數(shù)據(jù)庫基礎與實例教程（達夢DM8） 課件 7.3角色管理

數(shù)據(jù)庫基礎（基于達夢DM8）數(shù)據(jù)庫安全管理77.3角色管理03角色及權限管理01理解角色04角色的啟用與禁用02角色的創(chuàng)建與刪除理解角色7.3.17.3.1理解角色

角色是一組權限的組合，使用角色的目的是使權限管理更加方便。角色可以作為一個整體授予某一類用戶，避免了對所有用戶權限的逐一修改。

角色中的權限既可以是數(shù)據(jù)庫權限，也可以是對象權限，還可以是別的角色。

在使用角色的過程中，可以隨時向角色中添加權限，也可以隨時從角色中刪除權限，用戶的權限也隨之改變。如果要回收所有權限，只需將角色從用戶回收即可。7.3.1理解角色

在DM數(shù)據(jù)庫中有兩類角色，一類是DM預設定的角色，一類是用戶自定義的角色。

DM提供了一系列的預定義角色以幫助用戶進行數(shù)據(jù)庫權限的管理。預定義角色在數(shù)據(jù)庫被創(chuàng)建之后即存在，并且已經(jīng)包含了一些權限，數(shù)據(jù)庫管理員可以將這些角色直接授予用戶。7.3.1理解角色“三權分立”機制下常見的系統(tǒng)角色及其簡單介紹。角色的創(chuàng)建與刪除7.3.27.3.2角色的創(chuàng)建與刪除1.創(chuàng)建角色具有“CREATEROLE”數(shù)據(jù)庫權限的用戶也可以創(chuàng)建新的角色。創(chuàng)建角色的SQL語法如下。CREATEROLE<角色名>;在創(chuàng)建角色過程中應注意下面幾點。角色名的長度不能超過128個字符；角色名不允許和系統(tǒng)已存在的用戶名重名；角色名不允許是DM保留字。創(chuàng)建角色案例CREATEROLESTAFF_DBA;CREATEROLESTAFF_DBA0;

【案例7-8】使用SQL創(chuàng)建一個STAFF_DBA角色，一個STAFF_DBA0角色。7.3.2角色的創(chuàng)建與刪除2．刪除角色具有“DROPROLE”權限的用戶可以刪除角色。刪除角色的SQL語法如下。DROPROLE[IFEXISTS]<角色名>;在創(chuàng)建角色過程中應注意下面幾點。角色名的長度不能超過128個字符；角色名不允許和系統(tǒng)已存在的用戶名重名；角色名不允許是DM保留字。7.3.2角色的創(chuàng)建與刪除2．刪除角色即使已將角色授予了其他用戶，刪除這個角色的操作也將成功。此時，那些之前被授予該角色的用戶將不再具有這個角色所擁有的權限，除非用戶通過其他途徑也獲得了這個角色所具有的權限。指定IFEXISTS關鍵字后，刪除不存在的用戶時不會報錯，否則會報錯。刪除角色案例DROPROLESTAFF_DBA0;DROPROLESTAFF_DBA0;DROPROLEIFEXISTSSTAFF_DBA0;

【案例7-10】使用SQL刪除STAFF_DBA0角色，然后使用SQL再次刪除STAFF_DBA0角色（分別指定和不指定IFEXISTS關鍵字）。角色及權限管理7.3.31數(shù)據(jù)庫權限的分配與回收（1）數(shù)據(jù)庫權限的分配

可以通過GRANT語句將權限（包括數(shù)據(jù)庫權限、對象權限以及角色權限）分配給用戶和角色，之后也可以將授出的權限再進行回收。還可以使用GRANT語句授予用戶和角色數(shù)據(jù)庫權限。

數(shù)據(jù)庫權限的授權語句語法為。GRANT<數(shù)據(jù)庫權限>{,<數(shù)據(jù)庫權限>}TO<用戶或角色>{,<用戶或角色>}[WITHADMINOPTION];

