第7章_數(shù)據(jù)庫安全管理

1、第7章 數(shù)據(jù)庫安全管理O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用本章學(xué)習(xí)導(dǎo)航本章學(xué)習(xí)導(dǎo)航Oracle 11g安裝與配置數(shù)據(jù)庫技術(shù)基礎(chǔ)回顧數(shù)據(jù)庫備份與恢復(fù)數(shù)據(jù)庫應(yīng)用程序開發(fā)閃回技術(shù)數(shù)據(jù)庫存儲操作數(shù)據(jù)庫操作數(shù)據(jù)表操作查詢操作視圖和索引操作PL/SQL編程基礎(chǔ)高級管理基本管理數(shù)據(jù)庫設(shè)計數(shù)據(jù)庫管理數(shù)據(jù)庫應(yīng)用數(shù)據(jù)庫安全操作O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用本章學(xué)習(xí)要點(diǎn)本章學(xué)習(xí)要點(diǎn)（1）數(shù)據(jù)庫安全策略。）數(shù)據(jù)庫安全策略。（2）Oracle的安全管理機(jī)制。的安全管理機(jī)制。（3）用戶管理、權(quán)限管理、角色管理

2、（重點(diǎn)）用戶管理、權(quán)限管理、角色管理（重點(diǎn)）。（4）概要文件管理）概要文件管理（5）數(shù)據(jù)庫審計）數(shù)據(jù)庫審計計劃課時：計劃課時：4+2課時課時O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.1 數(shù)據(jù)庫安全管理概述 l數(shù)據(jù)庫的安全性是指保護(hù)數(shù)據(jù)庫，數(shù)據(jù)庫的安全性是指保護(hù)數(shù)據(jù)庫，防止非法操作防止非法操作所造成所造成的的數(shù)據(jù)泄露數(shù)據(jù)泄露、篡改篡改或或損壞損壞。l數(shù)據(jù)庫的安全管理是從用戶登錄數(shù)據(jù)庫就開始的。包括數(shù)據(jù)庫的安全管理是從用戶登錄數(shù)據(jù)庫就開始的。包括以下內(nèi)容：以下內(nèi)容：驗(yàn)證用戶身份的合法性；驗(yàn)證用戶身份的合法性；檢查用戶的操作是否具有相應(yīng)的權(quán)限；檢查

3、用戶的操作是否具有相應(yīng)的權(quán)限；限制用戶對存儲空間和系統(tǒng)資源的使用。限制用戶對存儲空間和系統(tǒng)資源的使用。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.1數(shù)據(jù)庫安全管理概述 u Oracle 數(shù)據(jù)庫的安全分為兩個層面：數(shù)據(jù)庫的安全分為兩個層面：l 系統(tǒng)安全性系統(tǒng)安全性 是在是在系統(tǒng)級別上系統(tǒng)級別上控制數(shù)據(jù)庫的存取和使用的機(jī)制。包括：控制數(shù)據(jù)庫的存取和使用的機(jī)制。包括： 有效的用戶名和口令、用戶是否被授權(quán)連接到數(shù)據(jù)庫，創(chuàng)有效的用戶名和口令、用戶是否被授權(quán)連接到數(shù)據(jù)庫，創(chuàng)建數(shù)據(jù)庫模式對象時可使用的磁盤空間大小、用戶的資源建數(shù)據(jù)庫模式對象時可使用的磁盤空間

4、大小、用戶的資源限制、是否啟動數(shù)據(jù)庫的審計等。限制、是否啟動數(shù)據(jù)庫的審計等。l 數(shù)據(jù)安全性數(shù)據(jù)安全性是在是在方案對象級別上方案對象級別上控制數(shù)據(jù)庫的存取和使用的機(jī)制，包控制數(shù)據(jù)庫的存取和使用的機(jī)制，包括：哪個用戶可以存取指定的方案對象，在方案對象上允括：哪個用戶可以存取指定的方案對象，在方案對象上允許每個用戶采取的操作等。許每個用戶采取的操作等。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.1 數(shù)據(jù)庫安全管理概述 vOracle 11g安全機(jī)制包括安全機(jī)制包括6個方面：個方面： 用戶管理用戶管理2權(quán)限管理權(quán)限管理3角色管理角色管理 表空間管理表空

