用戶角色與權(quán)限控制

用戶角色與權(quán)限控制第一頁(yè)，共十五頁(yè)，2022年，8月28日16.1用戶Oracle用戶分為兩類(lèi)：一類(lèi)是具有系統(tǒng)管理權(quán)限的用戶，稱為系統(tǒng)用戶；另一類(lèi)為普通用戶。從創(chuàng)建時(shí)機(jī)上講，Oracle數(shù)據(jù)庫(kù)在創(chuàng)建時(shí)，會(huì)提供若干默認(rèn)用戶（如系統(tǒng)用戶system）；另外，系統(tǒng)用戶可以在登錄數(shù)據(jù)庫(kù)后創(chuàng)建其他用戶。這些用戶共同組成了Oracle數(shù)據(jù)庫(kù)的用戶集合。本小節(jié)將講述Oracle用戶的概況，并講解如何創(chuàng)建普通用戶。第二頁(yè)，共十五頁(yè)，2022年，8月28日16.1.1Oracle中的用戶概況在Oracle數(shù)據(jù)庫(kù)中，存在著視圖dba_users。該視圖存儲(chǔ)了所有用戶的基本信息，我們搜尋視圖內(nèi)容來(lái)查看Oracle中的用戶概況。第三頁(yè)，共十五頁(yè)，2022年，8月28日16.1.2利用系統(tǒng)用戶創(chuàng)建新的用戶對(duì)于開(kāi)發(fā)人員來(lái)說(shuō)，并不會(huì)經(jīng)常使用系統(tǒng)用戶登錄數(shù)據(jù)庫(kù)。因?yàn)橄到y(tǒng)用戶的權(quán)限范圍較大，如果出現(xiàn)失誤，可能對(duì)數(shù)據(jù)庫(kù)造成較大傷害。因此，往往開(kāi)發(fā)人員會(huì)使用特定的用戶進(jìn)行開(kāi)發(fā)任務(wù)。創(chuàng)建新用戶的語(yǔ)法如下所示：createuser用戶名identifiedby密碼defaulttablespace名稱空間其中，createuser命令用戶創(chuàng)建新的用戶，并指定用戶名；identifiedby選項(xiàng)是必需的，用于指定新用戶的密碼；defaulttablespace用于指定新建用戶的默認(rèn)表空間，新用戶登錄之后，所有操作均默認(rèn)在該名稱空間進(jìn)行。第四頁(yè)，共十五頁(yè)，2022年，8月28日16.1.3用戶的對(duì)象集合——模式模式（Schema）是用戶的附屬對(duì)象，依賴于對(duì)象的存在而存在。一個(gè)用戶在數(shù)據(jù)庫(kù)中所擁有的所有對(duì)象的集合即為該用戶的模式。這些對(duì)象包括：表、索引、視圖、存儲(chǔ)過(guò)程等。第五頁(yè)，共十五頁(yè)，2022年，8月28日16.1.4系統(tǒng)用戶——system與sys系統(tǒng)用戶sys和system是Oracle數(shù)據(jù)庫(kù)默認(rèn)創(chuàng)建的用戶。用戶sys角色為sysdba（數(shù)據(jù)庫(kù)管理員），是數(shù)據(jù)庫(kù)中權(quán)限最高的用戶，可以進(jìn)行任意操作而不受限制。system用戶角色為sysoper（數(shù)據(jù)庫(kù)操作員），權(quán)限僅次于sys用戶。我們?cè)?6.1.1節(jié)中提到，一個(gè)用戶的狀態(tài)有可能是EXPIRED&LOCKED，即被鎖定的。第六頁(yè)，共十五頁(yè)，2022年，8月28日16.2權(quán)限權(quán)限（Privilege）是Oracle中控制用戶操作的主要策略。Oracle中的權(quán)限分為兩種，系統(tǒng)權(quán)限和對(duì)象權(quán)限。本節(jié)將詳細(xì)講述系統(tǒng)權(quán)限和對(duì)象權(quán)限的概念及區(qū)別。第七頁(yè)，共十五頁(yè)，2022年，8月28日16.2.1系統(tǒng)權(quán)限系統(tǒng)權(quán)限是Oracle內(nèi)置的、與具體對(duì)象無(wú)關(guān)的權(quán)限類(lèi)型。這些權(quán)限不指向具體對(duì)象，而是針對(duì)某種操作而言。例如，創(chuàng)建表的權(quán)限，當(dāng)表未創(chuàng)建時(shí)，自然無(wú)從談對(duì)針對(duì)特定表的權(quán)限。1．獲得系統(tǒng)權(quán)限信息2．分配系統(tǒng)權(quán)限3．a(chǎn)dminoption選項(xiàng)4．收回用戶的系統(tǒng)權(quán)限第八頁(yè)，共十五頁(yè)，2022年，8月28日16.2.2對(duì)象權(quán)限對(duì)象權(quán)限是指用戶在已存在對(duì)象上的權(quán)限。