oracle上課材料第12章安全管理

第12章安全管理主要內(nèi)容Oracle數(shù)據(jù)庫安全性概述用戶管理權(quán)限管理角色管理概要文件管理審計(jì)利用OEM進(jìn)行安全管理本章要求了解Oracle數(shù)據(jù)庫安全機(jī)制掌握用戶管理掌握權(quán)限管理掌握角色管理了解概要文件的作用及其應(yīng)用了解審計(jì)及其應(yīng)用12.1數(shù)據(jù)庫安全性概述數(shù)據(jù)庫的安全性主要包括兩個(gè)方面的含義：一方面是防止非法用戶對(duì)數(shù)據(jù)庫的訪問，未授權(quán)的用戶不能登錄數(shù)據(jù)庫；另一方面是每個(gè)數(shù)據(jù)庫用戶都有不同的操作權(quán)限，只能進(jìn)行自己權(quán)限范圍內(nèi)的操作。Oracle數(shù)據(jù)安全控制機(jī)制用戶管理權(quán)限管理角色管理表空間設(shè)置和配額用戶資源限制數(shù)據(jù)庫審計(jì)Oracle數(shù)據(jù)庫的安全可以分為兩類：系統(tǒng)安全性系統(tǒng)安全性是指在系統(tǒng)級(jí)控制數(shù)據(jù)庫的存取和使用的機(jī)制，包括有效的用戶名與口令的組合、用戶是否被授權(quán)可連接數(shù)據(jù)庫、用戶創(chuàng)建數(shù)據(jù)庫對(duì)象時(shí)可以使用的磁盤空間大小、用戶的資源限制、是否啟動(dòng)了數(shù)據(jù)庫審計(jì)功能，以及用戶可進(jìn)行哪些系統(tǒng)操作等。數(shù)據(jù)安全性數(shù)據(jù)安全性是指在對(duì)象級(jí)控制數(shù)據(jù)庫的存取和使用機(jī)制，包括用戶可存取的模式對(duì)象和在該對(duì)象上允許進(jìn)行的操作等。12.2用戶管理用戶管理概述創(chuàng)建用戶修改用戶刪除用戶查詢用戶信息（1）用戶管理概述Oracle數(shù)據(jù)庫初始用戶SYS：是數(shù)據(jù)庫中具有最高權(quán)限的數(shù)據(jù)庫管理員，可以啟動(dòng)、修改和關(guān)閉數(shù)據(jù)庫，擁有數(shù)據(jù)字典；SYSTEM：是一個(gè)輔助的數(shù)據(jù)庫管理員，不能啟動(dòng)和關(guān)閉數(shù)據(jù)庫，但可以進(jìn)行其他一些管理工作，如創(chuàng)建用戶、刪除用戶等。SCOTT：是一個(gè)用于測(cè)試網(wǎng)絡(luò)連接的用戶，其口令為TIGER。PUBLIC：實(shí)質(zhì)上是一個(gè)用戶組，數(shù)據(jù)庫中任何一個(gè)用戶都屬于該組成員。要為數(shù)據(jù)庫中每個(gè)用戶都授予某個(gè)權(quán)限，只需把權(quán)限授予PUBLIC就可以了。用戶屬性用戶身份認(rèn)證方式默認(rèn)表空間臨時(shí)表空間表空間配額概要文件賬戶狀態(tài)用戶身份認(rèn)證方式數(shù)據(jù)庫身份認(rèn)證：數(shù)據(jù)庫用戶口令以加密方式保存在數(shù)據(jù)庫內(nèi)部，當(dāng)用戶連接數(shù)據(jù)庫時(shí)必須輸入用戶名和口令，通過數(shù)據(jù)庫認(rèn)證后才可以登錄數(shù)據(jù)庫。外部身份認(rèn)證：當(dāng)使用外部身份認(rèn)證時(shí)，用戶的賬戶由Oracle數(shù)據(jù)庫管理，但口令管理和身份驗(yàn)證由外部服務(wù)完成。外部服務(wù)可以是操作系統(tǒng)或網(wǎng)絡(luò)服務(wù)。當(dāng)用戶試圖建立與數(shù)據(jù)庫的連接時(shí)，數(shù)據(jù)庫不會(huì)要求用戶輸入用戶名和口令，而從外部服務(wù)中獲取當(dāng)前用戶的登錄信息。全局身份認(rèn)證：：當(dāng)用戶試圖建立與數(shù)據(jù)庫連接時(shí)，Oracle使用網(wǎng)絡(luò)中的安全管理服務(wù)器（OracleEnterpriseSecurityManager）對(duì)用戶進(jìn)行身份認(rèn)證。Oracle的安全管理服務(wù)器可以提供全局范圍內(nèi)管理數(shù)據(jù)庫用戶的功能。