5、間管理 概要文件管理概要文件管理 數(shù)據(jù)審計數(shù)據(jù)審計O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.2 用戶管理v 用戶是數(shù)據(jù)庫的使用者和管理者，用戶是數(shù)據(jù)庫的使用者和管理者，OracleOracle數(shù)據(jù)庫通過數(shù)據(jù)庫通過設(shè)設(shè)置用戶及安全參數(shù)置用戶及安全參數(shù)來控制用戶對數(shù)據(jù)庫的訪問和操作。來控制用戶對數(shù)據(jù)庫的訪問和操作。v OracleOracle數(shù)據(jù)庫數(shù)據(jù)庫用戶管理用戶管理包括：包括： 創(chuàng)建用戶創(chuàng)建用戶 修改用戶的安全參數(shù)修改用戶的安全參數(shù) 刪除用戶和查詢用戶信息等。刪除用戶和查詢用戶信息等。O r a c l eO r a c l e 數(shù) 據(jù) 庫

6、與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用系統(tǒng)自動創(chuàng)建的用戶 用戶名角色默認(rèn)密碼說明sys超級管理員change_on_install所有oracle的數(shù)據(jù)字典的基表和視圖都存放在sys用戶中，這些基表和視圖對于oracle的運(yùn)行是至關(guān)重要的，由數(shù)據(jù)庫自己維護(hù)，任何用戶都不能手動更改。sys用戶擁有dba，sysdba，sysoper等角色或權(quán)限，是oracle權(quán)限最高的用戶。system普通管理員manager輔助的數(shù)據(jù)庫管理員，不能啟動和關(guān)閉數(shù)據(jù)庫，但可以做其他管理工作，如：創(chuàng)建用戶、刪除用戶等，system用戶擁有普通dba角色權(quán)限?？捎脕韯?chuàng)建其他用戶。scott普通用戶（測試網(wǎng)絡(luò)連接）tiger

7、在默認(rèn)情況下從Oracle10g開始，scott不能登陸，被禁用了。需要手工解鎖。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用用戶名用戶名角色角色默認(rèn)密碼默認(rèn)密碼說明說明public用戶組用戶組是一個用戶組，數(shù)據(jù)庫中任何一個是一個用戶組，數(shù)據(jù)庫中任何一個用戶都屬于該組成員。若要為每個用戶都屬于該組成員。若要為每個用戶授予某種權(quán)限，只要把權(quán)限授用戶授予某種權(quán)限，只要把權(quán)限授予予publicpublic就可以。就可以。創(chuàng)建Oracle數(shù)據(jù)庫時系統(tǒng)自動創(chuàng)建的用戶 v 其他自動創(chuàng)建的用戶取決于安裝了哪些功能或選項(xiàng)。其他自動創(chuàng)建的用戶取決于安裝了哪些功能或選

8、項(xiàng)。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.2用戶管理 v創(chuàng)建用戶：創(chuàng)建用戶： CREATE USER CREATE USER user_name user_name IDENTIFIED BY IDENTIFIED BY passwordpassword DEFAULT TABLESPACE default_tablespace DEFAULT TABLESPACE default_tablespace TEMPORARY TABLESPACE tempoprary_tablespace TEMPORARY TABLESPACE temp

9、oprary_tablespace QUOTA n K | M | UNLIMITED ON QUOTA n K | M | UNLIMITED ON table_nametable_name PROFILE profile_name PROFILE profile_name PASSWORD EXPIRE PASSWORD EXPIRE ACCOUNT LOCK | UNLOCK; ACCOUNT LOCK | UNLOCK;注意：注意：l default_tablespace指定數(shù)據(jù)庫對象存指定數(shù)據(jù)庫對象存儲的表空間。若忽略，則默認(rèn)使用儲的表空間。若忽略，則默認(rèn)使用SYSTEM表空間，它在

10、每個數(shù)據(jù)庫中都存表空間，它在每個數(shù)據(jù)庫中都存在。在。l tempoprary_tablespace指定保存臨時指定保存臨時對象所使用的默認(rèn)表空間。這些對象包括對象所使用的默認(rèn)表空間。這些對象包括臨時表。若忽略此設(shè)置，則默認(rèn)使用臨時表。若忽略此設(shè)置，則默認(rèn)使用SYSTEM表空間。表空間。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用創(chuàng)建用戶示例v以特權(quán)用戶身份連接到數(shù)據(jù)庫，如以特權(quán)用戶身份連接到數(shù)據(jù)庫，如systemsystem用戶，用戶，然后創(chuàng)建一個新用戶然后創(chuàng)建一個新用戶zhaolizhaoli，口令為，口令為passpasspasspass： C

