【正文】 Oracle 10g 數據庫基礎教程 第 10章 安全管理 Oracle 10g數據庫基礎教程 主要內容 ? Oracle數據庫安全性概述 ?用戶管理 ?權限管理 ?角色 管理 ?概要文件 管理 ?審計 ?利用 OEM進行安全管理 Oracle 10g數據庫基礎教程 本章要求 ?了解 Oracle數據庫安全機制 ?掌握用戶管理 ?掌握權限管理 ?掌握角色管理 ?了解概要文件的作用及其應用 ?了解審計及其應用 Oracle 10g數據庫基礎教程 數據庫安全性概述 ?數據庫的安全性主要包括兩個方面的含義： ? 一方面是防止非法用戶對數據庫的訪問，未授權的用戶不能登錄數據庫； ? 另一方面是每個數據庫用戶都有不同的操作權限，只能進行自己權限范圍內的操作。 ? Oracle數據安全控制機制 ? 用戶管理 ? 權限管理 ? 角色管理 ? 表空間設置和配額 ? 用戶資源限制 ? 數據庫審計 Oracle 10g數據庫基礎教程 ? Oracle數據庫的安全可以分為兩類： ? 系統(tǒng)安全性 ? 系統(tǒng)安全性是指在系統(tǒng)級控制數據庫的存取和使用的機制，包括有效的用戶名與口令的組合、用戶是否被授權可連接數據庫、用戶創(chuàng)建數據庫對象時可以使用的磁盤空間大小、用戶的資源限制、是否啟動了數據庫審計功能，以及用戶可進行哪些系統(tǒng)操作等。 ? 數據安全性 ? 數據安全性是指在對象級控制數據庫的存取和使用機制，包括用戶可存取的模式對象和在該對象上允許進行的操作等。 Oracle 10g數據庫基礎教程 用戶管理 ?用戶管理概述 ?創(chuàng)建用戶 ?修改用戶 ?刪除用戶 ?查詢用戶信息 Oracle 10g數據庫基礎教程 ? Oracle數據庫初始用戶 ? SYS：是數據庫中具有最高權限的數據庫管理員，可以啟動、修改和關閉數據庫，擁有數據字典； ? SYSTEM：是一個輔助的數據庫管理員，不能啟動和關閉數據庫，但可以進行其他一些管理工作，如創(chuàng)建用戶、刪除用戶等。 ? SCOTT：是一個用于測試網絡連接的用戶，其口令為TIGER。 ? PUBLIC：實質上是一個用戶組，數據庫中任何一個用戶都屬于該組成員。要為數據庫中每個用戶都授予某個權限，只需把權限授予 PUBLIC就可以了。 Oracle 10g數據庫基礎教程 ?用戶屬性 ? 用戶身份認證方式 ? 默認表空間 ? 臨時表空間 ? 表空間配額 ? 概要文件 ? 賬戶狀態(tài) Oracle 10g數據庫基礎教程 ? 用戶身份認證方式 ? 數據庫身份認證：數據庫用戶口令以加密方式保存在數據庫內部，當用戶連接數據庫時必須輸入用戶名和口令，通過數據庫認證后才可以登錄數據庫。 ? 外部身份認證：當使用外部身份認證時，用戶的賬戶由 Oracle數據庫管理，但口令管理和身份驗證由外部服務完成。外部服務可以是操作系統(tǒng)或網絡服務。當用戶試圖建立與數據庫的連接時，數據庫不會要求用戶輸入用戶名和口令，而從外部服務中獲取當前用戶的登錄信息。 ? 全局身份認證： ：當用戶試圖建立與數據庫連接時， Oracle使用網絡中的安全管理服務器（ Oracle Enterprise Security Manager）對用戶進行身份認證。 Oracle的安全管理服務器可以提供全局范圍內管理數據庫用戶的功能。 Oracle 10g數據庫基礎教程 ? 默認表空間 ? 當用戶在創(chuàng)建數據庫對象時，如果沒有顯式地指明該對象在哪個表空間中存儲，系統(tǒng)會自動將該數據庫對象存儲在當前用戶的默認表空間中。如果沒有為用戶指定默認表空間，則系統(tǒng)將數據庫的默認表空間作為用戶的默認表空間。 ? 臨時表空間 ? 當用戶進行排序、匯總和執(zhí)行連接、分組等操作時，系統(tǒng)首先使用內存中的排序區(qū) SORT_AREA_SIZE，如果該區(qū)域內存不夠，則自動使用用戶的臨時表空間。在 Oracle 10g中，如果沒有為用戶指定臨時表空間，則系統(tǒng)將數據庫的默認臨時表空間作為用戶的臨時表空間。 Oracle 10g數據庫基礎教程 ? 表空間配額 ? 表空間配額限制用戶在永久表空間中可以使用的存儲空間的大小，默認情況下，新建用戶在任何表空間中都沒有任何配額。 ? 用戶在臨時表空間中不需要配額。 ? 概要文件 ? 每個用戶都必須有一個概要文件，從會話級和調用級兩個層次限制用戶對數據庫系統(tǒng)資源的使用，同時設置用戶的口令管理策略。如果沒有為用戶指定概要文件， Oracle將為用戶自動指定 DEFAULT概要文件。 ? 賬戶狀態(tài) ? 