ch數(shù)據(jù)庫安全性ppt課件(編輯修改稿)
2025-02-14 08:49 本頁面
【文章內(nèi)容簡介】 制因此相對比較嚴(yán)格。 數(shù)據(jù)庫系統(tǒng)安全性控制 １ 〉 自主存取控制方法 (1/3) ? 大型數(shù)據(jù)庫管理系統(tǒng)幾乎都支持自主存取控制，目前的 SQL標(biāo)準(zhǔn)也對自主存取控制提供支持，這主要通過 SQL 的 GRANT語句和REVOKE語句來實現(xiàn)。 ? 用戶權(quán)限是由兩個要素組成的：數(shù)據(jù)對象和操作類型。 ? 定義一個用戶的存取權(quán)限就是要定義這個用戶可以在哪些數(shù)據(jù)對象上進(jìn)行哪些類型的操作。 ? 在數(shù)據(jù)庫系統(tǒng)中，定義存取權(quán)限稱為授權(quán)（ Authorization）。 ? 用戶權(quán)限定義中數(shù)據(jù)對象范圍越小授權(quán)子系統(tǒng)就越靈活。 ? 例如，上面的授權(quán)定義可精細(xì)到字段級，而有的系統(tǒng)只能對關(guān)系授權(quán)。授權(quán)粒度越細(xì)，授權(quán)子系統(tǒng)就越靈活，但系統(tǒng)定義與檢查權(quán)限的開銷也會相應(yīng)地增大。 數(shù)據(jù)庫系統(tǒng)安全性控制 １ 〉 自主存取控制方法 (2/3) ? 衡量授權(quán)子系統(tǒng)精巧程度的另一個尺度是能否提供與數(shù)據(jù)值有關(guān)的授權(quán)。 ? 上面的授權(quán)定義是獨立于數(shù)據(jù)值的，即用戶能否對某類數(shù)據(jù)對象執(zhí)行的操作與數(shù)據(jù)值無關(guān)，完全由數(shù)據(jù)名決定。 ? 反之，若授權(quán)依賴于數(shù)據(jù)對象的內(nèi)容，則稱為是與數(shù)據(jù)值有關(guān)的授權(quán)。 ? 有的系統(tǒng)還允許存取謂詞中引用系統(tǒng)變量，如一天中的某個時刻，某臺終端設(shè)備號。這樣用戶只能在某臺終端、某段時間內(nèi)存取有關(guān)數(shù)據(jù)，這就是與時間和地點有關(guān)的存取權(quán)限。 ? 另外，我們還可以在存取謂詞中引用系統(tǒng)變量。如終端設(shè)備號，系統(tǒng)時鐘等，這就是與時間地點有關(guān)的存取權(quán)限，這樣用戶只能在某段時間內(nèi)，某臺終端上存取有關(guān)數(shù)據(jù)。 ? 自主存取控制能夠通過授權(quán)機制有效地控制其他用戶對敏感數(shù)據(jù)的存取。 ? 但是由于用戶對數(shù)據(jù)的存取權(quán)限是“自主”的，用戶可以自由地決定將數(shù)據(jù)的存取權(quán)限授予何人、決定是否也將“授權(quán)”的權(quán)限授予別人。在這種授權(quán)機制下，仍可能存在數(shù)據(jù)的“無意泄露”。 數(shù)據(jù)庫系統(tǒng)安全性控制 １ ＞自主存取控制方法 (3/3) 授權(quán) :(王書 ~) 兩類授權(quán)語句： 1）第 1類 GRANT特權(quán)類型 〉 [{， 特權(quán)類型 〉 }] TO 用戶標(biāo)識符 〉 [IDENTIFIED ＢＹ ＜口令 〉 ］； 特權(quán)類型 〉 ：：＝ＣＯＮＮＥＣＴ ? ＲＥＳＯＵＣＥ ? ＤＢＡ （王書ｐ． １７５ ～） ２ ）第 ２ 類 GRANT特權(quán) 〉 ＯＮ＜表名 〉 ＴＯ ＜受權(quán)者 〉 ［｛ ＜受權(quán)者 〉 ｝］［ＷＩＴＨ ＧＲＡＮＴ ｏｐｔｉｏｎ］ 相應(yīng)的ＲＥＶＯＫＥ語句 數(shù)據(jù)庫系統(tǒng)安全性控制 三類特權(quán)的說明： 1， CONNECT 可與數(shù)據(jù)庫連接，并有權(quán)： （ 1）按授權(quán)可查詢或更新數(shù)據(jù)庫中的數(shù)據(jù)； （ 2）可創(chuàng)建視圖或定義數(shù)據(jù)的別名。 2， RESOURCE 除 1，的特權(quán)外，還有權(quán)： （ 1）可創(chuàng)建表、索引和簇集； （ 2）可授予或收回其他數(shù)據(jù)庫用戶對其創(chuàng)建的數(shù)據(jù)對象擁有的訪問權(quán)； （ 3）有權(quán)對其創(chuàng)建的數(shù)據(jù)對象 AUDIT。 數(shù)據(jù)庫系統(tǒng)安全性控制 3， DBA 除 1， 2，外，還有權(quán)： （ 1）訪問數(shù)據(jù)庫中的任何數(shù)據(jù)； （ 2）不但可 授予或收回其他數(shù)據(jù)庫用戶對其創(chuàng)建的數(shù)據(jù)對象擁有的訪 問權(quán)，還可批準(zhǔn)或收回數(shù)據(jù)庫用戶； （ 3）可為 PUBLIC定義別名， PUBLIC是所有數(shù)據(jù)庫用戶的總稱； （ 4）有權(quán)對數(shù)據(jù)庫調(diào)整、重組或重構(gòu)； （ 5）有權(quán)對整個數(shù)據(jù)庫 AUDIT。 數(shù)據(jù)庫系統(tǒng)安全性控制 授權(quán)矩陣 ———————————————————————— 基表、視圖 T1 T2 T3Tn 用戶 U1 All SelectNo U2 Update NoAll : : : Um No InsertNo 用戶權(quán)限登記到數(shù)據(jù)字典 , DBMS查找數(shù)據(jù)字典，根據(jù)安全規(guī)則進(jìn)行合法權(quán)限檢查，若用戶的操作請求超出了定義的權(quán)限，系統(tǒng)將拒絕執(zhí)行此操作。 數(shù)據(jù)庫系統(tǒng)安全性控制 ２＞強制存取控制 (MAC)方法 (1/3) ? 所謂 MAC是指系統(tǒng)為保證更高程度的安全性，按照 TDI/TCSEC標(biāo)準(zhǔn)中安全策略的要求，所采取的強制存取檢查手段。 ? 它不是用戶能直接感知或進(jìn)行控制的。 ? MAC適用于那些對數(shù)據(jù)有嚴(yán)
試題試卷相關(guān)推薦
鄂ICP備17016276號-1