11、ONNECT system/manager AS SYSDBA CONNECT system/manager AS SYSDBA CREATE USER CREATE USER zhuli IDNETIFIED BY passpass;zhuli IDNETIFIED BY passpass;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用創(chuàng)建用戶示例v創(chuàng)建一個新用戶創(chuàng)建一個新用戶henryhenry，口令為，口令為hooray,hooray,默認(rèn)表空默認(rèn)表空間為間為usersusers表空間，臨時表空間為表空間，臨時表空間為temptemp表空間，表

12、空間，在在usersusers表空間的配額為表空間的配額為100MB100MB： CREATE USER CREATE USER henry henry IDENTIFIED BYIDENTIFIED BY hoorayhooray DEFAULT TABLESPACE DEFAULT TABLESPACE usersusers TEMPORARY TABLESPACE TEMPORARY TABLESPACE temptemp QUOTA 100M ON users; QUOTA 100M ON users;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與

13、應(yīng) 用v如果希望一個用戶可以在數(shù)據(jù)庫中執(zhí)行某些操作如果希望一個用戶可以在數(shù)據(jù)庫中執(zhí)行某些操作，則必須為該用戶授予執(zhí)行這些操作所需要的權(quán)，則必須為該用戶授予執(zhí)行這些操作所需要的權(quán)限。限。v權(quán)限是權(quán)限是有特權(quán)的用戶有特權(quán)的用戶（例如（例如systemsystem用戶）用戶）使用使用GRANTGRANT語句授予語句授予的。的。權(quán)限O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用常用的系統(tǒng)特權(quán)系統(tǒng)特權(quán)允許執(zhí)行的操作CREATE SESSION連接到數(shù)據(jù)庫CREATE SEQUENCE創(chuàng)建序列。序列是一系列數(shù)字，通常用來自動填充主鍵列。CREATE SYNONY

14、M創(chuàng)建同名對象。用于引用其他模式中的表。CREATE TABLE在用戶模式中創(chuàng)建表CREATE ANY TABLE 在任何模式中創(chuàng)建表DROP TABLE刪除用戶模式中的表DROP ANY TABLE刪除任何模式中的表CREATE PROCEDURE 創(chuàng)建存儲過程CREATE USER創(chuàng)建用戶DROP USER刪除用戶CREATE VIEW創(chuàng)建視圖。視圖是存儲的查詢。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用為新用戶授權(quán)v例如：為用戶例如：為用戶henryhenry授予授予CREATE SESSIONCREATE SESSION，CREATE C

15、REATE TABLETABLE權(quán)限（以權(quán)限（以systemsystem用戶連接數(shù)據(jù)庫）：用戶連接數(shù)據(jù)庫）： GRANT GRANT CREATE SESSION,CREATE USER,CREATE CREATE SESSION,CREATE USER,CREATE TABLE TABLE TO TO henryhenry; ;v可使用可使用WITH ADMIN OPTIONWITH ADMIN OPTION把被授予的特權(quán)再授予把被授予的特權(quán)再授予其他用戶。例如：其他用戶。例如：GRANTGRANT CREATE USER TO henry CREATE USER TO henry WITH

16、 ADMIN OPTIONWITH ADMIN OPTION； 以以henryhenry的身份連接到數(shù)據(jù)庫，則可授權(quán)給其他用戶。的身份連接到數(shù)據(jù)庫，則可授權(quán)給其他用戶。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用檢查授予用戶的系統(tǒng)特權(quán)v可查詢數(shù)據(jù)字典可查詢數(shù)據(jù)字典 user_sys_privs user_sys_privs 來查看某個用來查看某個用戶具有的系統(tǒng)特權(quán)。戶具有的系統(tǒng)特權(quán)。vuser_sys_privsuser_sys_privs的部分列：的部分列：列類型說明username VARCHAR2(30)當(dāng)前用戶的用戶名privilegeVA

