1第9章用戶和安全管理主講人：朱亞興

安全管理對(duì)于數(shù)據(jù)庫系統(tǒng)來講至關(guān)重要。數(shù)據(jù)庫安全是一個(gè)極為突出的問題，數(shù)據(jù)庫數(shù)據(jù)的丟失以及數(shù)據(jù)庫被非法用戶侵入或者被非授權(quán)用戶訪問和篡改對(duì)于任何一個(gè)應(yīng)用系統(tǒng)來說都會(huì)造成危害。2工作情境：為了保證Oracle系統(tǒng)數(shù)據(jù)的安全性，采取了哪些安全機(jī)制？任務(wù)分析3Oracle用戶用戶是數(shù)據(jù)庫的使用者和管理者。Oracle系統(tǒng)中，用戶是允許訪問數(shù)據(jù)庫系統(tǒng)的有效帳戶，是可以對(duì)數(shù)據(jù)庫資源進(jìn)行訪問的實(shí)體。Oracle數(shù)據(jù)庫通過創(chuàng)建用戶帳戶并為此帳戶授予相應(yīng)的數(shù)據(jù)庫權(quán)限等安全參數(shù)，用戶才能夠訪問數(shù)據(jù)庫和進(jìn)行相應(yīng)的操作。用戶管理是Oracle數(shù)據(jù)庫安全管理的核心和基礎(chǔ)。任務(wù)分解4任務(wù)1：創(chuàng)建新用戶。任務(wù)2：修改、刪除和查看用戶信息。任務(wù)3：對(duì)用戶授予和回收系統(tǒng)權(quán)限。任務(wù)4：對(duì)用戶授予和回收對(duì)象權(quán)限。任務(wù)5：創(chuàng)建角色和對(duì)角色授權(quán)。任務(wù)6：管理角色。任務(wù)7：管理概要文件。5任務(wù)1任務(wù)1.創(chuàng)建新用戶。

6創(chuàng)建用戶管理決策創(chuàng)建用戶數(shù)據(jù)庫管理員對(duì)用戶進(jìn)行下列決策：（1）指定數(shù)據(jù)庫用戶的身份認(rèn)證方式。（2）設(shè)置用戶的默認(rèn)表空間和臨時(shí)表空間。（3）指定表空間配額（4）設(shè)置用戶資源限制的環(huán)境文件（5）設(shè)置賬戶狀態(tài)7利用OEM創(chuàng)建用戶

8

使用SQL語句創(chuàng)建新用戶

語法格式：

9創(chuàng)建用戶例

【例9.1】創(chuàng)建用戶hr_user,口令為hr_user，默認(rèn)表空間是HRM，大小是20MB，臨時(shí)表空間是temp。①創(chuàng)建一個(gè)數(shù)據(jù)庫用戶必須具有DBA權(quán)限的用戶來執(zhí)行。

connectsystem/password;②使用如下SQL語句。CREATEUSERhr_userIDENTIFIEDBYhr_userDEFAULTTABLESPACEHRMTEMPORARYTABLESPACEtempQUOTA20MONHRM;

10用戶管理：授權(quán)

CREATESESSION系統(tǒng)權(quán)限允許用戶在數(shù)據(jù)庫上建立會(huì)話過程，這是用戶帳號(hào)必須具有的最低權(quán)限。【例9.2】為用戶hr_user授予權(quán)限CREATESESSION。①授權(quán)。

GRANTCREATESESSIONTOhr_user;②以新用戶連接。

CONNECThr_user/hr_user;

