管理安全性

——用戶與權限管理單世民用戶與權限管理概述對于任意一個多用戶計算機系統來說，訪問和訪問安全都是至關重要的。既要允許很多用戶訪問計算機系統，又要防止未授權的用戶訪問。Oracle提供了三種用戶認證方法：口令認證操作系統認證全局認證用戶管理建立用戶帳號CREATEUSER

username

IDENTIFIEDBY

password[DEFAULTTABLESPACE

default_tablespace][TEMPORARYTABLESPACE

temp_tablespace][PASSWORDEXPIRE][ACCOUNT{LOCK|UNLOCK}] CREATEUSER

Michael

IDENTIFIEDBY

lincoln用戶管理用戶與模式

在Oracle中，數據庫用戶和模式是安全的最基本的單元。術語“用戶”和“模式”經常互換使用，然而它們是有區別的：數據庫模式定義為數據庫對象的集合。模式的名稱就是擁有或控制這些數據庫對象集合的用戶名稱。所有的數據庫對象，包括表、視圖、索引、觸發器、Java存儲過程、PL/SQL程序包、函數等，都歸Oracle數據庫中的某一個用戶所有。甚至Oracle的數據字典、系統目錄也是名稱為sys的模式的一部分。在Oracle數據庫中，可以存在沒有擁有任何數據庫對象的用戶(不是模式)，但是不會沒有命名的模式或數據庫對象集合。用戶管理修改用戶帳號口令刪除用戶帳號 ALTERUSER

Michael

IDENTIFIEDBY

saraDROPUSER

Michael如果將Cascade關鍵字用于dropuser命令的末尾，則在從數據庫中刪除用戶之前，刪除用戶的所有對象。該關鍵字不僅可以刪除所有的用戶對象，而且還可以刪除其他用戶模式中對已刪除對象表進行引用的約束，使其他用戶所擁有的引用了已刪除對象的對象無效。用戶管理用戶的默認表空間與臨時表空間ALTERUSER

username

DEFAULTTABLESPACE

default_tablespace

TEMPORARYTABLESPACE

temp_tablespace如果不進行指定，則用戶的默認表空間為USERS表空間；默認的臨時表空間是TEMP表空間，如果沒有創建TEMP表空間，則SYSTEM表空間為用戶臨時表空間用戶管理默認的數據庫用戶

每個Oracle數據庫都有兩個默認的數據庫用戶帳號SYS和SYSTEMSYS帳號擁有數據庫數據字典對象，除非需要安裝屬于SYS的額外的數據字典對象，否則不應使用SYS進行數據庫操作SYSTEM帳號是默認的數據庫管理員帳號，可以使用此帳號啟動一個新的數據庫權限管理除非用戶具有執行特定的數據庫操作權限，否則，用戶既不能與數據庫服務器連接，也不能做任何事情例如：除非用戶具有CREATESESSION系統權限，否則用戶不能與Oracle數據庫連接除非用戶具有CREATETABLE系統權限，否則用戶不能在自己的模式中創建表權限管理在Oracle數據庫中，有兩類權限：對象權限和系統權限。對象級別權限是由用戶賦予的訪問或操作數據庫對象的權限。例如，如果需要向scott.emp表中插入行的數據庫用戶必須擁有完成這項工作的指定權限。系統權限不是控制對指定數據庫對象的訪問，而是用來許可對各種特性的訪問，或許可Oracle數據庫中的特定任務。權限管理數據庫權限的類型--系統權限

系統權限（SystemPrivilege）向用戶提供了執行某一種或某一類型的數據庫操作的能力，有近100種系統權限。

系統權限不是控制對指定數據庫對象的訪問，而是用來許可對各種特性的訪問，或許可Oracle數據庫中的特定任務。權限管理系統權限的授予和撤銷REVOKE{sys_priv_1[,sys_priv_2]...|ALL[PRIVILEGES]}FROM{user_1[,user_2]...|PUBLIC};GRANT{sys_priv_1[,sys_priv_2]...|ALL[PRIVILEGES]}TO{user_1[,user_2]...|PUBLIC}[WITHADMINOPTION];權限管理使用系統權限時，需要注意以下幾點：一般情況下，都應該將CREATESESSION權限授予用戶用戶需要CREATETABLE權限來在自己的模式中創建、修改、刪除或查詢任何表如果要刪除其他模式中的表，用戶必須具有DROPANYTABLE系統權限CREATEANYPROCEDURE允許用戶創建、修改、刪除或執行任何存儲過程、程序包和函數開發人員一般需要幾個系統權限，包括CREATETABLE,CREATEVIEW,CREATETYPE等，以創建支持前臺應用程序的數據庫模式權限管理數據庫權限的類型--對象權限