17、RCHAR2(40)用戶擁有的系統(tǒng)特權(quán)admin_option VARCHAR2(3)該用戶是否將這種特權(quán)授予其他用戶O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用使用和撤銷系統(tǒng)特權(quán) v用戶被授予系統(tǒng)特權(quán)后，就可以使用這種特權(quán)來用戶被授予系統(tǒng)特權(quán)后，就可以使用這種特權(quán)來執(zhí)行特定的任務(wù)。執(zhí)行特定的任務(wù)。v撤銷某用戶的系統(tǒng)特權(quán)（以撤銷某用戶的系統(tǒng)特權(quán)（以systemsystem用戶連接到數(shù)用戶連接到數(shù)據(jù)庫）：據(jù)庫）：CONNECT system/managerCONNECT system/managerREVOKEREVOKE CREATE USER C

18、REATE USER FROMFROM henry; henry;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用常用的對象特權(quán)v向用戶授予對象特權(quán)向用戶授予對象特權(quán)GRANT SELECT,INSERT,UPDATE ON scott.bonus GRANT SELECT,INSERT,UPDATE ON scott.bonus TO henry;TO henry;GRANT SELECT ON scott.emp TO henry;GRANT SELECT ON scott.emp TO henry;對象特權(quán)允許執(zhí)行的操作SELECT執(zhí)行查詢操作I

19、NSERT執(zhí)行插入操作UPDATE執(zhí)行修改操作DELETE執(zhí)行刪除操作EXECUTE執(zhí)行存儲過程O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用檢查已授予的對象權(quán)限v查詢數(shù)據(jù)字典查詢數(shù)據(jù)字典 user_tab_privs_madeuser_tab_privs_madev例如：查詢用戶例如：查詢用戶henryhenry對對empemp表的對象特權(quán)：表的對象特權(quán)： SELECT SELECT * * FROM user_tab_privs_made FROM user_tab_privs_made WHERE table_name =EMP WHERE t

20、able_name =EMPO r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用檢查已接受的對象權(quán)限O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用修改用戶口令、刪除用戶v修改用戶口令：修改用戶口令： ALTER USER ALTER USER henryhenry IDENTIFIED BY IDENTIFIED BY lionlion; ;v刪除用戶：刪除用戶： DROP USER zhaoli DROP USER zha

21、oli；O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.3 權(quán)限管理 v OracleOracle系統(tǒng)使用其系統(tǒng)使用其授權(quán)機(jī)制授權(quán)機(jī)制，來實(shí)現(xiàn)用戶對數(shù)據(jù)庫及其對象的存取控制，來實(shí)現(xiàn)用戶對數(shù)據(jù)庫及其對象的存取控制和安全保證。用戶必須被授予權(quán)限才能在數(shù)據(jù)庫中執(zhí)行對應(yīng)的操作。和安全保證。用戶必須被授予權(quán)限才能在數(shù)據(jù)庫中執(zhí)行對應(yīng)的操作。v 權(quán)限權(quán)限（PrivilegePrivilege）是允許用戶對數(shù)據(jù)庫進(jìn)行數(shù)據(jù)庫操作的權(quán)力。權(quán)限）是允許用戶對數(shù)據(jù)庫進(jìn)行數(shù)據(jù)庫操作的權(quán)力。權(quán)限可以分為可以分為系統(tǒng)權(quán)限系統(tǒng)權(quán)限和和對象權(quán)限對象權(quán)限兩類。系統(tǒng)權(quán)限允許用戶創(chuàng)建、修

22、改和刪兩類。系統(tǒng)權(quán)限允許用戶創(chuàng)建、修改和刪除各種數(shù)據(jù)庫結(jié)構(gòu)，而對象權(quán)限則允許用戶對特定對象執(zhí)行操作。除各種數(shù)據(jù)庫結(jié)構(gòu)，而對象權(quán)限則允許用戶對特定對象執(zhí)行操作。v OracleOracle數(shù)據(jù)庫中通常存在兩大類用戶：一類是創(chuàng)建和管理數(shù)據(jù)庫結(jié)構(gòu)和數(shù)據(jù)庫中通常存在兩大類用戶：一類是創(chuàng)建和管理數(shù)據(jù)庫結(jié)構(gòu)和對象的用戶，另一類是需要使用現(xiàn)有對象的應(yīng)用程序用戶。前者需要系對象的用戶，另一類是需要使用現(xiàn)有對象的應(yīng)用程序用戶。前者需要系統(tǒng)權(quán)限，后者需要對象權(quán)限。統(tǒng)權(quán)限，后者需要對象權(quán)限。v DBADBA可以把可以把權(quán)限授予權(quán)限授予用戶，也可以從用戶手中用戶，也可以從用戶手中收回權(quán)限收回權(quán)限。使用角色則將多。使用

