用戶(hù)角色與權(quán)限控制

用戶(hù)角色與權(quán)限控制第一頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.1用戶(hù)Oracle用戶(hù)分為兩類(lèi)：一類(lèi)是具有系統(tǒng)管理權(quán)限的用戶(hù)，稱(chēng)為系統(tǒng)用戶(hù)；另一類(lèi)為普通用戶(hù)。從創(chuàng)建時(shí)機(jī)上講，Oracle數(shù)據(jù)庫(kù)在創(chuàng)建時(shí)，會(huì)提供若干默認(rèn)用戶(hù)（如系統(tǒng)用戶(hù)system）；另外，系統(tǒng)用戶(hù)可以在登錄數(shù)據(jù)庫(kù)后創(chuàng)建其他用戶(hù)。這些用戶(hù)共同組成了Oracle數(shù)據(jù)庫(kù)的用戶(hù)集合。本小節(jié)將講述Oracle用戶(hù)的概況，并講解如何創(chuàng)建普通用戶(hù)。第二頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.1.1Oracle中的用戶(hù)概況在Oracle數(shù)據(jù)庫(kù)中，存在著視圖dba_users。該視圖存儲(chǔ)了所有用戶(hù)的基本信息，我們搜尋視圖內(nèi)容來(lái)查看Oracle中的用戶(hù)概況。第三頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.1.2利用系統(tǒng)用戶(hù)創(chuàng)建新的用戶(hù)對(duì)于開(kāi)發(fā)人員來(lái)說(shuō)，并不會(huì)經(jīng)常使用系統(tǒng)用戶(hù)登錄數(shù)據(jù)庫(kù)。因?yàn)橄到y(tǒng)用戶(hù)的權(quán)限范圍較大，如果出現(xiàn)失誤，可能對(duì)數(shù)據(jù)庫(kù)造成較大傷害。因此，往往開(kāi)發(fā)人員會(huì)使用特定的用戶(hù)進(jìn)行開(kāi)發(fā)任務(wù)。創(chuàng)建新用戶(hù)的語(yǔ)法如下所示：createuser用戶(hù)名identifiedby密碼defaulttablespace名稱(chēng)空間其中，createuser命令用戶(hù)創(chuàng)建新的用戶(hù)，并指定用戶(hù)名；identifiedby選項(xiàng)是必需的，用于指定新用戶(hù)的密碼；defaulttablespace用于指定新建用戶(hù)的默認(rèn)表空間，新用戶(hù)登錄之后，所有操作均默認(rèn)在該名稱(chēng)空間進(jìn)行。第四頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.1.3用戶(hù)的對(duì)象集合——模式模式（Schema）是用戶(hù)的附屬對(duì)象，依賴(lài)于對(duì)象的存在而存在。一個(gè)用戶(hù)在數(shù)據(jù)庫(kù)中所擁有的所有對(duì)象的集合即為該用戶(hù)的模式。這些對(duì)象包括：表、索引、視圖、存儲(chǔ)過(guò)程等。第五頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.1.4系統(tǒng)用戶(hù)——system與sys系統(tǒng)用戶(hù)sys和system是Oracle數(shù)據(jù)庫(kù)默認(rèn)創(chuàng)建的用戶(hù)。用戶(hù)sys角色為sysdba（數(shù)據(jù)庫(kù)管理員），是數(shù)據(jù)庫(kù)中權(quán)限最高的用戶(hù)，可以進(jìn)行任意操作而不受限制。system用戶(hù)角色為sysoper（數(shù)據(jù)庫(kù)操作員），權(quán)限僅次于sys用戶(hù)。我們?cè)?6.1.1節(jié)中提到，一個(gè)用戶(hù)的狀態(tài)有可能是EXPIRED&LOCKED，即被鎖定的。第六頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.2權(quán)限權(quán)限（Privilege）是Oracle中控制用戶(hù)操作的主要策略。Oracle中的權(quán)限分為兩種，系統(tǒng)權(quán)限和對(duì)象權(quán)限。本節(jié)將詳細(xì)講述系統(tǒng)權(quán)限和對(duì)象權(quán)限的概念及區(qū)別。第七頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.2.1系統(tǒng)權(quán)限系統(tǒng)權(quán)限是Oracle內(nèi)置的、與具體對(duì)象無(wú)關(guān)的權(quán)限類(lèi)型。這些權(quán)限不指向具體對(duì)象，而是針對(duì)某種操作而言。例如，創(chuàng)建表的權(quán)限，當(dāng)表未創(chuàng)建時(shí)，自然無(wú)從談對(duì)針對(duì)特定表的權(quán)限。1．獲得系統(tǒng)權(quán)限信息2．