Oracle數(shù)據(jù)庫的安全與管理培訓(xùn)教材

用戶管理環(huán)境文件管理權(quán)限管理角色管理常用工具的使用Oracle數(shù)據(jù)庫的安全與管理主要內(nèi)容建立新的數(shù)據(jù)庫用戶修改和刪除存在的數(shù)據(jù)庫用戶監(jiān)控存在的數(shù)據(jù)庫用戶的有關(guān)信息帳戶鎖表空間限額臨時(shí)表空間缺省表空間角色權(quán)限資源限定安全域用戶和安全直接權(quán)限認(rèn)證機(jī)制

表-觸發(fā)器-約束索引視圖序號發(fā)生器存儲(chǔ)程序單元同義詞用戶定義的數(shù)據(jù)類型數(shù)據(jù)庫鏈接數(shù)據(jù)庫模式

建立用戶的核對表1.選擇用戶名和認(rèn)證機(jī)制2. 確定用戶需要存儲(chǔ)對象的表空間3. 確定每一個(gè)表空間的限額4. 指定缺省表空間和臨時(shí)表空間5. 建立用戶6. 給用戶授予權(quán)限和角色建立一個(gè)新用戶:指導(dǎo)原則初始選擇一個(gè)標(biāo)準(zhǔn)口令使用EXPIRE關(guān)鍵字強(qiáng)制用戶重新設(shè)置其口令始終要指定臨時(shí)表空間一般不限制用戶的定額;要謹(jǐn)慎使用QUOTAUNLIMITED訓(xùn)練用戶:連接修改口令控制帳戶鎖和口令A(yù)LTERUSERpeterIDENTIFIEDBYhisgrandpaPASSWORDEXPIRE;修改用戶的表空間定額ALTERUSERpeterQUOTA0ONdata01;刪除用戶

如果模式中包含對象，則需要使用CASCADE子句DROPUSERpeter;DROPUSERpeterCASCADE;監(jiān)控用戶DBA_USERS

USERNAMEUSER_IDCREATEDACCOUNT_STATUSLOCK_DATEEXPIRY_DATEDEFAULT_TABLESPACETEMPORARY_TABLESPACEDBA_TS_QUOTAS

USERNAMETABLESPACE_NAMEBYTESMAX_BYTESBLOCKSMAX_BLOCKS用戶管管理環(huán)境文文件管管理權(quán)限管管理角色管管理常用工工具的的使用用Oracle數(shù)數(shù)據(jù)庫庫的安安全與與管理理主要內(nèi)內(nèi)容建立環(huán)環(huán)境文文件并并分配配給用用戶利用環(huán)環(huán)境文文件控控制資資源的的使用用修改和和刪除除環(huán)境境文件件使用環(huán)環(huán)境文文件管管理口口令獲得環(huán)環(huán)境文文件,指定定的限限制,和口口令管管理環(huán)境文文件命名的的資源源和口口令限限制的的集合合通過CREATE/ALTERUSER命令分配配給用用戶可以啟啟用或或禁用用可以涉涉及DEFAULT環(huán)境境文件可以在在會(huì)話話層或或調(diào)用用層限限制系統(tǒng)資資源帳戶鎖鎖安全域域資源限限制直接權(quán)權(quán)限臨時(shí)表表空間間缺省表表空間間表空間間定額額驗(yàn)證機(jī)機(jī)制角色權(quán)權(quán)限使用環(huán)環(huán)境文文件管管理資資源1.創(chuàng)創(chuàng)建建環(huán)境境文件件2.為為用用戶分分配資資源文文件3.啟啟用用資源源限制制創(chuàng)建環(huán)環(huán)境文文件:資源源限制制CREATEPROFILEdeveloper_profLIMITSESSIONS_PER_USER2CPU_PER_SESSION10000IDLE_TIME60CONNECT_TIME480;ResourceCPU_PER_SESSIONSESSIONS_PER_USERCONNECT_TIMEIDLE_TIMELOGICAL_READS_PER_SESSIONPRIVATE_SGADescriptionTotalCPUtimemeasuredinhundredthsofsecondsNumberofconcurrentsessionsallowedforeachusernameElapsedconnecttimemeasuredinminutesPeriodsofinactivetimemeasuredinminutesNumberofdatablocks(physicalandlogicalreads)PrivatespaceintheSGAmeasuredinbytes(forMTSonly)在會(huì)話層層設(shè)置資資源限制制資源CPU_PER_CALLLOGICAL_READS_PER_CALL說明CPUtimepercallinhundredthsofsecondsNumberofdatablocks在調(diào)用層層設(shè)置資資源限制制為用戶分分配資源源文件CREATEUSERuser3IDENTIFIEDBYuser3DEFAULTTABLESPACEdata01TEMPORARYTABLESPACEtempQUOTAunlimitedONdata01PROFILEdeveloper_prof;ALTERUSERscottPROFILEdeveloper_prof;啟用資源源限制將初始化化參數(shù)RESOURCE_LIMIT設(shè)置置成TRUE或使用帶有有啟用參參數(shù)的ALTERSYSTEM命命令強(qiáng)制制資源限限制ALTERSYSTEMSETRESOURCE_LIMIT=TRUE;修改環(huán)境境文件ALTERPROFILEdefaultLIMITSESSIONS_PER_USER5CPU_PER_CALL3600IDLE_TIME30;刪除環(huán)境境文件DROPPROFILEdeveloper_prof;DROPPROFILEdeveloper_profCASCADE;查看資源源限制DBA_USERS-profile-usernameDBA_PROFILES-profile-resource_name