實(shí)訓(xùn)1掌握創(chuàng)建數(shù)據(jù)庫用戶的方法。

完成了任務(wù)1，請(qǐng)嘗試實(shí)訓(xùn)112任務(wù)2任務(wù)2.修改、刪除和查看用戶信息。13利用OEM修改用戶14使用SQL語句修改用戶信息【例9.3】修改用戶hr_user的認(rèn)證方式、默認(rèn)表空間、空間配額。ALTERUSERhr_userIDENTIFIEDBYhr_userQUOTA25MONhrm;【例9.4】更改用戶hr_user的默認(rèn)表空間。ALTERUSERhr_userDEFAULTTABLESPACEusertabTemporaryTABLESPACEtemp;【例9.5】修改用戶hr_user的口令A(yù)LTERUSERhr_userIdentifiedbyhr_user3;15使用SQL語句修改用戶信息【例9.6】修改用戶的狀態(tài)，鎖定hr_user帳戶以及解除鎖定。①修改數(shù)據(jù)庫用戶必須具有ALTERUSER權(quán)限的用戶來執(zhí)行。②使用ALTERUSER命令鎖定賬號(hào)。ALTERUSERhr_userACCOUNTLOCK;③使用原數(shù)據(jù)庫用戶賬號(hào)連接數(shù)據(jù)庫。④使用具有ALTERUSER權(quán)限的用戶重新連接。⑤使用ALTERUSER命令解除賬號(hào)鎖定。 ALTERUSERhr_userACCOUNTUNLOCK;⑥再次使用原數(shù)據(jù)庫用戶賬號(hào)連接數(shù)據(jù)庫。16使用SQL語句修改用戶信息【例9.7】修改用戶hr_user的密碼為立即失效。①使用具有ALTERUSER權(quán)限的用戶重新連接。②使用ALTERUSER命令修改密碼為立即實(shí)效。alteruserhr_userpasswordexpire;③再次使用原數(shù)據(jù)庫用戶賬號(hào)連接數(shù)據(jù)庫。④使用原數(shù)據(jù)庫用戶賬號(hào)和更改后的新密碼連接數(shù)據(jù)庫。討論：如果用戶忘記密碼？17利用OEM刪除用戶18利用SQL命令刪除用戶【例9.8】刪除用戶hr_user，并且同時(shí)刪除其擁有的表、索引等數(shù)據(jù)庫對(duì)象。DROPUSERhr_userCASCADE;19查看用戶信息

數(shù)據(jù)字典視圖：20使用SQL語句查看用戶信息【例9.9】查看用戶HR_USER的名稱、用戶標(biāo)識(shí)、鎖定日期、賬號(hào)狀態(tài)、默認(rèn)表空間信息。selectusername,user_id,lock_date,account_status,default_tablespacefromDBA_USERSwhereusername='HR_USER';實(shí)訓(xùn)2掌握修改數(shù)據(jù)庫用戶的方法。

完成了任務(wù)2，請(qǐng)嘗試實(shí)訓(xùn)2任務(wù)3任務(wù)3.對(duì)用戶授予和回收系統(tǒng)權(quán)限。 創(chuàng)建完用戶后，他不能做任何事情，還必須進(jìn)行授權(quán)。這個(gè)任務(wù)需要學(xué)習(xí)權(quán)限管理的相關(guān)知識(shí)。23權(quán)限管理系統(tǒng)權(quán)限p:271-274。帶ANY權(quán)限和不帶ANY權(quán)限。系統(tǒng)權(quán)限允許用戶執(zhí)行一種特殊的數(shù)據(jù)庫操作或一類數(shù)據(jù)庫操作。24OEM授權(quán)25利用SQL命令授予系統(tǒng)權(quán)限語法：26利用SQL命令級(jí)聯(lián)授權(quán)27利用SQL命令回收系統(tǒng)權(quán)限語法：28回收級(jí)聯(lián)授權(quán)的系統(tǒng)權(quán)限D(zhuǎn)BAGRANTREVOKEUSERAUSERBUSERAUSERBDBA回收級(jí)聯(lián)授權(quán)的系統(tǒng)權(quán)限實(shí)訓(xùn)3掌握對(duì)用戶授予和回收系統(tǒng)權(quán)限的方法。

完成了任務(wù)3，請(qǐng)嘗試實(shí)訓(xùn)3任務(wù)4任務(wù)4.對(duì)用戶授予和回收對(duì)象權(quán)限。

對(duì)象權(quán)限是指訪問其他用戶模式對(duì)象的權(quán)力。對(duì)象權(quán)限的設(shè)置實(shí)際上是對(duì)象的所有者給其他用戶提供操作該對(duì)象的某種權(quán)力的一種方法。

32對(duì)象權(quán)限

Oracle數(shù)據(jù)庫中總共有9種不同的對(duì)象權(quán)限。P:279常用的對(duì)象權(quán)限包括對(duì)某個(gè)數(shù)據(jù)庫對(duì)象中數(shù)據(jù)的查詢、插入、修改、刪除等權(quán)限。

