска.
• Маска приводится к типу столбца, поэтому ограниченный varchar показывает столько маскированного значения, сколько помещается, например 3 символа хеша в varchar(3).
• Фильтр строк или маска, которые снимок не может прочитать, не показывают строк или показывают столбец как NULL вместо данных.
• Решения кэшируются на grantforge.decision.cache.ttl.ms, поэтому срок действия политики начинается или заканчивается с опозданием до этого времени.

Связанные руководства

• Trino
• Сервисы данных, политики и агенты