23、角色則將多個系統(tǒng)和對象的權(quán)限合并在一起，可以將角色授予用戶，從而簡化權(quán)限個系統(tǒng)和對象的權(quán)限合并在一起，可以將角色授予用戶，從而簡化權(quán)限的管理。的管理。 O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用權(quán)限管理 v 使用使用PL/SQLPL/SQL授予權(quán)限授予權(quán)限 v GRANTGRANT授予系統(tǒng)權(quán)限的基本語法格式為：授予系統(tǒng)權(quán)限的基本語法格式為：GRANT GRANT | | , TO , TO | | | | PUBLIC , WITH ADMIN OPTION;PUBLIC , WITH ADMIN OPTION;v 授予對象權(quán)限的基本語法格式為：

24、授予對象權(quán)限的基本語法格式為：GRANT GRANT | | ALL PRIVILEGES ( ALL PRIVILEGES (列列 , ), ), , ON ON . . | DIRECTORY | DIRECTORY TO TO 用戶用戶| | 角色角色 | PUBLIC | PUBLIC WITH ADMIN OPTION;WITH ADMIN OPTION;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用權(quán)限管理 v 使用使用PL/SQLPL/SQL授予權(quán)限授予權(quán)限 【例例1 1】授予角色授予角色SUPERSUPER連接數(shù)據(jù)庫的系統(tǒng)權(quán)限。連接數(shù)

25、據(jù)庫的系統(tǒng)權(quán)限。GRANT CREATE SESSION TO SUPER;GRANT CREATE SESSION TO SUPER;【例例2 2】將角色將角色SUPERSUPER角色授予用戶角色授予用戶LIUZCLIUZC，使之具有連接數(shù)據(jù)庫的權(quán)限。，使之具有連接數(shù)據(jù)庫的權(quán)限。GRANT SUPER TO LIUZC;GRANT SUPER TO LIUZC;【例例3 3】將查詢、添加、修改和刪除用戶方案將查詢、添加、修改和刪除用戶方案SCOTTSCOTT中的用戶表中的用戶表USERS USERS 的權(quán)的權(quán)限授予用戶限授予用戶LIUZCLIUZC，并允許該用戶可以將該權(quán)限授予其他用戶或角色

26、。，并允許該用戶可以將該權(quán)限授予其他用戶或角色。GRANT SELECT ON SCOTT.USERS TO LIUZC WITH GRANT OPTION;GRANT SELECT ON SCOTT.USERS TO LIUZC WITH GRANT OPTION;GRANT INSERT ON SCOTT.USERS TO LIUZC WITH GRANT OPTION;GRANT INSERT ON SCOTT.USERS TO LIUZC WITH GRANT OPTION;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用權(quán)限管理 v 使用使用

27、PL/SQLPL/SQL回收權(quán)限回收權(quán)限 v 收回收回系統(tǒng)權(quán)限系統(tǒng)權(quán)限的基本語法格式為：的基本語法格式為：REVOKE REVOKE | | , FROM , FROM | | | | PUBLIC , PUBLIC , v REVOKEREVOKE收回收回對象權(quán)限對象權(quán)限的基本語法格式為：的基本語法格式為：REVOKE REVOKE | ALL PRIVILEGES | ALL PRIVILEGES, , ON ON . . | DIRECTORY | DIRECTORY FROM FROM 用戶用戶| | 角色角色 | PUBLIC CASCADE CONSTRAINTS FORCE;|

28、PUBLIC CASCADE CONSTRAINTS FORCE;【例例1 1】收回用戶收回用戶LIUZCLIUZC對用戶方案對用戶方案SCOTTSCOTT中的用戶表中的用戶表USERSUSERS進(jìn)行更新和刪除的進(jìn)行更新和刪除的權(quán)限。權(quán)限。REVOKE DELETE ON SCOTT.USERS FROM LIUZC;REVOKE DELETE ON SCOTT.USERS FROM LIUZC;REVOKE UPDATE ON SCOTT.USERS FROM LIUZC;REVOKE UPDATE ON SCOTT.USERS FROM LIUZC;【例例2 2】收回角色收回角色SUPER

