第13章安全性管理(文件)
【正文】 ege | role } [， {system_privilege | role}]… FROM {user | role | PUBLIC} [， { user | role | PUBLIC }]… REVOKE語句中的參數(shù)和 GRANT語句中相同。 對象權(quán)限管理 對象權(quán)限是一種對于特定對象（表、視圖、序列、過程、函數(shù)或程序包等）執(zhí)行特定操作的一種權(quán)限。 SQLGRANT SELECT, INSERT,DELETE ON emp TO atea。 SQLREVOKE ALL ON emp FROM atea。 29 權(quán)限查詢 用戶被授予的系統(tǒng)權(quán)限或者對象權(quán)限都被記錄在 Oracle的數(shù)據(jù)字典中，了解某個(gè)用戶被授予哪些系統(tǒng)權(quán)限和對象權(quán)限是確保應(yīng)用系統(tǒng)安全的重要工作。 30 主要內(nèi)容 概述 用戶管理 權(quán)限管理 角色管理 31 角色管理 Oracle 中的權(quán)限分類很多，設(shè)置十分復(fù)雜，就系統(tǒng)權(quán)限而言，在 Oracle11g中就超過了 200種，為數(shù)據(jù)庫管理員正確有效地管理數(shù)據(jù)庫權(quán)限帶來了困難，而角色就是簡化權(quán)限管理的一種數(shù)據(jù)庫對象。 32 角色、用戶及權(quán)限是一組有密切關(guān)系的對象，既然角色是一組權(quán)限的集合，那么他被授予某個(gè)用戶時(shí)才能有意義，可以如圖 131所示幫助我們理解角色、用戶及權(quán)限的關(guān)系。角色是可以授予另外一個(gè)角色的，需要避免將角色授予它本身，也不能循環(huán)授予。 對其中的參數(shù)說明如下： l role_name：用于指定自定義角色名稱，該名稱不能與任何用戶名或其他角色相同。 【 例 1311】 創(chuàng)建使用口令驗(yàn)證的角色 SQLCREATE ROLE unit_clerk IDENTIFIED BY caption。可以通過給用戶授權(quán)的 GRANT語句給角色授權(quán)，并將角色賦予相應(yīng)的數(shù)據(jù)庫用戶。 【例 1314】將 teller角色授予用戶 wang SQLGRANT teller TO wang。 角色的生效針對的是會話，在下一個(gè)會話中，用戶的活動角色將默認(rèn)為默認(rèn)角色。 SQLSET ROLE doctor_clerk。 SQLSET ROLE NONE。 39 參數(shù)說明如下： l role：角色名稱； l NOT IDENTIFIED：表明該角色生效時(shí)，不需要進(jìn)行驗(yàn)證； l IDENTIFIED：表明該角色生效時(shí)，需要進(jìn)行驗(yàn)證； l BY password：提供角色生效時(shí)所使用的口令； l EXTERNALLY：表明該角色生效之前，用戶必須由外部服務(wù)（例如操作系統(tǒng)或網(wǎng)絡(luò)服務(wù)）授權(quán)； l GLOBALLY：表明通過 SET ROLE語句使角色生效之前或登錄時(shí)，必須由企業(yè)目錄服務(wù)授權(quán)用戶使用該角色。 SQLALTER ROLE unit_manager NOT IDENTIFIED。刪除用戶一般由 DBA操作。 查詢角色信息 可以通過查詢數(shù)據(jù)字典或動態(tài)性能視圖獲得數(shù)據(jù)庫角色的相關(guān)信息。 【例 1323】查詢 DBA角色所具有的系統(tǒng)權(quán)限信息。 Oracle數(shù)據(jù)庫系統(tǒng)提供對其內(nèi)部所發(fā)生的活動進(jìn)行審計(jì)的功能，也就是 Oracle系統(tǒng)對任何用戶進(jìn)行的登錄、操作數(shù)據(jù)庫對象進(jìn)行自動登記，以方便數(shù)據(jù)庫管理者在事后進(jìn)行監(jiān)督和檢查。確保Oracle數(shù)據(jù)庫系統(tǒng)的可用性和安全性是 DBA的主要職責(zé)，Oracle數(shù)據(jù)庫安全管理是以用戶為核心進(jìn)行的，包括用戶的創(chuàng)建、權(quán)限的授予與回收、對用戶占用資源的限制和口令管理等。 【 例 1324】 啟動數(shù)據(jù)庫的審計(jì)功能 ALTER SYSTEM SET audit_trail = ‘DB’ SCOPE = SPFILE。 43 主要內(nèi)容 概述 用戶管理 權(quán)限管理 角色管理 44 審計(jì)是監(jiān)視和記錄用戶對數(shù)據(jù)庫所進(jìn)行的操作，以供DBA進(jìn)行統(tǒng)計(jì)和分析。 【例 1322】查詢用戶 martha的角色及默認(rèn)角色。 參數(shù)說明如下： l role：角色名稱； 【 例 1321】 刪除角色 unit_clerk。 SQLALTER ROLE doctor_clerk IDENTIFIED BY ORDER。 SQLALTER ROLE unit_clerk IDENTIFIED EXTERNALLY。而且，當(dāng)前用戶的角色必須通過 ADMIN選項(xiàng)進(jìn)行授予，或者當(dāng)前用戶必須具有 ALTER ANY ROLE系統(tǒng)權(quán)限。 SQLSET ROLE ALL EXCEPT unit_manager。分配給用戶的默認(rèn)角色不需要口令，這些角色同沒有口令的角色一樣在登錄時(shí)生效。因此，通過設(shè)置角色的生效或失效，可以動態(tài)改變用戶的權(quán)限。 【例 1313】為 teller角色授予 CREATE SESSION 和CREATE DATABASE LINK權(quán)限 SQLGRANT CREATE SESSION, CREATE DATABASE LINK to teller。 35 角色授權(quán) 當(dāng)角色被建立后，沒有任何權(quán)限，只有對其授予權(quán)限，才有使用的意義。 l IDENTIFIED BY password：用于設(shè)置角色生效時(shí)的認(rèn)證口令。創(chuàng)建用戶自定義角色使用CREATE ROLE語句來實(shí)現(xiàn)。如果應(yīng)用系統(tǒng)的規(guī)模很小，用戶數(shù)也不多，則可以直接將應(yīng)用的權(quán)限授予用戶，即使是這樣，用戶也必須對 Oracle系統(tǒng)的預(yù)定義角色有所了解。 使用角色可以簡化權(quán)限的管理，可以僅用一條語句就能從用戶那里授予或者回收許多權(quán)限，而不必對用戶一一授權(quán)。 【 例 139】 查詢所有的對象權(quán)限。在這種情況下，如果數(shù)據(jù)庫管理員使用 REVOKE命令撤銷 A用戶的對象權(quán)限時(shí)，用戶 B的對象權(quán)限也被撤銷。要撤銷對象權(quán)限，撤銷者必須是將被撤銷的對象權(quán)限的原始授予者。 26 1. 授予對象權(quán)限 授予對象權(quán)限的語法： GRANT {object_privilege [(column_list)] [， ob
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1