第03章網(wǎng)絡(luò)連接配置與系統(tǒng)安全

第3章

網(wǎng)絡(luò)連接配置與

系統(tǒng)安全

哈爾濱華德學(xué)院任課教師：翟霞第一頁，共四十六頁。第3章

網(wǎng)絡(luò)連接配置與系統(tǒng)安全

3.1OracleNet3.2系統(tǒng)與對象權(quán)限管理3.3用戶與角色3.4概要文件3.5同義詞3.6建立安全策略第二頁，共四十六頁。OracleNet主要功能是在系統(tǒng)中計(jì)算機(jī)之間建立網(wǎng)絡(luò)會話和傳輸數(shù)據(jù)客戶機(jī)和服務(wù)器之間兩個(gè)服務(wù)器之間配置程序早期版本：OracleSQLNet/Net8EasyConfig9i/10g：NetConfigurationAssistantNetManagerOracleNet是Oracle網(wǎng)絡(luò)產(chǎn)品的基礎(chǔ)，為實(shí)現(xiàn)分布式計(jì)算和各軟件工具集成提供支持3.1OracleNet第三頁，共四十六頁。典型的C/S結(jié)構(gòu)系統(tǒng)

第四頁，共四十六頁。是駐留在服務(wù)器上的一個(gè)獨(dú)立的進(jìn)程能夠監(jiān)聽指定端口上的使用指定網(wǎng)絡(luò)連接協(xié)議的連接請求監(jiān)聽進(jìn)程接收網(wǎng)絡(luò)中客戶機(jī)的連接請求并管理傳送到服務(wù)器的這些請求的通信監(jiān)聽程序配置文件：listener.ora1.監(jiān)聽程序

第五頁，共四十六頁。本地管理模式連接信息存儲在網(wǎng)絡(luò)內(nèi)每臺計(jì)算機(jī)的tnsnames.ora文件中2.OracleNet客戶端的配置模式集中管理模式連接信息集中存儲在目錄服務(wù)器或Oracle名稱服務(wù)器中第六頁，共四十六頁。服務(wù)器進(jìn)程作為監(jiān)聽程序與數(shù)據(jù)庫服務(wù)器之間的連接，并代理用戶與數(shù)據(jù)庫服務(wù)器交互3.服務(wù)器進(jìn)程服務(wù)器進(jìn)程可以配置為兩種模式專用服務(wù)器模式共享服務(wù)器模式第七頁，共四十六頁。4.OracleNet工作原理第八頁，共四十六頁。5.關(guān)于全局?jǐn)?shù)據(jù)庫名在一個(gè)分布式環(huán)境中，多個(gè)Oracle數(shù)據(jù)庫可能有相同的數(shù)據(jù)庫名稱，此時(shí)需要使用全局?jǐn)?shù)據(jù)庫名以便進(jìn)行區(qū)分由數(shù)據(jù)庫名db_name和數(shù)據(jù)庫域名db_domain兩個(gè)初始化參數(shù)標(biāo)識全局?jǐn)?shù)據(jù)庫名全局?jǐn)?shù)據(jù)庫名在監(jiān)聽程序配置文件listener.ora中表示為GLOBAL_DBNAMEGLOBAL_DBNAME標(biāo)示的全局?jǐn)?shù)據(jù)庫名格式為：數(shù)據(jù)庫名.數(shù)據(jù)庫域名第九頁，共四十六頁。