29、SUPER擁有的連接數(shù)據(jù)庫的權(quán)限。擁有的連接數(shù)據(jù)庫的權(quán)限。REVOKE CREATE SESSION FROM SUPER;REVOKE CREATE SESSION FROM SUPER;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.4 角色管理v 角色是一組特權(quán)，它可以分配給一個用戶或其他角色。角色是一組特權(quán)，它可以分配給一個用戶或其他角色。v 優(yōu)點(diǎn)和特性如下：優(yōu)點(diǎn)和特性如下： 并不是一次一個地將特權(quán)直接授予一個用戶，而是先創(chuàng)并不是一次一個地將特權(quán)直接授予一個用戶，而是先創(chuàng)建用戶，向該角色授予一些特權(quán)，然后在將該角色授予建用戶，向該角色授予一

30、些特權(quán)，然后在將該角色授予多個用戶和角色。多個用戶和角色。 在增加和刪除一個角色的某種特權(quán)時，被授予該角色的在增加和刪除一個角色的某種特權(quán)時，被授予該角色的所有用戶和角色都會自動獲得新加的特權(quán)或自動失去這所有用戶和角色都會自動獲得新加的特權(quán)或自動失去這種特權(quán)。種特權(quán)。 可以將多個角色授予一個用戶或角色?？梢詫⒍鄠€角色授予一個用戶或角色。 可以為角色設(shè)置密碼?？梢詾榻巧O(shè)置密碼。O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.4 角色管理 v 角色（角色（RoleRole）是具有名稱的一組相關(guān)權(quán)限的組合，即將不同的權(quán)限集合在一起就）是具有名稱的一組相

31、關(guān)權(quán)限的組合，即將不同的權(quán)限集合在一起就形成了角色。形成了角色。（1 1）減少權(quán)限的授予）減少權(quán)限的授予DBADBA可以將一組相關(guān)的用戶權(quán)限授予某個角色，再將角色授予該組中每個成員，從而可以將一組相關(guān)的用戶權(quán)限授予某個角色，再將角色授予該組中每個成員，從而不再需要單獨(dú)為每個用戶授予同一批權(quán)限。不再需要單獨(dú)為每個用戶授予同一批權(quán)限。（2 2）動態(tài)權(quán)限管理）動態(tài)權(quán)限管理在一組權(quán)限需要修改時，只需要修改角色的權(quán)限即可，被授予該組角色的所有用戶的在一組權(quán)限需要修改時，只需要修改角色的權(quán)限即可，被授予該組角色的所有用戶的安全域自動反映該角色的修改。安全域自動反映該角色的修改。（3 3）選擇權(quán)限的可用性）

32、選擇權(quán)限的可用性授予用戶的角色既可以使之可用，也可以使之不能使用，這就允許在一些特定場合中授予用戶的角色既可以使之可用，也可以使之不能使用，這就允許在一些特定場合中特殊控制用戶的權(quán)限。特殊控制用戶的權(quán)限。（4 4）應(yīng)用程序角色）應(yīng)用程序角色數(shù)據(jù)庫應(yīng)用程序可以設(shè)計為在用戶試圖使用該程序時自動使用或不自動使用選擇的角數(shù)據(jù)庫應(yīng)用程序可以設(shè)計為在用戶試圖使用該程序時自動使用或不自動使用選擇的角色。色。在在OracleOracle中進(jìn)行角色（主要是用戶自定義角色）管理主要包括創(chuàng)建角色、修改角色和中進(jìn)行角色（主要是用戶自定義角色）管理主要包括創(chuàng)建角色、修改角色和刪除角色等操作。刪除角色等操作。 O r a

33、 c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理 v 【例例1 1】創(chuàng)建角色創(chuàng)建角色GENERALGENERAL，由數(shù)據(jù)庫使用口令來驗(yàn)證。，由數(shù)據(jù)庫使用口令來驗(yàn)證。CREATE ROLE GENERAL IDENTIFIED BY 123456;CREATE ROLE GENERAL IDENTIFIED BY 123456;可以通過數(shù)據(jù)字典可以通過數(shù)據(jù)字典DBA_ROLESDBA_ROLES查看角色的情況：查看角色的情況：SELECT SELECT * * FROM DBA_ROLES; FROM DBA_ROLES;O r a c l eO r a

34、c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理 vPL/SQLPL/SQL修改角色修改角色 v【例例2 2】修改角色修改角色GENERALGENERAL，設(shè)置不需要口令就可，設(shè)置不需要口令就可以使用該角色。以使用該角色。 ALTER ROLE GENERAL NOT IDENTIFIED; ALTER ROLE GENERAL NOT IDENTIFIED;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理 vPL/SQLPL/SQL刪除角色刪除角色 【例例3 3】刪除角色刪除角色GENERALGENERAL。DROP ROLE