分配系統(tǒng)權(quán)限3．a(chǎn)dminoption選項(xiàng)4．收回用戶(hù)的系統(tǒng)權(quán)限第八頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.2.2對(duì)象權(quán)限對(duì)象權(quán)限是指用戶(hù)在已存在對(duì)象上的權(quán)限。這些權(quán)限主要包括以下幾種：select：可用于查詢(xún)表、視圖和序列。insert：向表或視圖中插入新的記錄update：更新表中數(shù)據(jù)delete：刪除表中數(shù)據(jù)execute：函數(shù)、存儲(chǔ)過(guò)程、程序包等的調(diào)用或執(zhí)行index：為表創(chuàng)建索引references：為表創(chuàng)建外鍵alter：修改表或者序列的屬性第九頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.3角色利用grant命令為用戶(hù)分配權(quán)限是一件非常耗時(shí)的工作，尤其是當(dāng)數(shù)據(jù)庫(kù)中用戶(hù)眾多，而且權(quán)限關(guān)系比較復(fù)雜時(shí)。有鑒于此，Oracle提供了角色這一策略來(lái)協(xié)助數(shù)據(jù)庫(kù)管理員來(lái)更加靈活地實(shí)現(xiàn)權(quán)限分配。角色是權(quán)限的集合。一個(gè)角色可能包含多個(gè)權(quán)限信息。在Oracle中，我們可以首先創(chuàng)建一個(gè)角色，該角色包含了多種權(quán)限。然后將角色分配給多個(gè)用戶(hù)，從而在最大程度上實(shí)現(xiàn)復(fù)用性。第十頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.3.1利用角色進(jìn)行權(quán)限分配創(chuàng)建角色應(yīng)該使用createrole命令。角色創(chuàng)建之后，會(huì)以對(duì)象的形式的存儲(chǔ)在數(shù)據(jù)庫(kù)中，并可以在數(shù)據(jù)字典中獲得其信息。【示例16-7】在16.2節(jié)，我們使用了grant命令將多個(gè)權(quán)限分別賦予了用戶(hù)test和test_user。現(xiàn)假設(shè)用戶(hù)test和test_user都應(yīng)該具有表system.employees的select、update、insert和update權(quán)限。那么，可以首先創(chuàng)建一個(gè)角色，并將以上權(quán)限賦予該角色。第十一頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.3.2角色的延伸——繼承一個(gè)角色可以繼承其他角色的權(quán)限集合，這為某些角色的實(shí)現(xiàn)提供了更加便利的途徑。例如，角色role_employee已經(jīng)具備了表system.employees增刪改查的權(quán)限?，F(xiàn)希望創(chuàng)建一個(gè)新的角色role_test，該角色具有表system.employees增刪改查權(quán)限之外，還希望擁有創(chuàng)建會(huì)話（createsession）和創(chuàng)建表（createtable）的權(quán)限。那么，可以利用已有角色role_employee來(lái)實(shí)現(xiàn)新角色。第十二頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.3.3禁用/啟用角色當(dāng)用戶(hù)登錄數(shù)據(jù)庫(kù)時(shí)，會(huì)話會(huì)自動(dòng)加載當(dāng)前用戶(hù)的角色信息（如果該用戶(hù)屬于某個(gè)或某些角色的話）?？梢酝ㄟ^(guò)視圖session_roles來(lái)查看用戶(hù)所具有的角色信息。C:\>sqlplustest/abc123@tstSQL*Plus:Release10.1.0.2.0-Productionon星期日3月1400:16:502010Copyright(c)1982,2004,Oracle.Allrightsreserved.Connectedto:OracleDatabase10gEnterpriseEditionRelease10.1.0.2.0-ProductionWiththePartitioning,OLAPandDataMiningoptions第十三頁(yè)，共十五頁(yè)，編輯于2023年，星期三16.4本章實(shí)例并非所有角色都需要用戶(hù)手動(dòng)創(chuàng)建。Oracle數(shù)據(jù)庫(kù)提供了多個(gè)內(nèi)置角色。其中最常見(jiàn)的為DBA、CONNECT和RESOURCE。其中，DBA是數(shù)據(jù)庫(kù)管理員角色，我們利用該角色可以對(duì)數(shù)據(jù)庫(kù)進(jìn)行所有操作。本實(shí)例將講述CONNECT和RESOURCE角色的主要權(quán)限。第十四頁(yè)，共十五頁(yè)，編輯于202