需要為每一個(gè)數(shù)據(jù)庫例程配置監(jiān)聽信息才能接收到來自客戶機(jī)的請求

6.服務(wù)器監(jiān)聽程序配置監(jiān)聽程序的配置信息包括監(jiān)聽的協(xié)議地址支持服務(wù)的信息控制服務(wù)器進(jìn)程運(yùn)行特征的參數(shù)監(jiān)聽程序配置不當(dāng)或沒有啟動監(jiān)聽進(jìn)程時(shí)，客戶計(jì)算機(jī)將不能連接到Oracle服務(wù)器第十頁，共四十六頁。7.OracleNet客戶端配置需要為客戶端應(yīng)用程序配置連接到服務(wù)器端Oracle數(shù)據(jù)庫服務(wù)的方法本地Net服務(wù)名（主機(jī)字符串）是一個(gè)描述符，描述了要連接的Oracle服務(wù)器和其中的Oracle數(shù)據(jù)庫例程典型的配置是在客戶計(jì)算機(jī)中建立保存“本地Net服務(wù)名”的文件。客戶機(jī)端OracleNet通過該文件來解析Oracle網(wǎng)絡(luò)服務(wù)信息第十一頁，共四十六頁。7.OracleNet客戶端配置重要的關(guān)鍵字ADDRESS:采用的網(wǎng)絡(luò)協(xié)議和目標(biāo)主機(jī)地址、監(jiān)聽端口SERVICE_NAME:目標(biāo)服務(wù)器中數(shù)據(jù)庫例程名稱一般對應(yīng)listener.ora中的GLOBAL_DBNAMESERVER：服務(wù)器進(jìn)程的工作模式SERVER=DEDICATED，專用服務(wù)器模式SERVER=SHARED，共享服務(wù)器模式ORACLE_HOME\NETWORK\ADMIN\tnsnames.ora可手工配置或用工具完成配置第十二頁，共四十六頁。7.OracleNet客戶端配置如何完成客戶端配置建議使用NetConfigurationAssistant完成配置可手工修改配置也可使用應(yīng)用程序的安裝程序經(jīng)過選擇服務(wù)器、指定數(shù)據(jù)庫名等用程序生成配置文件客戶端配置注意事項(xiàng)配置完成后應(yīng)進(jìn)行登錄連接測試確保配置正確確保操作系統(tǒng)層正確的配置了相關(guān)通信協(xié)議確保配置服務(wù)器監(jiān)聽程序監(jiān)聽了要使用的通信協(xié)議第十三頁，共四十六頁。7.OracleNet客戶端配置OracleNet支持的命名方法本地命名（TNSNAMES）目錄命名（LDAP）主機(jī)命名（HOSTNAME）輕松連接命名（EZCONNECT）客戶端配置概要文件指定客戶機(jī)所所要連接服務(wù)名的解析方法及優(yōu)先順序（從左至右，左邊優(yōu)先）ORACLE_HOME\NETWORK\ADMIN\sqlnet.ora手工配置第十四頁，共四十六頁。Oracle提供用戶、角色、同義詞、視圖、系統(tǒng)特權(quán)與對象權(quán)限、概要文件等保證Oracle數(shù)據(jù)庫系統(tǒng)及其中數(shù)據(jù)的安全。3.2系統(tǒng)與對象權(quán)限管理數(shù)據(jù)庫系統(tǒng)及其中對象的訪問權(quán)限一般應(yīng)由數(shù)據(jù)庫系統(tǒng)管理員（DBA）進(jìn)行統(tǒng)一管理第十五頁，共四十六頁。Oracle數(shù)據(jù)庫用戶權(quán)限分類對象權(quán)限允許用戶執(zhí)行對指定對象（包括表、視圖、序列、過程、函數(shù)和包）的特定操作。