【正文】 值。6 數(shù)據(jù)庫應(yīng)用 數(shù)據(jù)庫用戶設(shè)計 數(shù)據(jù)庫用戶的權(quán)限 用戶權(quán)限控制原則業(yè)務(wù)功能的安全分配是指開發(fā)團隊定義的用戶、角色、特權(quán)，它是面向應(yīng)用程序和開發(fā)的。它在數(shù)據(jù)庫部署是幾乎是不可修改的。數(shù)據(jù)庫用戶安全分配往往取自前臺應(yīng)用設(shè)計開發(fā)團隊的交付生產(chǎn)時的定義。這種安全定義了用戶、角色、系統(tǒng)特權(quán)、對象特權(quán)分配等等。它往往是面向開發(fā)的，沒有細致考慮用戶權(quán)限的控制。在數(shù)據(jù)庫系統(tǒng)上線時，才發(fā)現(xiàn)有不妥之處。而這種用戶安全分配多數(shù)情況下不能修改，否則對前臺應(yīng)用造成運行錯誤。但在交付生產(chǎn)時，投產(chǎn)方和用戶方必須對其安全性進行審計。因為這時提供的用戶安全往往是面向開發(fā)的，而不是面向末端用戶的。主要檢查一下幾個方面： 每個業(yè)務(wù)用戶不得授予DBA角色。 取消一些系統(tǒng)特權(quán)。但必須之前征詢開發(fā)者的意見，否則可能對前臺應(yīng)用運行帶來不可預(yù)測的錯誤。 堅持最小化特權(quán)原則。 用戶及其權(quán)限規(guī)范根據(jù)數(shù)據(jù)庫管理、數(shù)據(jù)維護、開發(fā)、功能等方面分為以下類型用戶：序號用戶類型描述1.DBA該類用戶擁有DBA角色，只有數(shù)據(jù)庫管理員能夠使用。其他用戶不要授予該角色。2.DATA OWNER該類用戶擁有數(shù)據(jù)庫業(yè)務(wù)schema 對象，特別是tables及其他對象。不對末端用戶開放。只有通過對象授權(quán)和系統(tǒng)授權(quán)，Transaction類型用戶才可訪問DATA OWNER類型用戶；表空間的使用，要通過空間授權(quán)配額，才可訪問；CREATE SESSION特權(quán)使用時方可臨時授權(quán)，使用完畢后，取消授權(quán)。3.Transaction該類型用戶擁有數(shù)據(jù)庫最小權(quán)限。只有通過明確的系統(tǒng)和對象授權(quán)才可訪問DATA OWNER中的對象（如CREATE SESSION,ALTER SESSION等）。一般用于末端用戶的訪問。4.Monitor該類型用戶一般用于監(jiān)控數(shù)據(jù)庫性能，或者是第三方工具使用。作為監(jiān)控軟件，如QUEST監(jiān)控軟件、patrol、statspack、rman等；5.其他作為普通用戶使用，使用權(quán)限嚴格限制，并服從DBA管理。如執(zhí)行一般的查詢sql語句等。為非ＤＢＡ用戶使用。對象（如:表、索引、觸發(fā)器、過程等）管理權(quán)限歸數(shù)據(jù)中心，應(yīng)用（屬記錄級別，創(chuàng)建臨時表權(quán)限）權(quán)限歸項目組 用戶命名規(guī)則 DBA類型命名格式： XXXDBA注：XXX為長度為3個字符的項目英文簡稱 DATA OWNER類型的命名格式：XDB注：X為長度為24個字符的業(yè)務(wù)功能簡稱. Transaction類型命名格式：XT注：X為長度為48個字符的業(yè)務(wù)功能簡稱 Monitor類型命名注：監(jiān)控軟件用戶應(yīng)按照第三方的供應(yīng)商提供的方式命名。 其他類型命名格式：XXXSQL注：XXX為長度3個字符的功能英文簡稱。 用戶權(quán)限分配方式對于一個IT數(shù)據(jù)庫項目，在應(yīng)用系統(tǒng)開發(fā)過程中，就開始對數(shù)據(jù)庫用戶權(quán)限進行嚴格的控制。