這些權(quán)限主要包括以下幾種：select：可用于查詢表、視圖和序列。insert：向表或視圖中插入新的記錄update：更新表中數(shù)據(jù)delete：刪除表中數(shù)據(jù)execute：函數(shù)、存儲(chǔ)過(guò)程、程序包等的調(diào)用或執(zhí)行index：為表創(chuàng)建索引references：為表創(chuàng)建外鍵alter：修改表或者序列的屬性第九頁(yè)，共十五頁(yè)，2022年，8月28日16.3角色利用grant命令為用戶分配權(quán)限是一件非常耗時(shí)的工作，尤其是當(dāng)數(shù)據(jù)庫(kù)中用戶眾多，而且權(quán)限關(guān)系比較復(fù)雜時(shí)。有鑒于此，Oracle提供了角色這一策略來(lái)協(xié)助數(shù)據(jù)庫(kù)管理員來(lái)更加靈活地實(shí)現(xiàn)權(quán)限分配。角色是權(quán)限的集合。一個(gè)角色可能包含多個(gè)權(quán)限信息。在Oracle中，我們可以首先創(chuàng)建一個(gè)角色，該角色包含了多種權(quán)限。然后將角色分配給多個(gè)用戶，從而在最大程度上實(shí)現(xiàn)復(fù)用性。第十頁(yè)，共十五頁(yè)，2022年，8月28日16.3.1利用角色進(jìn)行權(quán)限分配創(chuàng)建角色應(yīng)該使用createrole命令。角色創(chuàng)建之后，會(huì)以對(duì)象的形式的存儲(chǔ)在數(shù)據(jù)庫(kù)中，并可以在數(shù)據(jù)字典中獲得其信息?！臼纠?6-7】在16.2節(jié)，我們使用了grant命令將多個(gè)權(quán)限分別賦予了用戶test和test_user?，F(xiàn)假設(shè)用戶test和test_user都應(yīng)該具有表system.employees的select、update、insert和update權(quán)限。那么，可以首先創(chuàng)建一個(gè)角色，并將以上權(quán)限賦予該角色。第十一頁(yè)，共十五頁(yè)，2022年，8月28日16.3.2角色的延伸——繼承一個(gè)角色可以繼承其他角色的權(quán)限集合，這為某些角色的實(shí)現(xiàn)提供了更加便利的途徑。例如，角色role_employee已經(jīng)具備了表system.employees增刪改查的權(quán)限?，F(xiàn)希望創(chuàng)建一個(gè)新的角色role_test，該角色具有表system.employees增刪改查權(quán)限之外，還希望擁有創(chuàng)建會(huì)話（createsession）和創(chuàng)建表（createtable）的權(quán)限。那么，可以利用已有角色role_employee來(lái)實(shí)現(xiàn)新角色。第十二頁(yè)，共十五頁(yè)，2022年，8月28日16.3.3禁用/啟用角色當(dāng)用戶登錄數(shù)據(jù)庫(kù)時(shí)，會(huì)話會(huì)自動(dòng)加載當(dāng)前用戶的角色信息（如果該用戶屬于某個(gè)或某些角色的話）?？梢酝ㄟ^(guò)視圖session_roles來(lái)查看用戶所具有的角色信息。C:\>sqlplustest/abc123@tstSQL*Plus:Release10.1.0.2.0-Productionon星期日3月1400:16:502010Copyright(c)1982,2004,Oracle.Allrightsreserved.Connectedto:OracleDatabase10gEnterpriseEditionRelease10.1.0.2.0-ProductionWiththePartitioning,OLAPandDataMiningoptions第十三頁(yè)，共十五頁(yè)，2022年，8月28日16.4本章實(shí)例并非所有角色都需要用戶手動(dòng)創(chuàng)建。Oracle數(shù)據(jù)庫(kù)提供了多個(gè)內(nèi)置角色。其中最常見(jiàn)的為DBA、CONNECT和RESOURCE。其中，DBA是數(shù)據(jù)庫(kù)管理員角色，我們利用該角色可以對(duì)數(shù)據(jù)庫(kù)進(jìn)行所有操作。本實(shí)例將講述CONNECT和RESOURCE角色的主要權(quán)限。第十四頁(yè)，共十五頁(yè)，2022