如將數(shù)據(jù)插入到某個(gè)表中、允許檢索某個(gè)表中數(shù)據(jù)等系統(tǒng)特權(quán)允許用戶執(zhí)行特定的系統(tǒng)級操作或在特定的對象類型上執(zhí)行特定操作。如創(chuàng)建表空間、創(chuàng)建表等列訪問權(quán)限限定用戶只能在某個(gè)表的某些列上執(zhí)行INSERT、UPDATE操作或參照引用（REFERENCES）某些列第十六頁，共四十六頁。1.系統(tǒng)特權(quán)CONNECT特權(quán)角色用戶是權(quán)限最低的用戶。權(quán)限如下：Oracle數(shù)據(jù)庫為了簡化對系統(tǒng)特權(quán)的管理，創(chuàng)建了CONNECT、RESOURCE和DBA三個(gè)典型特權(quán)角色登錄到Oracle數(shù)據(jù)庫和修改口令對自己的表執(zhí)行查詢、刪除、修改和插入查詢經(jīng)過授權(quán)的其他用戶的表和視圖數(shù)據(jù)插入、修改、刪除經(jīng)過授權(quán)的其他用戶的表創(chuàng)建自己擁有的表的視圖、同義詞完成經(jīng)過授權(quán)的基于表或用戶的數(shù)據(jù)卸載第十七頁，共四十六頁。1.系統(tǒng)特權(quán)RESOURCE特權(quán)角色除了具有CONNECT特權(quán)角色的所有權(quán)限外，還可以進(jìn)行下列操作：創(chuàng)建基表、視圖、索引、聚簇和序列授予和回收其他用戶對其數(shù)據(jù)庫對象的存取特權(quán)對自己擁有的表、索引、聚簇等數(shù)據(jù)庫對象的存取活動進(jìn)行審計(jì)DBA特權(quán)角色是系統(tǒng)中的最高級別特權(quán)角色，可執(zhí)行創(chuàng)建用戶、導(dǎo)出系統(tǒng)數(shù)據(jù)等特權(quán)操作第十八頁，共四十六頁。1.系統(tǒng)特權(quán)建議用CREATESESSION系統(tǒng)特權(quán)代替CONNECT特權(quán)角色用CREATETABLE、CREATEPROCEDURE、CREATETRIGGER等具體的系統(tǒng)特權(quán)來代替RESOURCE特權(quán)角色用SYSOPER和SYSDBA代替DBA特權(quán)角色慎用DBA特權(quán)角色第十九頁，共四十六頁。1.系統(tǒng)特權(quán)SYSDBA是系統(tǒng)中級別最高的權(quán)限擁有STARTUP，SHUTDOWN，ALTERDATABASE，CREATEDATABASE，CREATESP，RECOVERY和RESTRICTEDSESSION等系統(tǒng)特權(quán)該特權(quán)身份登錄系統(tǒng)時(shí)實(shí)際上相當(dāng)于以SYS用戶登錄數(shù)據(jù)庫系統(tǒng)特權(quán)大多以CREATE、ALTER、DROP、SELECT、INSERT、UPDATE、DELETE等DDL或DML語句的字眼開頭，代表用戶能在系統(tǒng)中執(zhí)行的操作第二十頁，共四十六頁。1.系統(tǒng)特權(quán)SYSOPER能執(zhí)行STARTUP，SHUTDOWN，CREATESPDATABASEOPEN/MOUNT/BACKUP，ARCHIVELOG和RECOVERY，RESTRICTEDSESSION等系統(tǒng)特權(quán)操作DBA身份用戶可以訪問DBA_SYS_PRIVS視圖查看授予用戶的系統(tǒng)特權(quán)信息普通用戶可以訪問用戶視圖USER_SYS_PRIVS查看自己獲得的系統(tǒng)特權(quán)例3.1