其中<用戶或角色>::=<用戶名>|<角色名>1.數(shù)據(jù)庫權限的分配案例GRANTCREATETABLE,CREATEVIEWTOSTAFF_USERWITHADMINOPTION;

【案例7-12】系統(tǒng)管理員SYSDBA把建表和建視圖的權限授給用戶STAFF_USER，并允許其轉(zhuǎn)授。1.數(shù)據(jù)庫權限的分配案例GRANTCREATETABLE,CREATEVIEWTOSTAFF_DBA;

【案例7-13】系統(tǒng)管理員SYSDBA把刪除表和刪除視圖的權限授給角色STAFF_DBA，并不允許其轉(zhuǎn)授。1數(shù)據(jù)庫權限的分配與回收（2）數(shù)據(jù)庫權限的回收

可以使用REVOKE語句回收授出的指定數(shù)據(jù)庫權限?；厥諗?shù)據(jù)庫權限的語句語法為。REVOKE[ADMINOPTIONFOR]<數(shù)據(jù)庫權限>{,<數(shù)據(jù)庫權限>}FROM<用戶或角色>{,<用戶或角色>};1.數(shù)據(jù)庫權限的回收案例REVOKECREATETABLEFROMSTAFF_USER;

【案例7-14】SYSDBA用戶把用戶STAFF_USER的建表權限收回。1.數(shù)據(jù)庫權限的回收案例REVOKEADMINOPTIONFORCREATEVIEWFROMSTAFF_USER;【案例7-15】SYSDBA用戶收回允許STAFF_USER轉(zhuǎn)手CREATEVIEW的權限。2對象權限的分配與回收（1）對象權限的分配

對象權限的授權語句基本語法為。GRANT<授權>ON[<對象類型>]<對象>TO<用戶或角色>{,<用戶或角色>}[WITHGRANTOPTION];2.對象權限的授權案例GRANTALLPRIVILEGESONSCH_FACTORY.STAFFTOSTAFF_USER;

【案例7-16】SYSDBA用戶把SCH_FACTORY.STAFF表的全部權限授給用戶STAFF_USER。2.對象權限的授權案例

【案例7-17】SYSDBA用戶使用圖形化工具，將STAFF_USER對于SCH_FACTORY.STAFF表的權限設置為擁有“SELECT、INSERT、UPDATE”權限。2對象權限的分配與回收（2）對象權限的回收

對象權限的回收語句基本語法為。REVOKE[GRANTOPTIONFOR]<權限>ON[<對象類型>]<對象>FROM<用戶或角色>{,<用戶或角色>}[<回收選項>];2.對象權限的回收案例REVOKEALLPRIVILEGESONSCH_FACTORY.STAFFFROMSTAFF_USERCASCADE;

【案例7-18】SYSDBA從用戶STAFF_USER處回收其授出的SCH_FACTORY.STAFF表的全部權限。3角色的授予與回收（1）角色的授予

通常角色包含權限或其他角色，通過使用GRANT語句將一個角色授予用戶或另一角色可以使得用戶和角色繼承該角色所具有的權限，從而簡化權限的管理。

授予角色權限的語句基本語法如下。GRANT<角色名>{,<角色名>}TO<用戶或角色>{,<用戶或角色>}[WITHADMINOPTION];

用戶名或角色名的語法如下。<用戶名或角色名>::=<用戶名>|<角色名>3角色的授予與回收（2）角色的回收

可以使用REVOKE語句回收用戶或其他角色從指定角色繼承過來的權限。

回收角色權限的語句基本語法如下。REVOKE[ADMINOPTIONFOR]<角色名>{,<角色名>}FROM<角色名或用戶名>;

角色名或用戶名的語法如下。<角色名或用戶名>::=<用戶名>|<角色名>角色的啟用與禁用7.3.47.3.4角色的啟用與禁用

某些角色不再需要使用的時候可以使這個角色失效，而不用刪除這個角色，等業(yè)務需求需要時再使用。

此時可以使用DM系統(tǒng)過程SP_SET_ROLE來設置這個角色為不可用，將第二參數(shù)