用戶角色與權(quán)限控制

用戶角色與權(quán)限控制第一頁，共十五頁，2022年，8月28日16.1用戶Oracle用戶分為兩類：一類是具有系統(tǒng)管理權(quán)限的用戶，稱為系統(tǒng)用戶；另一類為普通用戶。從創(chuàng)建時(shí)機(jī)上講，Oracle數(shù)據(jù)庫在創(chuàng)建時(shí)，會(huì)提供若干默認(rèn)用戶（如系統(tǒng)用戶system）；另外，系統(tǒng)用戶可以在登錄數(shù)據(jù)庫后創(chuàng)建其他用戶。這些用戶共同組成了Oracle數(shù)據(jù)庫的用戶集合。本小節(jié)將講述Oracle用戶的概況，并講解如何創(chuàng)建普通用戶。第二頁，共十五頁，2022年，8月28日16.1.1Oracle中的用戶概況在Oracle數(shù)據(jù)庫中，存在著視圖dba_users。該視圖存儲(chǔ)了所有用戶的基本信息，我們搜尋視圖內(nèi)容來查看Oracle中的用戶概況。第三頁，共十五頁，2022年，8月28日16.1.2利用系統(tǒng)用戶創(chuàng)建新的用戶對(duì)于開發(fā)人員來說，并不會(huì)經(jīng)常使用系統(tǒng)用戶登錄數(shù)據(jù)庫。因?yàn)橄到y(tǒng)用戶的權(quán)限范圍較大，如果出現(xiàn)失誤，可能對(duì)數(shù)據(jù)庫造成較大傷害。因此，往往開發(fā)人員會(huì)使用特定的用戶進(jìn)行開發(fā)任務(wù)。創(chuàng)建新用戶的語法如下所示：createuser用戶名identifiedby密碼defaulttablespace名稱空間其中，createuser命令用戶創(chuàng)建新的用戶，并指定用戶名；identifiedby選項(xiàng)是必需的，用于指定新用戶的密碼；defaulttablespace用于指定新建用戶的默認(rèn)表空間，新用戶登錄之后，所有操作均默認(rèn)在該名稱空間進(jìn)行。第四頁，共十五頁，2022年，8月28日16.1.3用戶的對(duì)象集合——模式模式（Schema）是用戶的附屬對(duì)象，依賴于對(duì)象的存在而存在。一個(gè)用戶在數(shù)據(jù)庫中所擁有的所有對(duì)象的集合即為該用戶的模式。這些對(duì)象包括：表、索引、視圖、存儲(chǔ)過程等。第五頁，共十五頁，2022年，8月28日16.1.4系統(tǒng)用戶——system與sys系統(tǒng)用戶sys和system是Oracle數(shù)據(jù)庫默認(rèn)創(chuàng)建的用戶。用戶sys角色為sysdba（數(shù)據(jù)庫管理員），是數(shù)據(jù)庫中權(quán)限最高的用戶，可以進(jìn)行任意操作而不受限制。system用戶角色為sysoper（數(shù)據(jù)庫操作員），權(quán)限僅次于sys用戶。我們?cè)?6.1.1節(jié)中提到，一個(gè)用戶的狀態(tài)有可能是EXPIRED&LOCKED，即被鎖定的。第六頁，共十五頁，2022年，8月28日16.2權(quán)限權(quán)限（Privilege）是Oracle中控制用戶操作的主要策略。Oracle中的權(quán)限分為兩種，系統(tǒng)權(quán)限和對(duì)象權(quán)限。本節(jié)將詳細(xì)講述系統(tǒng)權(quán)限和對(duì)象權(quán)限的概念及區(qū)別。第七頁，共十五頁，2022年，8月28日16.2.1系統(tǒng)權(quán)限系統(tǒng)權(quán)限是Oracle內(nèi)置的、與具體對(duì)象無關(guān)的權(quán)限類型。這些權(quán)限不指向具體對(duì)象，而是針對(duì)某種操作而言。例如，創(chuàng)建表的權(quán)限，當(dāng)表未創(chuàng)建時(shí)，自然無從談對(duì)針對(duì)特定表的權(quán)限。1．獲得系統(tǒng)權(quán)限信息2．分配系統(tǒng)權(quán)限3．a(chǎn)dminoption選項(xiàng)4．收回用戶的系統(tǒng)權(quán)限第八頁，共十五頁，2022年，8月28日16.2.2對(duì)象權(quán)限對(duì)象權(quán)限是指用戶在已存在對(duì)象上的權(quán)限。