安全管理脚本

#!/bin/bash
# tenant_security.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: http://www.fgedu.net.cn

# 定义变量
LOG_FILE="/opengauss/logs/tenant_security.log"

# 日志函数
log() {
    echo "[$(date +'%Y-%m-%d %H:%M:%S')] $1" >> $LOG_FILE
    echo "[$(date +'%Y-%m-%d %H:%M:%S')] $1"
}

# 检查租户权限
check_tenant_permissions() {
    log "检查租户权限..."
    
    # 列出所有租户用户
    tenants=$(gsql -U fgedu -d postgres -t -c "SELECT rolname FROM pg_roles WHERE rolname LIKE 'tenant%_user'; 
")
    
    for tenant in $tenants; do
        log "检查租户 $tenant 的权限..."
        # 检查租户是否只能访问自己的数据库
        databases=$(gsql -U $tenant -d postgres -t -c "SELECT datname FROM pg_database; 
")
        expected_db=$(echo $tenant | sed 's/_user//')
        
        if [[ $databases != *"$expected_db"* ]]; then
            log "警告：租户 $tenant 无法访问自己的数据库 $expected_db"
        fi
        
        # 检查租户是否只能访问自己的模式
        schemas=$(gsql -U $tenant -d $expected_db -t -c "SELECT schema_name FROM information_schema.schemata; 
")
        expected_schema="${expected_db}_schema"
        
        if [[ $schemas != *"$expected_schema"* ]]; then
            log "警告：租户 $tenant 无法访问自己的模式 $expected_schema"
        fi
    done
    
    log "租户权限检查完成"
}

# 检查行级安全策略
check_row_level_security() {
    log "检查行级安全策略..."
    
    # 列出所有租户数据库
    databases=$(gsql -U fgedu -d postgres -t -c "SELECT datname FROM pg_database WHERE datname LIKE 'tenant%'; 
")
    
    for db in $databases; do
        log "检查数据库 $db 的行级安全策略..."
        # 检查行级安全策略是否启用
        rls_status=$(gsql -U fgedu -d $db -t -c "SELECT relname, rowsecurity FROM pg_class WHERE relkind = 'r' AND relname LIKE '%users'; 
")
        
        if [[ $rls_status != *"t"* ]]; then
            log "警告：数据库 $db 中的表未启用行级安全策略"
        fi
        
        # 检查行级安全策略是否正确
        policy_status=$(gsql -U fgedu -d $db -t -c "SELECT policyname FROM pg_policies WHERE tablename LIKE '%users'; 
")
        
        if [[ $policy_status != *"tenant_isolation"* ]]; then
            log "警告：数据库 $db 中的表未设置租户隔离策略"
        fi
    done
    
    log "行级安全策略检查完成"
}

# 检查审计日志配置
check_audit_log() {
    log "检查审计日志配置..."
    
    # 检查审计日志是否启用
    audit_enabled=$(gsql -U fgedu -d postgres -t -c "SHOW audit_enabled; 
")
    
    if [[ $audit_enabled != *"on"* ]]; then
        log "警告：审计日志未启用"
    fi
    
    # 检查审计日志目录是否存在
    audit_directory=$(gsql -U fgedu -d postgres -t -c "SHOW audit_directory; 
")
    audit_directory=$(echo $audit_directory | tr -d ' ')
    
    if [ ! -d "$audit_directory" ]; then
        log "警告：审计日志目录 $audit_directory 不存在"
    fi
    
    log "审计日志配置检查完成"
}

# 主流程
log "=== 多租户安全检查开始 ==="

check_tenant_permissions
check_row_level_security
check_audit_log

log "=== 多租户安全检查完成 ==="