【文章內(nèi)容簡介】 ary Access Control ，簡稱 DAC） ? C2級 ? 靈活 ? 強制存取控制 （ Mandatory Access Control，簡稱 MAC） ? B1級 ? 嚴格 An Introduction to Database System 自主存取控制方法 ? 同一用戶對于不同的數(shù)據(jù)對象有不同的存取權(quán)限 ? 不同的用戶對同一對象也有不同的權(quán)限 ? 用戶還可將其擁有的存取權(quán)限轉(zhuǎn)授給其他用戶 An Introduction to Database System 強制存取控制方法 ? 每一個數(shù)據(jù)對象被標(biāo)以一定的密級 ? 每一個用戶也被授予某一個級別的許可證 ? 對于任意一個對象，只有具有合法許可證的用戶才可以存取 An Introduction to Database System 數(shù)據(jù)庫安全性控制 數(shù)據(jù)庫安全性控制概述 用戶標(biāo)識與鑒別 存取控制 自主存取控制方法 強制存取控制方法 視圖機制 審計 數(shù)據(jù)加密 An Introduction to Database System 自主存取控制方法 ? 定義存取權(quán)限 ? 存取權(quán)限 ? 存取權(quán)限由兩個要素組成 ? 數(shù)據(jù)對象 ? 操作類型 An Introduction to Database System 自主存取控制方法（續(xù)） ? 關(guān)系系統(tǒng)中的存取權(quán)限 ? 類型 數(shù)據(jù)對象 操作類型 模 式 模 式 建立、修改、刪除、檢索 外模式 建立、修改、刪除、檢索 內(nèi)模式 建立、刪除、檢索 數(shù) 據(jù) 表 查找、插入、修改、刪除 屬性列 查找、插入、修改、刪除 An Introduction to Database System 自主存取控制方法（續(xù)） ? 關(guān)系系統(tǒng)中的存取權(quán)限 (續(xù) ) ? 定義方法 ? GRANT/REVOKE An Introduction to Database System 自主存取控制方法（續(xù)） ? 關(guān)系系統(tǒng)中的存取權(quán)限 (續(xù) ) ? 例 : 一張授權(quán)表 用戶名 數(shù)據(jù)對象名 允許的操作類型 王平 關(guān)系 Student SELECT 張一 關(guān)系 Student UPDATE 張 一 關(guān)系 Course ALL 張一 SC. Grade UPDATE 張一 SC. Sno SELECT 張一 SC. Cno SELECT An Introduction to Database System 自主存取控制方法（續(xù)） ? 檢查存取權(quán)限 ? 對于獲得上機權(quán)后又進一步發(fā)出存取數(shù)據(jù)庫操作的用戶 ? DBMS查找數(shù)據(jù)字典，根據(jù)其存取權(quán)限對操作的合法性進行檢查 ? 若用戶的操作請求超出了定義的權(quán)限，系統(tǒng)將拒絕執(zhí)行此操作 An Introduction to Database System 自主存取控制方法（續(xù)） ? 授權(quán)粒度 ? 授權(quán)粒度是指可以定義的數(shù)據(jù)對象的范圍 ? 它是衡量授權(quán)機制是否靈活的一個重要指標(biāo)。 ? 授權(quán)定義中數(shù)據(jù)對象的粒度越細，即可以定義的數(shù)據(jù)對象的范圍越小，授權(quán)子系統(tǒng)就越靈活。 An Introduction to Database System 自主存取控制方法（續(xù)） ? 關(guān)系數(shù)據(jù)庫中授權(quán)的數(shù)據(jù)對象粒度 ? 數(shù)據(jù)庫 ? 表 ? 屬性列 ? 行 ? 能否提供與數(shù)據(jù)值有關(guān)的授權(quán)反映了授權(quán)子系統(tǒng)精巧程度 An Introduction to Database System 自主存取控制方法（續(xù)） ? 實現(xiàn)與數(shù)據(jù)值有關(guān)的授權(quán) ? 利用存取謂詞 ? 存取謂詞可以很復(fù)雜 ? 可以引用系統(tǒng)變量，如終端設(shè)備號，系統(tǒng)時鐘等，實現(xiàn)與時間地點有關(guān)的存取權(quán)限，這樣用戶只能在某段時間內(nèi)，某臺終端上存取有關(guān)數(shù)據(jù) 例：規(guī)定“教師只能在每年 1月份和 7月份星期一至星期五上午 8點到下午 5點處理學(xué)生成績數(shù)據(jù)”。 An Introduction to Database System 自主存取控制方法（續(xù)） ? 自主存取控制小結(jié) ? 定義存取權(quán)限 ? 用戶 ? 