即按照該系統(tǒng)未來生產(chǎn)時的方式進行分配，盡管此時數(shù)據(jù)庫還處在開發(fā)服務(wù)器之中，盡管給開發(fā)項目的控制帶來更多的工作，但數(shù)據(jù)庫的安全性大大提高了。對數(shù)據(jù)庫用戶（user）的授權(quán)，應(yīng)通過數(shù)據(jù)庫角色（role）進行分配。而不要把對象特權(quán)和系統(tǒng)特權(quán)直接授權(quán)給數(shù)據(jù)庫用戶。其帶來的優(yōu)勢參見小結(jié)“”。具體授權(quán)特權(quán)參見： 各用戶類型的角色命名規(guī)范 DATA OWNER類型用戶分配的角色命名規(guī)則：R_X_DB注：X為長度為24個字符的業(yè)務(wù)功能簡稱。 Transaction類型用戶分配的角色命名規(guī)則：R_X_T注：X為長度為48個字符的業(yè)務(wù)功能簡稱。 Monitor類型用戶分配的角色命名規(guī)則：注：應(yīng)按照第三方廠商提供的方式命名。 其他類型用戶分配的角色命名規(guī)則：R_XXX_SQL。注：XXX為長度為三個字符的業(yè)務(wù)功能簡稱。 數(shù)據(jù)庫用戶安全的實現(xiàn) 數(shù)據(jù)庫特權(quán)Oracle數(shù)據(jù)庫是通過“特權(quán)”（Privilege）這個概念來實現(xiàn)數(shù)據(jù)安全的。所謂特權(quán)指用一種指定的方式訪問xxx數(shù)據(jù)庫數(shù)據(jù)對象的一個許可，如查詢一個數(shù)據(jù)表的許可等。這個特權(quán)能夠被授予某個實體，因此這個授予實體特權(quán)（privilege）的過程，稱之為“授權(quán)”（Grant）。涉及Oracle數(shù)據(jù)庫系統(tǒng)安全的實體有兩個，分別是系統(tǒng)特權(quán)（System Privileges）和對象特權(quán)（Object Privileges）。 系統(tǒng)特權(quán)系統(tǒng)特權(quán)是指登錄到ORACLE數(shù)據(jù)庫系統(tǒng)的用戶，執(zhí)行數(shù)據(jù)庫系統(tǒng)級別的某種操作或者是某一數(shù)據(jù)庫對象的創(chuàng)建、修改、刪除。在ORACLE數(shù)據(jù)庫系統(tǒng)中有一系列的系統(tǒng)內(nèi)置預(yù)定義特權(quán)，系統(tǒng)用這些特權(quán)去控制數(shù)據(jù)的安全。不得授予普通用戶額外的全局權(quán)限，如select any/delete any/execute any等，應(yīng)用有特殊需求的除外。 對象特權(quán)對象特權(quán)是指登錄到ORACLE數(shù)據(jù)庫系統(tǒng)的用戶，有權(quán)執(zhí)行數(shù)據(jù)庫對象級別的某種操作。例如表的INSERT，DELETE，UPDATE操作等。同樣，在ORACLE數(shù)據(jù)庫系統(tǒng)中有一系列的對象內(nèi)置預(yù)定義特權(quán)，系統(tǒng)用這些特權(quán)去控制數(shù)據(jù)的安全。 角色由于ORACLE數(shù)據(jù)庫系統(tǒng)業(yè)務(wù)處理的復(fù)雜性，對ORACLE數(shù)據(jù)庫的系統(tǒng)特權(quán)和對象特權(quán)的分配也就變得十分復(fù)雜。因此，為了方便管理系統(tǒng)特權(quán)和對象特權(quán)，需要引入角色這個基本概念。