第13章安全性管理(文件)
【正文】 ege | role } [， {system_privilege | role}]… FROM {user | role | PUBLIC} [， { user | role | PUBLIC }]… REVOKE語(yǔ)句中的參數(shù)和 GRANT語(yǔ)句中相同。 對(duì)象權(quán)限管理 對(duì)象權(quán)限是一種對(duì)于特定對(duì)象（表、視圖、序列、過(guò)程、函數(shù)或程序包等）執(zhí)行特定操作的一種權(quán)限。 SQLGRANT SELECT, INSERT,DELETE ON emp TO atea。 SQLREVOKE ALL ON emp FROM atea。 29 權(quán)限查詢(xún) 用戶(hù)被授予的系統(tǒng)權(quán)限或者對(duì)象權(quán)限都被記錄在 Oracle的數(shù)據(jù)字典中，了解某個(gè)用戶(hù)被授予哪些系統(tǒng)權(quán)限和對(duì)象權(quán)限是確保應(yīng)用系統(tǒng)安全的重要工作。 30 主要內(nèi)容 概述 用戶(hù)管理 權(quán)限管理 角色管理 31 角色管理 Oracle 中的權(quán)限分類(lèi)很多，設(shè)置十分復(fù)雜，就系統(tǒng)權(quán)限而言，在 Oracle11g中就超過(guò)了 200種，為數(shù)據(jù)庫(kù)管理員正確有效地管理數(shù)據(jù)庫(kù)權(quán)限帶來(lái)了困難，而角色就是簡(jiǎn)化權(quán)限管理的一種數(shù)據(jù)庫(kù)對(duì)象。 32 角色、用戶(hù)及權(quán)限是一組有密切關(guān)系的對(duì)象，既然角色是一組權(quán)限的集合，那么他被授予某個(gè)用戶(hù)時(shí)才能有意義，可以如圖 131所示幫助我們理解角色、用戶(hù)及權(quán)限的關(guān)系。角色是可以授予另外一個(gè)角色的，需要避免將角色授予它本身，也不能循環(huán)授予。 對(duì)其中的參數(shù)說(shuō)明如下： l role_name：用于指定自定義角色名稱(chēng)，該名稱(chēng)不能與任何用戶(hù)名或其他角色相同。 【 例 1311】 創(chuàng)建使用口令驗(yàn)證的角色 SQLCREATE ROLE unit_clerk IDENTIFIED BY caption。可以通過(guò)給用戶(hù)授權(quán)的 GRANT語(yǔ)句給角色授權(quán)，并將角色賦予相應(yīng)的數(shù)據(jù)庫(kù)用戶(hù)。 【例 1314】將 teller角色授予用戶(hù) wang SQLGRANT teller TO wang。 角色的生效針對(duì)的是會(huì)話(huà)，在下一個(gè)會(huì)話(huà)中，用戶(hù)的活動(dòng)角色將默認(rèn)為默認(rèn)角色。 SQLSET ROLE doctor_clerk。 SQLSET ROLE NONE。 39 參數(shù)說(shuō)明如下： l role：角色名稱(chēng)； l NOT IDENTIFIED：表明該角色生效時(shí)，不需要進(jìn)行驗(yàn)證； l IDENTIFIED：表明該角色生效時(shí)，需要進(jìn)行驗(yàn)證； l BY password：提供角色生效時(shí)所使用的口令； l EXTERNALLY：表明該角色生效之前，用戶(hù)必須由外部服務(wù)（例如操作系統(tǒng)或網(wǎng)絡(luò)服務(wù)）授權(quán)； l GLOBALLY：表明通過(guò) SET ROLE語(yǔ)句使角色生效之前或登錄時(shí)，必須由企業(yè)目錄服務(wù)授權(quán)用戶(hù)使用該角色。 SQLALTER ROLE unit_manager NOT IDENTIFIED。刪除用戶(hù)一般由 DBA操作。 查詢(xún)角色信息 可以通過(guò)查詢(xún)數(shù)據(jù)字典或動(dòng)態(tài)性能視圖獲得數(shù)據(jù)庫(kù)角色的相關(guān)信息。 【例 1323】查詢(xún) DBA角色所具有的系統(tǒng)權(quán)限信息。 