35、 GENERAL;DROP ROLE GENERAL;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理 v 啟用啟用/ /禁用角色禁用角色 【例例4 4】為為GENERALGENERAL角色設(shè)置密碼角色設(shè)置密碼720518720518SET ROLE GENERALSET ROLE GENERALidentified by 720518;identified by 720518;【例例5 5】為用戶為用戶LIUZCLIUZC授予角色授予角色CONNECTCONNECT、RESOURCERESOURCE、DBADBA和和GENERALGENERA

36、L角色后，角色后，禁用該用戶的所有角色。禁用該用戶的所有角色。GRANT CONNECT, RESOURCE,DBA,GENERAL TO LIUZC;GRANT CONNECT, RESOURCE,DBA,GENERAL TO LIUZC;以以LIUZCLIUZC用戶登錄系統(tǒng)后，使用以下用戶登錄系統(tǒng)后，使用以下PL/SQLPL/SQL語句禁用該用戶的所有角色：語句禁用該用戶的所有角色：SET ROLE NONE;SET ROLE NONE;如果要啟用該用戶的如果要啟用該用戶的CONNECTCONNECT角色，可以使用以下角色，可以使用以下PL/SQLPL/SQL語句啟用語句啟用CONNECT

37、CONNECT角角色：色：SET ROLE CONNECT;SET ROLE CONNECT;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理 v 啟用啟用/ /禁用角色禁用角色 v 角色啟用角色啟用/ /禁用后，可以查詢數(shù)據(jù)字典視圖禁用后，可以查詢數(shù)據(jù)字典視圖SESSION_ROLESSESSION_ROLES查看用戶的角色情況：查看用戶的角色情況：v SELECT SELECT * * FROM SESSION_ROLES; FROM SESSION_ROLES;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫

38、 與 應(yīng) 用角色管理 v 啟用啟用/ /禁用角色禁用角色 用戶所屬角色也可以在修改用戶的時候進(jìn)行啟用或禁用。用戶所屬角色也可以在修改用戶的時候進(jìn)行啟用或禁用?！纠? 6】修改用戶修改用戶LIUZCLIUZC，為其設(shè)置默認(rèn)角色為，為其設(shè)置默認(rèn)角色為CONNECTCONNECT。ALTER USER LIUZCALTER USER LIUZCDEFAULT ROLE CONNECT;DEFAULT ROLE CONNECT;【例例7 7】修改用戶修改用戶LIUZCLIUZC，禁用該用戶的所有角色。，禁用該用戶的所有角色。ALTER USER LIUZCALTER USER LIUZCDEFAUL

39、T ROLE NONE;DEFAULT ROLE NONE;【例例8 8】修改用戶修改用戶LIUZCLIUZC，啟用該用戶的，啟用該用戶的GENERALGENERAL角色之外的所有角色。角色之外的所有角色。ALTER USER LIUZCALTER USER LIUZCDEFAULT ROLE ALL EXCEPT GENERAL;DEFAULT ROLE ALL EXCEPT GENERAL;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用角色管理-預(yù)定義角色 Oracle系統(tǒng)的預(yù)定義角色是在安裝數(shù)據(jù)庫后，由系統(tǒng)自動創(chuàng)建的系統(tǒng)的預(yù)定義角色是在安裝數(shù)據(jù)

40、庫后，由系統(tǒng)自動創(chuàng)建的一些角色，這些角色已經(jīng)由系統(tǒng)授予了相應(yīng)的權(quán)限。一些角色，這些角色已經(jīng)由系統(tǒng)授予了相應(yīng)的權(quán)限。 O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.5 管理概要文件v 使用使用PL/SQLPL/SQL創(chuàng)建概要文件創(chuàng)建概要文件 【例例1 1】使用命令方式創(chuàng)建概要文件使用命令方式創(chuàng)建概要文件“NEWPRO”NEWPRO”，要求空閑，要求空閑時間時間1010分鐘，登錄分鐘，登錄3 3次后鎖定，有效期為次后鎖定，有效期為1515天。天。CREATE PROFILE AMYPROFILECREATE PROFILE AMYPROFILELIM