查看用戶具有的系統(tǒng)特權(quán)。EXA_03_01.SQL

第二十一頁，共四十六頁。2.對象權(quán)限共有9種對象權(quán)限插入（INSERT）刪除（DELETE）更新（UPDATE）選擇（SELECT）修改（ALTER）運(yùn)行（EXECUTE）參照引用（REFERENCE）索引（INDEX）讀（READ）/寫（WRITE）Oracle提供針對性的對象存取控制權(quán)限創(chuàng)建對象的用戶擁有該對象的所有對象權(quán)限，無需為對象的擁有者授予對象權(quán)限第二十二頁，共四十六頁。2.對象權(quán)限表的訪問權(quán)限ALTER：修改表定義DELETE：刪除表數(shù)據(jù)INDEX：為表創(chuàng)建索引INSERT：對表進(jìn)行插入SELECT：查詢UPDATE：修改數(shù)據(jù)REFERENCE：參照表中數(shù)據(jù)視圖的訪問權(quán)限SELECT：查詢視圖數(shù)據(jù)INSERT：對視圖進(jìn)行插入U(xiǎn)PDATE：修改視圖數(shù)據(jù)DELETE：刪除視圖數(shù)據(jù)第二十三頁，共四十六頁。2.對象權(quán)限同義詞的訪問權(quán)限：同其對應(yīng)的對象存儲過程/函數(shù)/包/類型的訪問權(quán)限EXECUTE：允許執(zhí)行(或訪問)序列的訪問權(quán)限ALTER：修改序列的定義SELECT：使用序列的序列值目錄訪問權(quán)限READ：允許讀取目錄WRITE：允許在目錄中創(chuàng)建文件、寫入數(shù)據(jù)第二十四頁，共四十六頁。3.數(shù)據(jù)庫系統(tǒng)特權(quán)的授予與回收WITHADMINOPTION：允許得到權(quán)限的用戶將權(quán)限轉(zhuǎn)授其他用戶PUBLIC：表示系統(tǒng)中所有用戶（用于簡化授權(quán)）授予系統(tǒng)特權(quán)的語法如下：GRANT{system_privilege|role}TO{user|role|PUBLIC}[WITHADMINOPTION];對不同職責(zé)用戶，應(yīng)授予不同權(quán)限只有DBA才可以將系統(tǒng)特權(quán)授予某個(gè)用戶第二十五頁，共四十六頁。3.數(shù)據(jù)庫系統(tǒng)特權(quán)的授予與回收當(dāng)系統(tǒng)特權(quán)使用WITHADMINOPTION選項(xiàng)傳遞給其他用戶時(shí)，收回原始用戶的系統(tǒng)特權(quán)將不會產(chǎn)生級聯(lián)效應(yīng)（回收傳遞授予用戶的權(quán)限）回收系統(tǒng)特權(quán)的語法如下：REVOKE{system_privilege|role}FROM{user|role|PUBLIC};系統(tǒng)特權(quán)應(yīng)逐個(gè)用戶檢查和管理例3.2數(shù)據(jù)庫系統(tǒng)特權(quán)的授予與回收。EXA_03_02.SQL第二十六頁，共四十六頁。4.對象權(quán)限的授予與回收WITHADMINOPTION：允許得到權(quán)限的用戶將權(quán)限轉(zhuǎn)授其他用戶PUBLIC：表示系統(tǒng)中所有用戶（用于簡化授權(quán)）對象權(quán)限的授權(quán)語法如下：GRANT{object_privilege|ALL}[(column_list)]ONschema.objectTO{user|role|PUBLIC}WITHGRANTOPTION;應(yīng)只對確實(shí)需要該對象訪問權(quán)限的用戶授權(quán)只授予必須的權(quán)限，有必要限制ALL的使用使用對象屬主名前綴標(biāo)識其他用戶的對象