所謂角色是指系統(tǒng)特權(quán)和對象特權(quán)的集合。通過對角色的管理，使得ORACLE數(shù)據(jù)庫的系統(tǒng)特權(quán)和對象特權(quán)管理變得更加方便和容易?；诮巧陌踩芾碇饕幸韵聨c優(yōu)勢： 減少授權(quán)工作量：可以通過授權(quán)給與一組用戶相關(guān)聯(lián)的角色，再由該角色授權(quán)給該用戶組的成員用戶。 動態(tài)特權(quán)管理：如果授權(quán)給某個xxx用戶的特權(quán)需要改變，只須修改相關(guān)角色的授權(quán)，那么與這個角色相關(guān)的用戶的特權(quán)會自動改變，不須修改授權(quán)給用戶特權(quán)。 設(shè)置特權(quán)的可用性：當某個被授予用戶的角色，需要取消，只須對相應(yīng)的角色設(shè)置禁用（DISABLED）。因此，在任何特定的情況下，都可對用戶的授權(quán)進行必要的控制。 應(yīng)用程序級的設(shè)置可用性：前臺應(yīng)用程序在試圖以某個數(shù)據(jù)庫用戶的身份與后臺數(shù)據(jù)庫相連接時，可以對角色設(shè)置可用性。這種做法可以把非應(yīng)用程序例如SQL*PLUS或第三方的數(shù)據(jù)庫操作工具等，屏蔽在數(shù)據(jù)庫系統(tǒng)之外，以保證數(shù)據(jù)庫的安全。角色可以根據(jù)業(yè)務(wù)的需求自由定義，系統(tǒng)特權(quán)和對象特權(quán)可以授權(quán)給角色，角色也可授權(quán)給另外的角色，角色也可授權(quán)給用戶?；谏厦婷枋龅慕巧踩芾淼膬?yōu)點和特點，ORACLE數(shù)據(jù)庫系統(tǒng)選擇角色來實施數(shù)據(jù)庫用戶的授權(quán)管理，并根據(jù)ORACLE的業(yè)務(wù)需求從不同的角度實現(xiàn)業(yè)務(wù)的權(quán)限分配。根據(jù)需求，設(shè)置不同級別的角色，某一級別體現(xiàn)對某一項業(yè)務(wù)的特權(quán)。各角色級別之間或是子集關(guān)系，或是交集關(guān)系；同一級別的角色之間，或是交集，或是互為獨立集合的關(guān)系。隨著對業(yè)務(wù)需求的增加或變化，不斷增加、完善訪問控制的粒度，并堅持最小化特權(quán)原則。如下圖： 通過存儲過程管理特權(quán)（stored procedures）使用存儲過程（stored procedures）來限制數(shù)據(jù)庫的操作，客戶端用戶只需有權(quán)執(zhí)行存儲過程，并通過存儲過程來實現(xiàn)對數(shù)據(jù)庫表的訪問。因而就屏蔽了用戶直接對數(shù)據(jù)庫表的操作。 通過視圖（VIEWS）管理特權(quán)通過視圖（VIEWS）來控制ORACLE數(shù)據(jù)庫系統(tǒng)的安全。即只分配給用戶查詢視圖的特權(quán)，而對基表（定義視圖的相關(guān)的數(shù)據(jù)表）則進行屏蔽，禁止對數(shù)據(jù)表的直接操作。視圖可以實現(xiàn)以下兩種安全級別： 使用視圖可以限制對數(shù)據(jù)表中的特定的列的訪問。 使用視圖可以限制對數(shù)據(jù)表中的特定的行的訪問。如：對于某一基表，要求只顯示部分行，則可通過創(chuàng)建實體的WHERE子句來控制行的顯示。 授予權(quán)限和角色 授予系統(tǒng)權(quán)限和角色可以用SQL語句GRANT來授予系統(tǒng)權(quán)限和角色給其它角色和用戶。有GRANT ANY ROLE系統(tǒng)權(quán)限的任何用戶可以授予數(shù)據(jù)庫里的任何角色。