41、ITLIMITIDLE_TIME 10IDLE_TIME 10FAILED_LOGIN_ATTEMPTS 3FAILED_LOGIN_ATTEMPTS 3PASSWORD_LIFE_TIME 15; PASSWORD_LIFE_TIME 15; O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用管理概要文件v 使用使用PL/SQLPL/SQL管理概要文件管理概要文件v 格式一（用于查看數(shù)據(jù)字典中的參數(shù)信息）：格式一（用于查看數(shù)據(jù)字典中的參數(shù)信息）：v DESC DESC DBA_PROFILES；v 格式二（用于查看概要文件的存儲信息）：格式二（用于查看

42、概要文件的存儲信息）：v SELECTSELECT FROM FROM WEHRE DBA_PROFILES WEHRE expresstionexpresstion；v 格式三（修改概要文件）：格式三（修改概要文件）：v ALTER PROFILEALTER PROFILE語句；語句；v 格式四（刪除概要文件）：格式四（刪除概要文件）：v DROP PROFILE DROP PROFILE ；v 格式五（為用戶分配概要文件）：格式五（為用戶分配概要文件）：v ALTER USER ALTER USER PROFILE PROFILE ；v 【例例2 2】使用命令方式為使用命令方式為“LIUZ

43、C”LIUZC”用戶分配概要文件用戶分配概要文件“MYPROFILE”MYPROFILE”。v ALTER USER LIUZCALTER USER LIUZCv PROFILE MYPROFILE;PROFILE MYPROFILE;O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用7.6 數(shù)據(jù)庫審計 v 審計的原因主要有以下幾種：審計的原因主要有以下幾種： 信息目的信息目的：可以使用審計保存關(guān)于系統(tǒng)的特定歷史信息，：可以使用審計保存關(guān)于系統(tǒng)的特定歷史信息，這可以提供有價值的一些內(nèi)容。這可以提供有價值的一些內(nèi)容。 可疑行為可疑行為：可以使用審計蹤跡來調(diào)

44、查：可以使用審計蹤跡來調(diào)查OracleOracle數(shù)據(jù)庫中發(fā)生數(shù)據(jù)庫中發(fā)生的可疑活動。的可疑活動。明確了使用審計的原因，接著應(yīng)該遵循審計指導(dǎo)思想。明確了使用審計的原因，接著應(yīng)該遵循審計指導(dǎo)思想。（1 1）信息目的的審計）信息目的的審計（2 2）可疑行為的審計）可疑行為的審計O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用審計類型 1 1語句審計語句審計語句審計是指對指定的語句審計是指對指定的SQLSQL語句語句進(jìn)行審計，而不是它操作的方案對象或進(jìn)行審計，而不是它操作的方案對象或結(jié)構(gòu)。結(jié)構(gòu)。語句審計又可以分為兩類：語句審計又可以分為兩類：DDLDDL語句

45、審計和語句審計和DMLDML語句審計語句審計，前者審計所有，前者審計所有的的CREATECREATE和和DROP TABLEDROP TABLE語句，后者審計所有的語句，后者審計所有的SELECT FROMSELECT FROM語句。語句。2 2權(quán)限審計權(quán)限審計權(quán)限審計是對被允許使用系統(tǒng)權(quán)限的語句的審計。例如，權(quán)限審計是對被允許使用系統(tǒng)權(quán)限的語句的審計。例如，SELECT ANY SELECT ANY TABLETABLE系統(tǒng)權(quán)限的審計。系統(tǒng)權(quán)限的審計。3 3對象審計對象審計對象審計用于審計指定對象上的對象審計用于審計指定對象上的GRANTGRANT、REVOKEREVOKE及指定及指定DMLDML語句。對象審語句。對象審計對于審計對象特權(quán)允許的操作，如指定表上的計對于審計對象特權(quán)允許的操作，如指定表上的SELECTSELECT或或UPDATEUPDATE語句。語句。 O r a c l eO r a c l e 數(shù) 據(jù) 庫 與 應(yīng) 用數(shù) 據(jù) 庫 與 應(yīng) 用審計蹤跡 v默認(rèn)的審計事件默認(rèn)的審計事件（1 1）實(shí)例啟動）實(shí)例啟動（2 2）實(shí)例關(guān)閉）實(shí)例關(guān)閉（3 3）用管理員權(quán)限連接到數(shù)據(jù)庫）用管理員權(quán)限連接到數(shù)據(jù)庫O r a c l eO r a c l e 數(shù) 據(jù)