用戶名.對象名第二十七頁，共四十六頁。4.對象權(quán)限的授予與回收CASCADECONSTRAINTS表示級聯(lián)刪除對象上存在的參照完整性約束當(dāng)對象權(quán)限使用WITHGRANTOPTION傳遞給其他用戶時(shí)，收回原始用戶的對象權(quán)限將會產(chǎn)生級聯(lián)效應(yīng)，其他用戶的對象訪問權(quán)限會被一并收回。數(shù)據(jù)庫對象權(quán)限的回收語法如下：REVOKE{object_privilege|ALL}ONschema.objectFROM{user|role|PUBLIC}[CASCADECONSTRAINTS];例3.3對象訪問權(quán)限授予與回收。EXA_03_03.SQL第二十八頁，共四十六頁。5.列訪問權(quán)限只有INSERT、UPDATE和REFERENCES作為列訪問權(quán)限可以在列級授予數(shù)據(jù)字典USER_COL_PRIVS_MADE：授予其它用戶的列權(quán)限USER_COL_PRIVS_RECD：獲得的列權(quán)限例3.4列訪問權(quán)限的授予與查看。EXA_03_04.SQL第二十九頁，共四十六頁。方案(Schema)是數(shù)據(jù)庫對象(如表、視圖、序列等)的邏輯組織。3.3用戶與角色一般情況下，一個(gè)應(yīng)用(如庫存管理)對應(yīng)一個(gè)方案。需要為一個(gè)應(yīng)用創(chuàng)建一個(gè)數(shù)據(jù)庫用戶，并在該用戶下創(chuàng)建這個(gè)應(yīng)用的各種數(shù)據(jù)庫對象角色是一組相關(guān)權(quán)限的集合，可簡化權(quán)限的管理第三十頁，共四十六頁。1.配置身份驗(yàn)證對于一般用戶Oracle采用基于數(shù)據(jù)庫的身份驗(yàn)證方法在數(shù)據(jù)字典中記載用戶名、口令等信息SYS用戶身份及SYSDBA、SYSOPER系統(tǒng)特權(quán)用戶權(quán)限很大，可能對數(shù)據(jù)庫進(jìn)行破壞性操作有必要針對以DBA身份連接的用戶設(shè)計(jì)專門的身份驗(yàn)證方法第三十一頁，共四十六頁。1.配置身份驗(yàn)證DBA用戶身份驗(yàn)證方法使用操作系統(tǒng)集成的身份驗(yàn)證通過Oracle口令文件進(jìn)行驗(yàn)證初始化參數(shù)remote_login_passwordfileNONE：忽略口令文件，通過操作系統(tǒng)進(jìn)行身份驗(yàn)證EXCLUSIVE：將使用數(shù)據(jù)庫的口令文件對每個(gè)具有權(quán)限的用戶進(jìn)行驗(yàn)證SHARED：多個(gè)數(shù)據(jù)庫將共享SYS和INTERNAL口令文件用戶默認(rèn)值:NONE第三十二頁，共四十六頁。1.配置身份驗(yàn)證通過操作系統(tǒng)驗(yàn)證DBA用戶初始化參數(shù)remote_login_passwordfile=NONEORACLE_HOME\NETWORK\ADMIN\sqlnet.oraSQLNET.AUTHENTICATION_SERVICES=(NTS)在Windows中建立ORA_DBA用戶組將某個(gè)操作系統(tǒng)用戶加入該組和Windows的Administrators組以該用戶登錄操作系統(tǒng)，以SYSDBA身份連接Oracle數(shù)據(jù)庫時(shí)，不再需要驗(yàn)證SYS用戶口令第三十三頁，共四十六頁。1.配置身份驗(yàn)證使用Oracle口令文件驗(yàn)證DBA用戶初始化參數(shù)remote_login_passwordfile=EXCLUSIVE/SHAREDORACLE_HOME\NETWORK\ADMIN\sqlnet.ora