-resource_type(KERNEL)

-limit口令管理理用戶口令到期和時(shí)效口令確認(rèn)口令歷史帳戶鎖建立環(huán)境文件啟用口令令管理使用環(huán)境境文件并并分配給給用戶來來建立口口令管理理使用CREATEUSER或ALTERUSER加加鎖,解解鎖,和和期滿帳帳戶既使實(shí)例例的RESOURCE_LIMIT的設(shè)置置是FALSE,口令令限制仍仍始終被被強(qiáng)制創(chuàng)建環(huán)境境文件:口令設(shè)設(shè)置CREATEPROFILEgrace_5LIMITFAILED_LOGIN_ATTEMPTS3PASSWORD_LIFE_TIME30PASSWORD_REUSE_TIME30PASSWORD_VERIFY_FUNCTIONverify_functionPASSWORD_GRACE_TIME5;口令設(shè)置置ParameterFAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIMEPASSWORD_LIFE_TIMEPASSWORD_GRACE_TIMEDescriptionNumberoffailedloginattemptsbeforelockoutoftheaccountNumberofdaysforwhichtheaccountremainslockeduponpasswordexpiration

Lifetimeofthepasswordindaysafterwhichthepasswordexpires

Graceperiodindaysforchangingthepasswordafterthefirstsuccessfulloginafterthepasswordhasexpired口令設(shè)置置ParameterPASSWORD_REUSE_TIMEPASSWORD_REUSE_MAXPASSWORD_VERIFY_FUNCTIONDescriptionNumberofdaysbeforeapasswordcanbereusedMaximumnumberoftimesapasswordcanbereusedPL/SQLfunctionthatmakesapasswordcomplexitycheckbeforeapasswordisassigned用戶提供供的口令令函數(shù)函數(shù)必須須使用模模式SYS創(chuàng)建建,并且且具有以以下規(guī)范范:function_name(userid_parameterINVARCHAR2(30),password_parameterINVARCHAR2(30),old_password_parameterINVARCHAR2(30))RETURNBOOLEAN口令確認(rèn)認(rèn)函數(shù)VERIFY_FUNCTION長度最少少四個(gè)字字符口令不能能和用戶戶名相同同口令至少少有一個(gè)個(gè)字母,一個(gè)數(shù)數(shù)字,和和一個(gè)特特殊字符符本次的口口令與上上一次的的口令應(yīng)應(yīng)當(dāng)至少少有三個(gè)個(gè)字符不不同Passwordverification查看口令令的有關(guān)關(guān)信息DBA_USERSprofileusernameaccount_statuslock_dateexpiry_dateDBA_PROFILESprofileresource_nameresource_type(PASSWORD)limit用戶管理環(huán)境文件管管理權(quán)限管理角色管理常用工具的的使用Oracle數(shù)據(jù)庫庫的安全與與管理主要內(nèi)容鑒別系統(tǒng)和和對象權(quán)限限權(quán)限的授予予與回收操作系統(tǒng)或或口令文件件認(rèn)證的控控制管理權(quán)限兩種類型的的權(quán)限:系統(tǒng):使使得用戶可可以執(zhí)行數(shù)數(shù)據(jù)庫中特特殊的操作作對象:使使得用戶可可以訪問和和操作特定定的對象系統(tǒng)權(quán)限約有80個(gè)個(gè)系統(tǒng)權(quán)限限權(quán)限中ANY關(guān)鍵字字意味著用用戶具有每每一個(gè)模式式的權(quán)限GRANT命令可以以為一個(gè)或或一組用戶戶添加權(quán)限限REVOKE命令刪刪除權(quán)限系統(tǒng)權(quán)限:例子類別 例子子INDEX CREATEANYINDEXALTERANYINDEXDROPANYINDEXTABLECREATETABLECREATEANYTABLE

ALTERANYTABLEDROPANYTABLESELECTANYTABLEUPDATEANYTABLEDELETEANYTABLESESSIONCREATESESSIONALTERSESSION

RESTRICTEDSESSIONTABLESPACE CREATETABLESPACEALTERTABLESPACEDROPTABLESPACEUNLIMITEDTABLESPACE授予系統(tǒng)權(quán)權(quán)限GRANTCREATESESSION,CREATETABLETOuser1;GRANTCREATESESSIONTOscottWITHADMINOPTION;SYSDBA和SYSOPER權(quán)限限類別 例子SYSOPERSTARTUP