這些權(quán)限主要包括以下幾種：select：可用于查詢表、視圖和序列。insert：向表或視圖中插入新的記錄update：更新表中數(shù)據(jù)delete：刪除表中數(shù)據(jù)execute：函數(shù)、存儲(chǔ)過程、程序包等的調(diào)用或執(zhí)行index：為表創(chuàng)建索引references：為表創(chuàng)建外鍵alter：修改表或者序列的屬性第九頁，共十五頁，2022年，8月28日16.3角色利用grant命令為用戶分配權(quán)限是一件非常耗時(shí)的工作，尤其是當(dāng)數(shù)據(jù)庫中用戶眾多，而且權(quán)限關(guān)系比較復(fù)雜時(shí)。有鑒于此，Oracle提供了角色這一策略來協(xié)助數(shù)據(jù)庫管理員來更加靈活地實(shí)現(xiàn)權(quán)限分配。角色是權(quán)限的集合。一個(gè)角色可能包含多個(gè)權(quán)限信息。在Oracle中，我們可以首先創(chuàng)建一個(gè)角色，該角色包含了多種權(quán)限。然后將角色分配給多個(gè)用戶，從而在最大程度上實(shí)現(xiàn)復(fù)用性。第十頁，共十五頁，2022年，8月28日16.3.1利用角色進(jìn)行權(quán)限分配創(chuàng)建角色應(yīng)該使用createrole命令。角色創(chuàng)建之后，會(huì)以對(duì)象的形式的存儲(chǔ)在數(shù)據(jù)庫中，并可以在數(shù)據(jù)字典中獲得其信息?！臼纠?6-7】在16.2節(jié)，我們使用了grant命令將多個(gè)權(quán)限分別賦予了用戶test和test_user?，F(xiàn)假設(shè)用戶test和test_user都應(yīng)該具有表system.employees的select、update、insert和update權(quán)限。那么，可以首先創(chuàng)建一個(gè)角色，并將以上權(quán)限賦予該角色。第十一頁，共十五頁，2022年，8月28日16.3.2角色的延伸——繼承一個(gè)角色可以繼承其他角色的權(quán)限集合，這為某些角色的實(shí)現(xiàn)提供了更加便利的途徑。例如，角色role_employee已經(jīng)具備了表system.employees增刪改查的權(quán)限。現(xiàn)希望創(chuàng)建一個(gè)新的角色role_test，該角色具有表system.employees增刪改查權(quán)限之外，還希望擁有創(chuàng)建會(huì)話（createsession）和創(chuàng)建表（createtable）的權(quán)限。那么，可以利用已有角色role_employee來實(shí)現(xiàn)新角色。第十二頁，共十五頁，2022年，8月28日16.3.3禁用/啟用角色當(dāng)用戶登錄數(shù)據(jù)庫時(shí)，會(huì)話會(huì)自動(dòng)加載當(dāng)前用戶的角色信息（如果該用戶屬于某個(gè)或某些角色的話）?？梢酝ㄟ^視圖session_roles來查看用戶所具有的角色信息。C:\>sqlplustest/abc123@tstSQL*Plus:Release10.1.0.2.0-Productionon星期日3月1400:16:502010Copyright(c)1982,2004,Oracle.Allrightsreserved.Connectedto:OracleDatabase10gEnterpriseEditionRelease10.1.0.2.0-ProductionWiththePartitioning,OLAPandDataMiningoptions第十三頁，共十五頁，2022年，8月28日16.4本章實(shí)例并非所有角色都需要用戶手動(dòng)創(chuàng)建。Oracle數(shù)據(jù)庫提供了多個(gè)內(nèi)置角色。其中最常見的為DBA、CONNECT和RESOURCE。其中，DBA是數(shù)據(jù)庫管理員角色，我們利用該角色可以對(duì)數(shù)據(jù)庫進(jìn)行所有操作。本實(shí)例將講述CONNECT和RESOURCE角色的主要權(quán)限。第十四頁，共十五頁，2022