在創(chuàng)建用戶的同時，可以設定用戶的初始狀態(tài)，包括用戶口令是否過期以及賬戶是否鎖定等。 Oracle允許任何時候對帳戶進行鎖定或解鎖。鎖定賬戶后，用戶就不能與 Oracle數據庫建立連接，必須對賬戶解鎖后才允許用戶訪問數據庫。 Oracle 10g數據庫基礎教程 ?基本語法 ? CREATE USER user_name IDENTIFIED ? [BY password|EXTERNALLY|GLOBALLY ? AS 39。external_name39。] ? [DEFAULT TABLESPACE tablespace_name] ? [TEMPORARY TABLESPACE temp_tablesapce_name] ? [QUOTA n K|M|UNLIMITED ON tablespace_name] ? [PROFILE profile_name] ? [PASSWORD EXPIRE] ? [ACCOUNT LOCK|UNLOCK]。 Oracle 10g數據庫基礎教程 ?參數說明 ? user_name： 用于設置新建用戶名 ， 在數據庫中用戶名必須是唯一的 ； ? IDENTIFIED：用于指明用戶身份認證方式； ? BY password：用于設置用戶的數據庫身份認證，其中password為用戶口令； ? EXTERNALLY：用于設置用戶的外部身份認證； ? GLOBALLY AS39。external_name39。：用于設置用戶的全局身份認證，其中 external_name為 Oracle的安全管理服務器相關信息 ； ? DEFAULT TABLESPACE：用于設置用戶的默認表空間，如果沒有指定， Oracle將數據庫默認表空間作為用戶的默認表空間； Oracle 10g數據庫基礎教程 ? TEMPORARY TABLESPACE：用于設置用戶的臨時表空間； ? QUOTA：用于指定用戶在特定表空間上的配額，即用戶在該表空間中可以分配的最大 空間； ? PROFILE：用于為用戶指定概要文件，默認值為 DEFAULT，采用系統(tǒng)默認的概要文件； ? PASSWORD EXPIRE：用于設置用戶口令的初始狀態(tài)為過期，用戶在首次登錄數據庫時必須修改口令； ? ACCOUNT LOCK：用于設置用戶初始狀態(tài)為鎖定，默認為不鎖定； ? ACCOUNT UNLOCK：用于設置用戶初始狀態(tài)為不鎖定或解除用戶的鎖定狀態(tài) Oracle 10g數據庫基礎教程 ?注意 ? 在創(chuàng)建新用戶后，必須為用戶授予適當的權限，用戶才可以進行相應的數據庫操作。例如，授予用戶CREATE SESSION權限后，用戶才可以連接到數據庫。 ?創(chuàng)建數據庫用戶示例 ? 創(chuàng)建一個用戶 user3，口令為 user3，默認表空間為USERS，在該表空間的配額為 10 MB，初始狀態(tài)為鎖定。 ? CREATE USER user3 IDENTIFIED BY user3 ? DEFAULT TABLESPACE USERS QUOTA 10M ON USERS ACCOUNT LOCK。 Oracle 10g數據庫基礎教程 ? 創(chuàng)建一個用戶 user4，口令為 user4，默認表空間為USERS，在該表空間的配額為 10 MB?？诹钤O置為過期狀態(tài)，即首次連接數據庫時需要修改口令。概要文件為 example_profile（假設該概要文件已經創(chuàng)建）。 ? CREATE USER user4 IDENTIFIED BY user4 ? DEFAULT TABLESPACE USERS ? QUOTA 10M ON USERS ? PROFILE example_profile ? PASSWORD EXPIRE。 Oracle 10g數據庫基礎教程 ?基本語法 ? ALTER USER user_name [IDENTIFIED] ? [BY password|EXTERNALLY|GLOBALLY ? AS 39。external_name39。] ? [DEFAULT TABLESPACE tablespace_name] ? [TEMPORARY TABLESPACE temp_tablesapce_name] ? [QUOTA n K|M|UNLIMITED ON tablespace_name] ? [PROFILE profile_name] ? [DEFAULT ROLE role_list|ALL [EXCEPT role_list]