檢查存取權(quán)限 ? DBMS An Introduction to Database System 自主存取控制方法（續(xù)） ? 自主存取控制小結(jié) (續(xù) ) ? 授權(quán)粒度 ? 數(shù)據(jù)對象粒度：數(shù)據(jù)庫、表、屬性列、行 ? 數(shù)據(jù)值粒度：存取謂詞 ? 授權(quán)粒度越細，授權(quán)子系統(tǒng)就越靈活，能夠提供的安全性就越完善。但另一方面，因數(shù)據(jù)字典變大變復(fù)雜，系統(tǒng)定義與檢查權(quán)限的開銷也會相應(yīng)地增大。 An Introduction to Database System 自主存取控制方法（續(xù)） ? 自主存取控制小結(jié) (續(xù) ) ? 優(yōu)點 ? 能夠通過授權(quán)機制有效地控制其他用戶對敏感數(shù)據(jù)的存取 An Introduction to Database System 自主存取控制方法（續(xù)） ? 自主存取控制小結(jié) (續(xù) ) ? 缺點 ? 可能存在數(shù)據(jù)的“無意泄露” ? 原因：這種機制僅僅通過對數(shù)據(jù)的存取權(quán)限來進行安全控制，而數(shù)據(jù)本身并無安全性標(biāo)記。 ? 解決：對系統(tǒng)控制下的所有主客體實施強制存取控制策略 An Introduction to Database System 授權(quán)與收回權(quán)限 ? 誰定義？ DBA和表的建立者（即表的屬主） ? 如何定義？ SQL語句： GRANT REVOKE An Introduction to Database System DBMS實現(xiàn)數(shù)據(jù)安全性保護的過程 ? 用戶或 DBA把授權(quán)決定告知系統(tǒng) ? SQL的 GRANT和 REVOKE ? DBMS把授權(quán)的結(jié)果存入數(shù)據(jù)字典 ? 當(dāng)用戶提出操作請求時 ， DBMS根據(jù)授權(quán)定義進行檢查 ， 以決定是否執(zhí)行操作請求 An Introduction to Database System 授 權(quán) ? GRANT語句的一般格式： GRANT 權(quán)限 [,權(quán)限 ]... [ON 對象類型 對象名 ] TO 用戶 [,用戶 ]... [WITH GRANT OPTION]。 ? 誰定義 ？ DBA和表的建立者 （ 即表的屬主 ） ? REVOKE功能：將對指定操作對象的指定操作權(quán)限授予指定的用戶 。 An Introduction to Database System (1) 操作權(quán)限 對象 對象類型 操 作 權(quán) 限 屬性列 TABLE SELECT,INSE RT,UPDATE ，DELETE,ALL PRIVILIGES 視圖 TABLE SELECT,INSE RT,UPDATE ，DELETE,ALL PRIVILIGES 基本表 TABLE SELECT,INSE RT,UPDATE ，DELETE ALTE R, INDEX , ALL PRIVILIGES 數(shù)據(jù)庫 DATABASE CREATETAB An Introduction to Database System (2) 用戶的權(quán)限 ? 建表 （ CREATETAB） 的權(quán)限 :屬于 DBA ? DBA授予 普通用戶 ? 基本表或視圖的屬主擁有對該表或視圖的一切操作權(quán)限 ? 接受權(quán)限的用戶 : 一個或多個具體用戶 PUBLIC（全體用戶） An Introduction to Database System (4) WITH GRANT OPTION子句 ? 指定了 WITH GRANT OPTION子句 : 獲得某種權(quán)限的用戶還可以把這種權(quán)限再授予 別的用戶。 ? 沒有指定 WITH GRANT OPTION子句 : 獲得某種權(quán)限的用戶只能使用該權(quán)限，不能傳播 該權(quán)限 An Introduction to Database System 例題 例 1 把查詢 Student表權(quán)限授給用戶 U1 GRANT SELECT ON TABLE Student TO U1。 An Introduction to Database System 例題（續(xù)） 例 2 把對 Student表和 Course表的全部權(quán)限授予用戶 U2和 U3 GRANT ALL PRIVILIGES ON TABLE Student, Course TO U2, U3。 例 4 An Introduction to Database System 例題（續(xù)） 例 3 把對表 SC的查詢權(quán)限授予所有用戶 GRANT SELECT ON TABLE SC TO PUBLIC。 An Introduction to