注釋掉SQLNET.AUTHENTICATION_SERVICES=(NTS)用orapwd創(chuàng)建口令文件orapwdpassword=passwordentries=max_users為口令文件增加DBA特權(quán)用戶GRANT{SYSDBA|SYSOPER}TOuser_name;從口令文件中刪除特權(quán)用戶REVOKE{SYSDBA|SYSOPER}FROMuser_name;查看口令文件中用戶SELECT*FROMv_$pw;第三十四頁，共四十六頁。2.創(chuàng)建與管理用戶用戶管理應(yīng)該考慮的問題身份驗(yàn)證方式默認(rèn)表空間臨時(shí)表空間表空間限額資源與口令限制(概要文件)賬戶狀態(tài)操作權(quán)限等創(chuàng)建用戶的操作一般由DBA完成用戶創(chuàng)建完成后不具備任何權(quán)限，也不能連接數(shù)據(jù)庫，需由DBA為其授予相關(guān)權(quán)限第三十五頁，共四十六頁。2.創(chuàng)建與管理用戶創(chuàng)建用戶語法CREATEUSERuser[IDENTIFIED[BYpassword|EXTERNALLY]][DEFAULTTABLESPACEtablespace][TEMPORARYTABLESPACEtablespace][QUOTA{n[K|M]|UNLIMITED}ONTABLESPACE][PASSWORDEXPIRE][ACCOUNT{LOCK|UNLOCK}][PROFILE{profile|DEFAULT}];刪除用戶語法DROPUSERuser[CASCADE];CASCADE表示級聯(lián)刪除該用戶所屬的方案對象第三十六頁，共四十六頁。2.創(chuàng)建與管理用戶修改用戶語法ALTERUSERuser[IDENTIFIED[BYpassword|EXTERNALLY]][DEFAULTTABLESPACETABLESPACE][TEMPORARYTABLESPACETABLESPACE][QUOTA{n[K|M]|UNLIMITED}ONTABLESPACE][PASSWORDEXPIRE][ACCOUNT{LOCK|UNLOCK}][PROFILE{profile|DEFAULT}];例3.5用戶及權(quán)限管理。EXA_03_05.SQL第三十七頁，共四十六頁。3.角色管理角色的使用步驟(1)由DBA創(chuàng)建角色(2)為角色授予相應(yīng)的系統(tǒng)特權(quán)和對象權(quán)限(3)將角色授予相關(guān)的數(shù)據(jù)庫用戶默認(rèn)表空間可將多個(gè)角色授予同一個(gè)Oracle數(shù)據(jù)庫用戶創(chuàng)建角色語法CREATEROLErole[NOTIDENTIFIED|IDENTIFIED[BYPASSWORD|EXTERNALLY]];刪除角色語法DROPROLErole;第三十八頁，共四十六頁。3.角色管理角色應(yīng)被授予需要的系統(tǒng)特權(quán)、對象權(quán)限在創(chuàng)建Oracle數(shù)據(jù)庫時(shí)，Oracle會創(chuàng)建預(yù)定義的角色并給它們授予相關(guān)的系統(tǒng)特權(quán)和對象權(quán)限例3.6采用角色改進(jìn)學(xué)生實(shí)驗(yàn)用戶權(quán)限管理工作。EXA_03_06.SQL第三十九頁，共四十六頁。對用戶的資源占用和口令使用進(jìn)行限制有其現(xiàn)實(shí)的必要性限制用戶的連接時(shí)間和CPU占用時(shí)間有效防止口令被破解3.4概要文件(Profile)概要文件是一個(gè)命名的資源限制的集合，描述如何使用系統(tǒng)資源。主要包括兩方面內(nèi)容管理數(shù)據(jù)庫系統(tǒng)資源管理數(shù)據(jù)庫口令的使用及驗(yàn)證方式系統(tǒng)提供一個(gè)默認(rèn)的概要文件(DEFAULT)第四十頁，共四十六頁。1.創(chuàng)建概要文件創(chuàng)建概要文件的語法CREATEPROLIMIT[{SESSIONS_PER_USER|CPU_PER_SESSION|CPU_PER_CALL|CONNECT_TIME|IDLE_TIME|LOGICAL_READS_PER_SESSION|LOGICAL_READS_PER_CALL|COMPOSITE_LIMIT}{n|UNLIMITED|DEFAULT}|PRIVATE_SGA{n{K|M}|UNLIMITED|DEFAULT}|{FAILED_LOGIN_ATTEMPTS|PASSWORD_LOCK_TIME|PASSWORD_GRACE_TIME|PASSWORD_LIFE_TIME|PASSWORD_REUSE_MAX|PASSWORD_REUSE_TIME}{n|UNLIMITED|DEFAULT}|PASSWORD_VERIFY_FUNCTION[function_name|NULL|DEFAULT]];第四十一頁，共四十六頁。刪除概要文件DROPPRO;1.創(chuàng)建概要文件例3.7創(chuàng)建限制實(shí)驗(yàn)學(xué)生使用資源的概要文件。EXA_03_07.SQLP52口令復(fù)雜性函數(shù)及其應(yīng)用EXA_03_P52_utlpwdmg.SQL相關(guān)系統(tǒng)特權(quán)CREATEPROFILEALTERPROFILECREATEUSERALTERUSER第四十二頁，共四十六頁。每個(gè)用戶在一個(gè)時(shí)刻只能分配一個(gè)概要文件可在創(chuàng)建用戶時(shí)指定該用戶使用的概要文件也可修改一個(gè)用戶的概要文件2.分配概要文件CRE