對(duì)于表TABLE對(duì)象而言，ALL表示ALTER、DELETE、INDEX、SELECT、INSERT、UPDATE、REFERENCES權(quán)限對(duì)于PROCEDURE存儲(chǔ)過程，ALL表示EXECUTE權(quán)限。33OEM授予對(duì)象權(quán)限

34利用SQL命令授予對(duì)象權(quán)限

ALL或ALLPRIVILEGES將某個(gè)對(duì)象的所有對(duì)象權(quán)限全部授予指定的用戶。PUBLIC，授予數(shù)據(jù)庫的所有用戶。WITHGRANTOPTION表示被授權(quán)的用戶、角色可以將相應(yīng)的對(duì)象權(quán)限授予其他用戶SQL>GRANTALLONEMPTOHR_USER;SQL>GRANTALLONEMPTOPUBLIC;語法：35利用SQL命令回收對(duì)象權(quán)限

語法36級(jí)聯(lián)授予對(duì)象權(quán)限

37級(jí)聯(lián)回收對(duì)象權(quán)限

回收級(jí)聯(lián)授予的對(duì)象權(quán)限39查詢系統(tǒng)權(quán)限與系統(tǒng)權(quán)限有關(guān)的表與視圖40查詢對(duì)象權(quán)限與對(duì)象權(quán)限有關(guān)的表與視圖實(shí)訓(xùn)4掌握對(duì)用戶授予和回收對(duì)象權(quán)限的方法。

完成了任務(wù)4，請(qǐng)嘗試實(shí)訓(xùn)4任務(wù)5任務(wù)5.創(chuàng)建角色和對(duì)角色授權(quán)。

42什么是角色？創(chuàng)建一個(gè)新角色。對(duì)角色進(jìn)行授權(quán)管理。將此角色授予用戶。43角色管理角色:介于權(quán)限和用戶之間,是一組系統(tǒng)權(quán)限和對(duì)象權(quán)限的集合。

引入角色優(yōu)點(diǎn)：減少權(quán)限管理的工作量。實(shí)現(xiàn)動(dòng)態(tài)權(quán)限管理。權(quán)限的選擇具有可用性和靈活性。應(yīng)用安全性。

系統(tǒng)預(yù)定義角色自定義角色44角色管理系統(tǒng)預(yù)定義角色CONNECT:連接到數(shù)據(jù)庫,最終用戶角色.RESOURCE:申請(qǐng)資源創(chuàng)建對(duì)象,開發(fā)人員角色.DBA:具有全部系統(tǒng)權(quán)限,可以創(chuàng)建用戶.IMP_FULL_DATABASE:裝入全部數(shù)據(jù)庫內(nèi)容.EXP_FULL_DATABASE:卸出全部數(shù)據(jù)庫內(nèi)容.DELE_CATALOG_ROLE:能刪除審計(jì)表中記錄.SELECT_CATALOG_ROLE:查詢數(shù)據(jù)字典.EXECUTE_CATALOG_ROLE:執(zhí)行過程和函數(shù).45查詢角色與授權(quán)【例9.24】查詢當(dāng)前數(shù)據(jù)庫的所有預(yù)定義角色。select*fromdba_roles;【例9.25】為用戶HR_USER授予CONNECT和RESOURCE角色。grantconnect,resourcetohr_user;46在OEM中創(chuàng)建角色47利用SQL命令創(chuàng)建角色和授權(quán)語法：實(shí)訓(xùn)5掌握創(chuàng)建角色和對(duì)角色授權(quán)的方法。

完成了任務(wù)5，請(qǐng)嘗試實(shí)訓(xùn)5任務(wù)6任務(wù)6.管理角色。

49如何管理角色呢？50利用OEM管理角色51利用SQL命令管理角色語法：ALTERROLErole_name[NOTIDENTIFIED][IDENTIFIEDBYpassword]【例9.28】取消角色manager的口令。ALTERROLEmanagernotidentified;【例9.29】回收己經(jīng)授予用戶teacher的OPT_ROLE角色：REVOKEOPT_ROLEFROMteacher;【例9.30】刪除角色managerDROPROLEmanager;52角色的激活或屏蔽

