创建 DB2 UDB 安全性插件的步骤

创建 DB2 UDB 安全性插件的步骤

创建一个 DB2 UDB 安全性插件需要 6 个步骤。下面的几个小节将详细解释每个步骤：

1. 将安全性插件的头文件包括到插件中：
   • sqllib/include/db2secPlugin.h
   • sqllib/include/gssapiDB2.h
     注意：只有在实现基于 GSS-API 的安全性插件时才需要 gssapiDB2.h。
2. 编写组成插件的 API。需要编写一个适当的初始化 API 和服务器、客户机或组插件所需的其他一些 API。
3. 在返回 DB2 之前填充函数指针结构。
   • 指出插件使用的插件 API 版本。
   • 指出插件类型，例如用户 ID/密码、GSS-API、Kerberos。
4. 编译插件源代码，并创建一个共享库。根据应用程序/服务器实例，编译为 32 位或 64 位。
5. 将这个库放在适当的目录中。
6. 通过更新数据库管理器参数，启用插件。

步骤 1：将安全性插件头文件包括到插件中

db2secPlugin.h 和 gssapiDB2.h 是实现定制安全性插件所需的两个头文件。只有在构建 GSS-API 插件时才需要 gssapiDB2.h 头文件。图 5 展示了在 Windows 系统上实现安全性插件所需的这两个头文件的位置。

步骤 2：编写组成插件的 API

根据创建的是服务器插件、客户机插件还是组插件，需要分别编写以下 API 来初始化插件：

• db2secServerAuthPluginInit
• db2secClientAuthPluginInit
• db2secGroupPluginInit

例如，可以这样编写 db2secServerAuthPluginInit API：

SQL_API_RC SQL_API_FN db2secServerAuthPluginInit(
   db2int32             version,
   void*                server_fns,
   db2secGetConDetails* getConDetails_fn,
   db2secLogMessage*    logMessage_fn,
   char**               errormsg,
   db2int32*            errormsglen)
{
   struct userid_password_server_auth_functions_1
      *fns = (struct userid_password_server_auth_functions_1*) server_fns;
   condetails_fn = getConDetails_fn;
   logMessage_Fn = logMessage_fn;
   fns->version    = DB2SEC_API_VERSION;
   fns->plugintype = DB2SEC_PLUGIN_TYPE_USERID_PASSWORD;
   fns->db2secDoesAuthIDExist      = &is_user;
   fns->db2secFreeErrormsg         = &free_error_message;
   fns->db2secFreeToken            = &free_token;
   fns->db2secGetAuthIDs           = &getauthids;
   fns->db2secServerAuthPluginTerm = &terminate_plugin;
   fns->db2secValidatePassword     = &validatePassword;
   /* Example on how to use logMessage_fn */
   /* Will log the init successful information into db2diag.log at DIAGLEVEL 3 */
   (logMessage_Fn)(DB2SEC_LOG_WARNING,
                   "db2secServerAuthPluginInit successful",
                   strlen("db2secServerAuthPluginInit successful"));
   return DB2SEC_PLUGIN_OK;
}

DB2 调用装载后的 db2secServerAuthPluginInit API 来初始化服务器插件库。前面的代码来自文件 txtserver.c，该文件在本文后面附带的 zip 文件中。

除了初始化函数外，还需为服务器、客户机和组插件实现一些插件 API。此外，还有一些用于用户 ID/密码身份验证和用于 GSS-API 身份验证的特定 API。图 6、图 7 和图 8 描述了这些函数的功能。

注意：DB2 UDB 手册有一节详细描述了如何开发安全性插件，并解释了安全性插件 API。那些细节超出了本文的范围。本节只简单地对插件 API 做一个概述。

步骤 3：在返回 DB2 之前填充函数指针结构

函数指针返回指向您实现的特定插件库所需的所有 API 的指针。例如，对于组插件，它包含指向 db2secDoesGroupExist、db2secFreeErrormsg、db2secFreeGroupListMemory、db2secGetGroupsForUser 和 db2secPluginTerm API 的实现的指针。

本文后面附带的 zip 文件中的 txtgroup.c 文件提供了一个例子，演示如何填充组插件库的函数指针。下面是该代码的一个片段。

fns->version = DB2SEC_API_VERSION;
fns->db2secDoesGroupExist      = &is_group;
fns->db2secFreeErrormsg        = &free_error_message;
fns->db2secFreeGroupListMemory = &free_group_list;
fns->db2secGetGroupsForUser    = &get_groups;
fns->db2secPluginTerm          = &terminate_plugin;

步骤 4：编译插件源代码并创建一个共享库

编写好安全性插件后，根据 DB2 实例将其编译成 32 位或 64 位的文件。库的名称必须与插件名称相同。并且，库必须是有适当的特定于平台的扩展名的共享库。例如，如果插件的名称为 myPlugin，那么应使用下面的扩展名：

• myPlugin.dllWindows）
• myPlugin.aAIX）
• myPlugin.soLinux、AIX、Sun Solaris、HP-UX）
• myPlugin.slHP-UX）

库必须是线程安全的可重入的），并且必须使用 C 链接至少对初始化函数要使用 C 链接）。

步骤 5：将库放入适当的目录

必须将安全性插件库放入特定的目录：

1. Windows：
   • sqllib\security\plugin\<instance name>\client
   • sqllib\security\plugin\<instance name>\server
   • sqllib\security\plugin\<instance name>\group

   对于 IBM 提供的缺省插件：

   • sqllib\security\plugin\IBM\client
   • sqllib\security\plugin\IBM\server
   • sqllib\security\plugin\IBM\group
2. 32 位 Linux 和 UNIX：
   • sqllib/security32/plugin/client
   • sqllib/security32/plugin/server
   • sqllib/security32/plugin/group

   对于 IBM 提供的缺省插件：

   • sqllib/security32/plugin/IBM/client
   • sqllib/security32/plugin/IBM/server
   • sqllib/security32/plugin/IBM/group

在 Linux 和 UNIX 中，对于 64 位库，也使用与前面类似的目录，只是要使用子目录名 security64，而不是 security32。在 Windows 64 位实例中，32 位和 64 位插件都在相同的目录中，但是 64 位插件将加上后缀 ‘64’，例如 myplugin64.dll。

注意：IBM 子目录在插件目录下）是为 IBM 提供的缺省插件预留的。放在该目录中的任何其他定制的插件都将被忽略。

步骤 6：通过更新数据库管理器参数启用插件

在 8.2 版之前，authentication 数据库管理器配置参数指定位置和机制，通过它来执行 CONNECT/ATTACH、组查询和本地授权检查。而在 8.2 版中有更多的配置参数，从而为选择身份验证选项提供了更大的灵活性。

表 2 提供了应用于插件的数据库管理器配置参数列表，并解释了它们如何应用于安全性插件。

表 3 展示了使用前面列出的配置参数启用用户 ID/密码身份验证插件的步骤。

表 4 展示了使用前面列出的配置参数启用组成员查找插件的步骤。

表 5 展示了使用前面列出的配置参数启用 GSS-API 身份验证插件的步骤。

表 6 展示了使用前面列出的配置参数启用 Kerberos 身份验证插件的步骤。