Oracle數(shù)據(jù)庫(kù)系統(tǒng)提供對(duì)其內(nèi)部所發(fā)生的活動(dòng)進(jìn)行審計(jì)的功能，也就是 Oracle系統(tǒng)對(duì)任何用戶(hù)進(jìn)行的登錄、操作數(shù)據(jù)庫(kù)對(duì)象進(jìn)行自動(dòng)登記，以方便數(shù)據(jù)庫(kù)管理者在事后進(jìn)行監(jiān)督和檢查。確保Oracle數(shù)據(jù)庫(kù)系統(tǒng)的可用性和安全性是 DBA的主要職責(zé)，Oracle數(shù)據(jù)庫(kù)安全管理是以用戶(hù)為核心進(jìn)行的，包括用戶(hù)的創(chuàng)建、權(quán)限的授予與回收、對(duì)用戶(hù)占用資源的限制和口令管理等。 【 例 1324】 啟動(dòng)數(shù)據(jù)庫(kù)的審計(jì)功能 ALTER SYSTEM SET audit_trail = ‘DB’ SCOPE = SPFILE。 43 主要內(nèi)容 概述 用戶(hù)管理 權(quán)限管理 角色管理 44 審計(jì)是監(jiān)視和記錄用戶(hù)對(duì)數(shù)據(jù)庫(kù)所進(jìn)行的操作，以供DBA進(jìn)行統(tǒng)計(jì)和分析。 【例 1322】查詢(xún)用戶(hù) martha的角色及默認(rèn)角色。 參數(shù)說(shuō)明如下： l role：角色名稱(chēng)； 【 例 1321】 刪除角色 unit_clerk。 SQLALTER ROLE doctor_clerk IDENTIFIED BY ORDER。 SQLALTER ROLE unit_clerk IDENTIFIED EXTERNALLY。而且，當(dāng)前用戶(hù)的角色必須通過(guò) ADMIN選項(xiàng)進(jìn)行授予，或者當(dāng)前用戶(hù)必須具有 ALTER ANY ROLE系統(tǒng)權(quán)限。 SQLSET ROLE ALL EXCEPT unit_manager。分配給用戶(hù)的默認(rèn)角色不需要口令，這些角色同沒(méi)有口令的角色一樣在登錄時(shí)生效。因此，通過(guò)設(shè)置角色的生效或失效，可以動(dòng)態(tài)改變用戶(hù)的權(quán)限。 【例 1313】為 teller角色授予 CREATE SESSION 和CREATE DATABASE LINK權(quán)限 SQLGRANT CREATE SESSION, CREATE DATABASE LINK to teller。 35 角色授權(quán) 當(dāng)角色被建立后，沒(méi)有任何權(quán)限，只有對(duì)其授予權(quán)限，才有使用的意義。 l IDENTIFIED BY password：用于設(shè)置角色生效時(shí)的認(rèn)證口令。創(chuàng)建用戶(hù)自定義角色使用CREATE ROLE語(yǔ)句來(lái)實(shí)現(xiàn)。如果應(yīng)用系統(tǒng)的規(guī)模很小，用戶(hù)數(shù)也不多，則可以直接將應(yīng)用的權(quán)限授予用戶(hù)，即使是這樣，用戶(hù)也必須對(duì) Oracle系統(tǒng)的預(yù)定義角色有所了解。 使用角色可以簡(jiǎn)化權(quán)限的管理，可以?xún)H用一條語(yǔ)句就能從用戶(hù)那里授予或者回收許多權(quán)限，而不必對(duì)用戶(hù)一一授權(quán)。 【 例 139】 查詢(xún)所有的對(duì)象權(quán)限。在這種情況下，如果數(shù)據(jù)庫(kù)管理員使用 REVOKE命令撤銷(xiāo) A用戶(hù)的對(duì)象權(quán)限時(shí)，用戶(hù) B的對(duì)象權(quán)限也被撤銷(xiāo)。要撤銷(xiāo)對(duì)象權(quán)限，撤銷(xiāo)者必須是將被撤銷(xiāo)的對(duì)象權(quán)限的原始授予者。 26 1. 授予對(duì)象權(quán)限 授予對(duì)象權(quán)限的語(yǔ)法： GRANT {object_privilege [(column_list)] [， ob
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1