SHUTDOWNALTERDATABASEOPEN|MOUNTALTERDATABASEBACKUPCONTROLFILE

ALTERTABLESPACEBEGIN/ENDBACKUP

RECOVERDATABASE,

ALTERDATABASEARCHIVELOGRESTRICTEDSESSIONSYSDBA SYSOPERprivilegesWITHADMINOPTIONCREATEDATABASERECOVERDATABASEUNTIL顯示系統(tǒng)權(quán)限限D(zhuǎn)BA_SYS_PRIVSGRANTEEPRIVILEGEADMINOPTIONSESSION_PRIVSPRIVILEGE數(shù)據(jù)庫層會(huì)話話層層系統(tǒng)統(tǒng)權(quán)權(quán)限限限限制制O7_DICTIONARY_ACCESSIBILITY=TRUE回復(fù)復(fù)至至Oracle7的的工工作作特特點(diǎn)點(diǎn)取消消帶帶有有ANY關(guān)關(guān)鍵鍵字字的的系系統(tǒng)統(tǒng)權(quán)權(quán)限限限限制制缺省省為為TRUE回收收系系統(tǒng)統(tǒng)權(quán)權(quán)限限REVOKECREATETABLEFROMuser1;REVOKECREATESESSIONFROMscott;USER1SCOTT回收收使使用用WITHADMINOPTION的的系系統(tǒng)統(tǒng)權(quán)權(quán)限限D(zhuǎn)BA授予予回收收USER1SCOTTDBA結(jié)果果回收收使使用用WITHADMINOPTION的的系系統(tǒng)統(tǒng)權(quán)權(quán)限限D(zhuǎn)BAUSER1SCOTT對象象權(quán)權(quán)限限對象象權(quán)權(quán)限限表表視視圖圖序序號號發(fā)發(fā)生生器器過過程程ALTERDELETEEXECUTEINDEXINSERTREFERENCESSELECTUPDATE授予予對對象象權(quán)權(quán)限限GRANTEXECUTEONdbms_pipeTOpublic;GRANTUPDATE(ename,sal)ONempTOuser1WITHGRANTOPTION;DBA_TAB_PRIVS顯示示對對象象權(quán)權(quán)限限D(zhuǎn)BA_COL_PRIVSGRANTEEOWNERTABLE_NAMEGRANTORPRIVILEGEGRANTABLEGRANTEEOWNERTABLE_NAMECOLUMN_NAMEGRANTORPRIVILEGEGRANTABLE回收對象象權(quán)限REVOKEexecuteONdbms_pipeFROMscott;授予回收回收使用用WITHGRANTOPTION的的對象權(quán)權(quán)限SCOTTSCOTTUSER1USER1USER2USER2結(jié)果回收使用用WITHGRANTOPTION的的對象權(quán)權(quán)限SCOTTUSER1USER2用戶管理理環(huán)境文件件管理權(quán)限管理理角色管理理常用工具具的使用用