對象權限控制用戶是否能在特定數據庫對象（如表、視圖或存儲過程）上執行特定類型的操作對象權限適用對象允許的操作SELECT表、視圖、序列查詢UPDATE表、視圖或其中的字段更新DELETE表和視圖刪除行INSERT表、視圖或其中的字段插入行EXECUTE存儲過程，存儲函數與程序包執行PL/SQL存儲對象READ目錄讀取目錄INDEX表在表上建立索引REFERENCES表或其中字段在其他表中創建的外鍵能引用表或表中的字段ALTER表或序列修改表或序列的結構權限管理對象權限的授予和撤銷REVOKE{obj_priv_1[,obj_priv_2]...|ALL[PRIVILEGES]}

ON

{[schema.]object[(column1[,column2])]|DIRECTORY

dir}FROM{user_1[,user_2]...|PUBLIC}[CASCADECONSTRAINTS][FORCE];GRANT{obj_priv_1[,obj_priv_2]...|ALL[PRIVILEGES]}

ON

{[schema.]object[(column1[,column2])]|DIRECTORY

dir}TO{user_1[,user_2]...|PUBLIC}[WITHGRANTOPTION][WITHHIERARCHYOPTION];權限管理使用對象權限時需要注意以下幾個問題：如果一個視圖引用了其他模式中的表或視圖，則該視圖的擁有者必須以WITHGRANTOPTION方式獲得這些表或視圖的權限，才能將該視圖的對象權限授予其他用戶用戶只在具有某個表的所有權限時，才能鎖定這個表SELECT對象權限只能授予整個表而不能授予表中的字段角色與權限管理數據庫角色就是權限的命名集合。使用角色可以大大降低用戶權限的維護負擔。角色可以是對象權限或系統權限的命名集合。數據庫管理員只需創建特定的數據庫角色，使其反映組織或應用的安全權限，就可以將這些角色賦予用戶。角色與權限管理利用角色進行權限管理權限1權限2權限3角色1角色2用戶1用戶2用戶3角色與權限管理創建角色刪除角色 CREATEROLErole_name;DROPROLE

role;角色與權限管理將系統權限授予角色將對象權限授予角色GRANT{sys_priv_1[,sys_priv_2]...|ALL[PRIVILEGES]}TOrole_1[,role_2]...[WITHADMINOPTION][WITHHIERARCHYOPTION];GRANT{obj_priv_1[,obj_priv_2]...|ALL[PRIVILEGES]}

ON

{[schema.]object[(column1[,column2])]|DIRECTORY

dir}TO{role_1[,role_2]...|PUBLIC}[WITHGRANTOPTION][WITHHIERARCHYOPTION];角色與權限管理撤銷角色的系統權限撤銷角色的對象權限REVOKE{sys_priv_1[,sys_priv_2]...|ALL[PRIVILEGES]}FROM{role_1[,role_2]...};REVOKE{obj_priv_1[,obj_priv_2]...|ALL[PRIVILEGES]}

ON

{[schema.]object[(column1[,column2])]|DIRECTORY

dir}FROM{user_1[,user_2]...}

[CASCADECONSTRAINTS][FORCE];角色與權限管理將角色授予用戶或其他角色撤銷授予用戶或其他角色的角色GRANTrole_1[,role_2]...

TO{user_1[,user_2]...|PUBLIC|role_1[,role_2]}[WITHADMINOPTION];REVOKErole_1[,role_2]...

FROM{user_1[,user_2]...|PUBLIC|role_1[,role_2]};PL/SQL與角色默認情況下，PL/SQL函數、過程、程序包都要使用“定義者”的命名空間和權限執行。需要注意的是，這些已編譯的“PL/SQL程序”對象要使用直接賦予設計用戶的權限執行，而不使用用戶通過數據庫角色得到的對象權限來執行。當然，這將使讓作為特定數據庫用戶在SQL*Plus中測試特定DML語句的開發人員混淆，他們將發現PL/SQL過程中的相同語句不能夠編譯。大多數情況下，造成這種問題的原因是由于對象權限是通過角色授予，而不是直接授予設計用戶的。PL/SQL與角色通常情況下，應用開發的安全方法是不直接將表和視圖上的權限賦予數據庫用戶，只能夠通過PL/SQL過程、函數或程序包訪問附屬的表和視圖，而執行這些已編譯對象的權限要通過數據庫角色提供。這種方式的最大優點是：除了通過公開的方