語法：ALTERUSERuser_nameDEFAULTROLE[ROLE_NAME]|[ALL[EXCEPTROLE_NAME]]|[none];【例9.31】將用戶某些角色設(shè)置為默認(rèn)角色。

ALTERUSERhr_userDEFAULTROLECONNECT,HR_ROLE;【例9.32】屏蔽用戶的所有角色。ALTERUSERhr_userDEFAULTROLENONE;或者，可以用下面的SET語句。SETROLEnone;【例9.33】激活用戶的所有角色。ALTERUSERhr_userDEFAULTROLEALL;或者，可以用下面的SET語句。SETROLEALL;53查詢角色信息DBA_ROLES視圖：查看當(dāng)前數(shù)據(jù)庫中存在的所有角色。SESSION_ROLES視圖：用戶當(dāng)前啟用的角色。ROLE_ROLE_PRIVS視圖：查看角色與權(quán)限授予情況，以及是否有傳遞權(quán)限情況。DBA_ROLE_PRIVS視圖：用戶（或角色）與角色之間的授予關(guān)系。USER_ROLE_PRIVS視圖：查看用戶授予的角色。ROLE_SYS_PRIVS視圖：查看系統(tǒng)權(quán)限授予情況。DBA_SYS_PRIVS視圖：查看每種角色擁有的權(quán)利。54查詢角色信息【例9.34】查詢用戶HR_USER所具有的角色。①使用HR_USER用戶連接數(shù)據(jù)庫。CONNHR_USER/HR_USER②通過數(shù)據(jù)字典USER_ROLE_PRIVS查詢所具有的角色。selectUSERNAME,GRANTED_ROLE,ADMIN_OPTIONfromuser_role_privs;55查詢角色信息【例9.35】查詢哪些角色已經(jīng)授予哪些用戶。①使用sys用戶連接數(shù)據(jù)庫。②通過數(shù)據(jù)字典DBA_ROLE_PRIVS查詢哪些角色已經(jīng)授予哪些用戶。selectGRANTEE,GRANTED_ROLE,ADMIN_OPTIONFromdba_role_privs;【例9.36】查詢CONNECT和RESOURCE角色授予了哪些權(quán)限①使用sys用戶連接數(shù)據(jù)庫。connsys/passwordassysdba;②通過數(shù)據(jù)字典ROLE_SYS_PRIVS查詢哪些角色已經(jīng)授予哪些用戶。selectrole,privilegefromROLE_SYS_PRIVSwhererolein('CONNECT','RESOURCE');實(shí)訓(xùn)6掌握管理角色的方法。

完成了任務(wù)6，請(qǐng)嘗試實(shí)訓(xùn)6任務(wù)7 任務(wù)7.管理概要文件。 什么是概要文件？58概要文件內(nèi)容概要文件內(nèi)容:是數(shù)據(jù)庫和系統(tǒng)資源限制的集合實(shí)例為用戶分配一些系統(tǒng)資源，如CPU的使用、分配SGA的空間大小、連接數(shù)據(jù)庫的會(huì)話數(shù)、用戶口令期限等。概要文件作用：限制資源使用管理用戶賬號(hào)口令59概要文件作用限制資源使用每個(gè)會(huì)話或每個(gè)語句的CPU時(shí)間（以百分之一秒計(jì)）。每個(gè)會(huì)話或每個(gè)語句的邏輯磁盤I/O。每個(gè)用戶的并發(fā)數(shù)據(jù)庫會(huì)話。每個(gè)會(huì)話的最大連接時(shí)間和空閑時(shí)間。可供多進(jìn)程服務(wù)器會(huì)話使用的最大的服務(wù)器內(nèi)存。管理賬戶口令策略帳戶的鎖定口令的過期時(shí)間口令的復(fù)雜度允許用戶口令可以持續(xù)使用的時(shí)間指定用戶在能夠重復(fù)使用一個(gè)舊口令前必須經(jīng)過的天數(shù)。60利用OEM創(chuàng)建和管理概要文件

在【企業(yè)管理器】中創(chuàng)建概要文件概要文件的修改將概要文件分配給用戶概要文件的刪除61利用SQL命令創(chuàng)建和管理概要文