Oracle數(shù)數(shù)據(jù)庫的的安全與與管理主要內(nèi)容容創(chuàng)建和修修改角色色控制角色色的可用用性刪除角色色使用預(yù)定定義的角角色從數(shù)據(jù)字字典中獲獲得角色色的有關(guān)關(guān)信息角色用戶權(quán)限角色更新EMP插入EMP查詢EMP創(chuàng)建表創(chuàng)建會(huì)話HR_CLERKHR_MGRABC角色的好好處減少權(quán)限限的授予予動(dòng)態(tài)地管管理權(quán)限限選擇性的的權(quán)限可可用性通過OS授予非連帶回回收改善性能能創(chuàng)建角色色CREATEROLEsales_clerk;CREATEROLEhr_clerkIDENTIFIEDBYbonus;CREATEROLEhr_managerIDENTIFIEDEXTERNALLY;使用預(yù)定定義角色色角色名稱稱說說明CONNECTThesetworolesareprovidedRESOURCEforbackwardcompatibility.DBAAllsystemprivilegesWITHADMINOPTIONEXP_FULL_DATABASEPrivilegestoexporttheDBIMP_FULL_DATABASEPrivilegestoimporttheDBDELETE_CATALOG_ROLE DELETEprivilegesonDDtablesEXECUTE_CATALOG_ROLEEXECUTEprivilegeonDDpackagesSELECT_CATALOG_ROLE SELECTprivilegeonDDtables修改角色ALTERROLEhr_clerkIDENTIFIEDEXTERNALLY;ALTERROLEhr_managerNOTIDENTIFIED;ALTERROLEsales_clerkIDENTIFIEDBYcommission;分配角色GRANThr_clerk,TOhr_manager;GRANTsales_clerkTOscott;GRANThr_managerTOscott

WITHADMINOPTION;設(shè)立缺省角角色ALTERUSERscottDEFAULTROLEhr_clerk,sales_clerk;ALTERUSERscottDEFAULTROLEALL;ALTERUSERscottDEFAULTROLEALLEXCEPThr_clerk;ALTERUSERscottDEFAULTROLENONE;啟用和禁用用角色禁用角色可可以將角色色從用戶處處臨時(shí)回收收啟用角色可可以作為臨臨時(shí)的授予予SETROLE命命令可以啟啟用和禁用用角色缺省角色在在用戶登錄錄時(shí)啟用啟用角色時(shí)時(shí)可能需要要口令啟用和禁用用角色:例例子SETROLEhr_clerk;SETROLEsales_clerkIDENTIFIEDBYcommission;SETROLEALLEXCEPTsales_clerk;SETROLENONE;刪除用戶的的角色REVOKEhr_managerFROMPUBLIC;REVOKEsales_clerkFROMscott;刪