下面的語句授予系統(tǒng)權(quán)限CREATE SESSION和角色ACCTS_PAY給用戶JWARD:GRANT CREATE SESSION, ACCTS_PAY TO JWARD。注意：對象權(quán)限不能跟系統(tǒng)權(quán)限和角色在同一句GRANT語句里授予。 當一個用戶創(chuàng)建一個角色，會把自動這個角色帶關(guān)鍵字ADMIN OPTION地授予給它的創(chuàng)建者。一個帶有關(guān)鍵字ADMIN OPTION的被授予者有幾項擴展性能：216。 被授予者可以對數(shù)據(jù)庫的其它用戶或角色進行授予或撤銷系統(tǒng)權(quán)限或角色的操作。（用戶不可以撤銷它本身的角色。）216。 被授予者可以進一步授予有關(guān)鍵字ADMIN OPTION系統(tǒng)或角色。216。 擁有一個角色的被授予者可以改變或卸載這個角色。在下面的語句中，安全管理員把NEW_DBA角色授予給MICHAEL：GRANT NEW_DBA TO MICHAEL WITH ADMIN OPTION。用戶MICHAEL不但可以使用隱含在角色NEW_DBA里的所有權(quán)限，當有需要時還可以授予，撤銷或卸載NEW_DBA角色。只有在對安全管理員進行相關(guān)權(quán)限和角色授予時，才允許帶有關(guān)鍵字ADMIN OPTION。 授予對象權(quán)限和角色同樣可以使用GRANT語句來授予對象權(quán)限給角色和用戶。要授予對象權(quán)限，必須要具備下面任意一個條件：216。 擁有被授予的對象216。 被授予過有關(guān)鍵字GRANT OPTION的對象權(quán)限。注意：系統(tǒng)權(quán)限和角色不能和對象權(quán)限在同一句GRANT語句中授予。下面的語句授予了對應(yīng)EMP表所有列的SELECT，INSERT和DELETE的對象權(quán)限給用戶JFEE和TSMITH： GRANT SELECT, INSERT, DELETE ON EMP TO JFEE, TSMITH。要授予只對應(yīng)EMP表的ENAME列和JOB列的INSERT的對象權(quán)限給用戶JFEE和TSMITH，聲明下面的句子： GRANT INSERT (ENAME, JOB) ON EMP TO JFEE, TSMITH。要把對應(yīng)于SALARY視圖的所有對象權(quán)限給用戶JFEE，要使用ALL關(guān)鍵字，正如下面的例子所示： GRANT ALL ON SALARY TO JFEE。擁有對象的用戶會自動授予所有相關(guān)的有關(guān)鍵字GRANT OPTION的對象權(quán)限。這幾個權(quán)限讓被授予者有以下幾個擴展權(quán)限：216。 被授予者可以授予有或沒有關(guān)鍵字GRANT OPTION的對象權(quán)限給數(shù)據(jù)庫里的任何用戶或者任何角色。216。 如果在帶有關(guān)鍵字GRANT OPTION情況下授予，被授予者得到一個表的對象權(quán)限，并且被授予者有CREATE VIEW 或 CREATE ANY VIEW的系統(tǒng)權(quán)限，那么被授予者就可以在這個表上建視圖和把這個視圖相應(yīng)的權(quán)限授予給數(shù)據(jù)庫的任何用戶或角色。216。 當把一個對象權(quán)限授予給一個角色時，關(guān)鍵字GRANT OPTION是不起作用的。Oracle防止通過角色來傳播對象權(quán)限，因此有某角色的被授予者不能通過角色來傳播擁有的對象權(quán)限。 授予列的權(quán)限可以授予對應(yīng)于表里單獨一列的INSERT，UPDATE或REFERENCES的權(quán)限。警告：在授予對應(yīng)列的INSERT權(quán)限之前，觀察這個表是否有許多定義了NOT NULL約束的列，如果是就終止授予。選擇性的把插入特性授予給那些沒有NOT NULL特性的列，防止了用戶插入任何列到表里。要避免這種情形，就要確定每一個NOT NULL的列既可以插入又有非空的默認值。否則，被授予者插入記錄就會不成功并出現(xiàn)錯誤。把ACCOUNTS表的ACCT_NO列的INSERT權(quán)限授予給用戶SCOTT： GRANT INSERT (ACCT_NO) ON ACCOUNTS TO SCOTT。 數(shù)據(jù)庫默認用戶除了sys、system、rman用戶，其他oracle默認用戶都應(yīng)該置為expire或lock狀態(tài)，除非有特殊需求。 數(shù)據(jù)庫用戶密碼數(shù)據(jù)庫所有活動狀態(tài)用戶的密碼不得設(shè)置為已知的默認密碼（如：sys用戶密碼也不能設(shè)置為manager）；數(shù)據(jù)庫用戶的密碼應(yīng)該定期修改 數(shù)據(jù)庫分區(qū) 數(shù)據(jù)庫分區(qū)介紹分區(qū)技術(shù)是為解決數(shù)據(jù)庫中巨大的表或索引讀寫速度過慢而提出的解決方案。分區(qū)技術(shù)是利用物理上和邏輯上對數(shù)據(jù)進行分割來提高處理速度的。同時，合理的分區(qū)也提高了數(shù)據(jù)庫數(shù)據(jù)的可管理性。Partition表和索引考慮使用分區(qū)的條件： 數(shù)據(jù)損壞的故障隔離 支持在線增加、刪除 特定分區(qū)上的批處理 按分區(qū)備份 維護時可訪問正常分區(qū) 恢復(fù)最關(guān)鍵的數(shù)據(jù)分區(qū) 邏輯分割根據(jù)分區(qū)策略，一張表的數(shù)據(jù)可以邏輯上分布于多個分區(qū)、子分區(qū)中，對數(shù)據(jù)的查詢?nèi)绻梅謪^(qū)策略就可以縮小訪問的范圍，在一定量級上提高查詢速度。同樣，對于索引分區(qū)也是一樣的，從邏輯上分割表，縮小處理中的范圍，能夠極大地提高Oracle本身的處理速度。 物理分割對于邏輯分割后的分區(qū)，可以通過策略分布到不同的表空間中，從而分布到不同的數(shù)據(jù)文件中，而數(shù)據(jù)文件又可以分配到不同的存儲介質(zhì)空間中，這樣就可以充分利用操作系統(tǒng)的并行訪問，同時也利用存儲介質(zhì)的并行訪問，極大地同時提高寫入和讀取速度。同樣，對于索引分區(qū)也是一樣的機制。 分區(qū)后對數(shù)據(jù)庫管理的好處 分區(qū)允許數(shù)據(jù)庫管理員進行數(shù)據(jù)管理操作：數(shù)據(jù)裝載，索引的創(chuàng)建和重建，在分區(qū)級別的備份與恢復(fù)。因此可節(jié)省數(shù)據(jù)庫管理員大量的操作時間。 分區(qū)可大幅度減少因維護引起的宕機時間。分區(qū)的獨立性使數(shù)據(jù)庫管理員對同一表或索引的各個分區(qū)進行并發(fā)的維護管理操作；也可對分區(qū)表并行的執(zhí)行SELECT 和DML操作。 分區(qū)可增加數(shù)據(jù)庫的可用性。減少維護窗口，恢復(fù)次數(shù)以及系統(tǒng)失效的影響。 分區(qū)不要求修改任何應(yīng)用程序。如，數(shù)據(jù)庫管理員可把非分區(qū)表轉(zhuǎn)換為分區(qū)表，而不必修改或重寫SELECT 語句或DML語句。同時也不必重寫前端的應(yīng)用程序代碼。 分區(qū)對數(shù)據(jù)庫規(guī)劃、創(chuàng)建帶來的負面影響當然，任何事物都具兩面性，分區(qū)帶來了數(shù)據(jù)庫創(chuàng)建方面的復(fù)雜度。即