默認(rèn)表空間當(dāng)用戶在創(chuàng)建數(shù)據(jù)庫對(duì)象時(shí)，如果沒有顯式地指明該對(duì)象在哪個(gè)表空間中存儲(chǔ)，系統(tǒng)會(huì)自動(dòng)將該數(shù)據(jù)庫對(duì)象存儲(chǔ)在當(dāng)前用戶的默認(rèn)表空間中。如果沒有為用戶指定默認(rèn)表空間，則系統(tǒng)將數(shù)據(jù)庫的默認(rèn)表空間作為用戶的默認(rèn)表空間。臨時(shí)表空間當(dāng)用戶進(jìn)行排序、匯總和執(zhí)行連接、分組等操作時(shí)，系統(tǒng)首先使用內(nèi)存中的排序區(qū)SORT_AREA_SIZE，如果該區(qū)域內(nèi)存不夠，則自動(dòng)使用用戶的臨時(shí)表空間。在Oracle10g中，如果沒有為用戶指定臨時(shí)表空間，則系統(tǒng)將數(shù)據(jù)庫的默認(rèn)臨時(shí)表空間作為用戶的臨時(shí)表空間。表空間配額表空間配額限制用戶在永久表空間中可以使用的存儲(chǔ)空間的大小，默認(rèn)情況下，新建用戶在任何表空間中都沒有任何配額。用戶在臨時(shí)表空間中不需要配額。概要文件每個(gè)用戶都必須有一個(gè)概要文件，從會(huì)話級(jí)和調(diào)用級(jí)兩個(gè)層次限制用戶對(duì)數(shù)據(jù)庫系統(tǒng)資源的使用，同時(shí)設(shè)置用戶的口令管理策略。如果沒有為用戶指定概要文件，Oracle將為用戶自動(dòng)指定DEFAULT概要文件。賬戶狀態(tài)在創(chuàng)建用戶的同時(shí)，可以設(shè)定用戶的初始狀態(tài)，包括用戶口令是否過期以及賬戶是否鎖定等。Oracle允許任何時(shí)候?qū)暨M(jìn)行鎖定或解鎖。鎖定賬戶后，用戶就不能與Oracle數(shù)據(jù)庫建立連接，必須對(duì)賬戶解鎖后才允許用戶訪問數(shù)據(jù)庫。12.2.2.創(chuàng)建用戶基本語法CREATEUSERuser_nameIDENTIFIED[BYpassword|EXTERNALLY|GLOBALLYAS'external_name'][DEFAULTTABLESPACEtablespace_name][TEMPORARYTABLESPACEtemp_tablesapce_name][QUOTAnK|M|UNLIMITEDONtablespace_name][PROFILEprofile_name][PASSWORDEXPIRE][ACCOUNTLOCK|UNLOCK];參數(shù)說明user_name：用于設(shè)置新建用戶名，在數(shù)據(jù)庫中用戶名必須是唯一的；IDENTIFIED：用于指明用戶身份認(rèn)證方式；BYpassword：用于設(shè)置用戶的數(shù)據(jù)庫身份認(rèn)證，其中password為用戶口令；EXTERNALLY：用于設(shè)置用戶的外部身份認(rèn)證；GLOBALLYAS'external_name'：用于設(shè)置用戶的全局身份認(rèn)證，其中external_name為Oracle的安全管理服務(wù)器相關(guān)信息；DEFAULTTABLESPACE：用于設(shè)置用戶的默認(rèn)表空間，如果沒有指定，Oracle將數(shù)據(jù)庫默認(rèn)表空間作為用戶的默認(rèn)表空間；TEMPORARYTABLESPACE：用于設(shè)置用戶的臨時(shí)表空間；QUOTA：用于指定用戶在特定表空間上的配額，即用戶在該表空間中可以分配的最大空間；PROFILE：用于為用戶指定概要文件，默認(rèn)值為DEFAULT，采用系統(tǒng)默認(rèn)的概要文件；PASSWORDEXPIRE：用于設(shè)置用戶口令的初始狀態(tài)為過期，用戶在首次登錄數(shù)據(jù)庫時(shí)必須修改口令；ACCOUNTLOCK：用于設(shè)置用戶初始狀態(tài)為鎖定，默認(rèn)為不鎖定；ACCOUNTUNLOCK：用于設(shè)置用戶初始狀態(tài)為不鎖定或解除用戶的鎖定狀態(tài)注意在創(chuàng)建新用戶后，必須為用戶授予適當(dāng)?shù)臋?quán)限，用戶才可以進(jìn)行相應(yīng)的數(shù)據(jù)庫操作。例如，授予用戶CREATESESSION權(quán)限后，用戶才可以連接到數(shù)據(jù)庫。創(chuàng)建數(shù)據(jù)庫用戶示例創(chuàng)建一個(gè)用戶user3，口令為user3，默認(rèn)表空間為USERS，在該表空間的配額為10MB，初始狀態(tài)為鎖定。CREATEUSERuser3IDENTIFIEDBYuser3DEFAULTTABLESPACEUSERSQUOTA10MONUSERSACCOUNTLOCK;創(chuàng)建一個(gè)用戶user4，口令為user4，默認(rèn)表空間為USERS，在該表空間的配額為10MB?？诹钤O(shè)置為過期狀態(tài)，即首次連接數(shù)據(jù)庫時(shí)需要修改口令。概要文件為example_profile（假設(shè)該概要文件已經(jīng)創(chuàng)建）。CREATEUSERuser4IDENTIFIEDBYuser4DEFAULTTABLESPACEUSERSQUOTA10MONUSERSPROFILEexample_profilePASSWORDEXPIRE;

基本語法ALTERUSERuser_name[IDENTIFIED][BYpassword|EXTERNALLY|GLOBALLYAS'external_name'][DEFAULTTABLESPACEtablespace_name][TEMPORARYTABLESPACEtemp_tablesapce_name][QUOTAnK|M|UNLIMITEDONtablespace_name][PROFILEprofile_name][DEFAULTROLErole_list|ALL[EXCEPTrole_list]|NONE][PASSWORDEXPIRE][ACCOUNTLOCK|UNLOCK];12.2.3修改用戶參數(shù)說明role_list：角色列表；ALL：表示所有角色；EXCEPTrole_list：表示除了role_list列表中的角色之外的其他角色；NONE：表示沒有默認(rèn)角色。注意，指定的角色必須是使用GRANT命令直接授予該用戶的角色。修改數(shù)據(jù)庫用戶示例將用戶user3的口令修改為newuser3，同時(shí)將該用戶解鎖。ALTERUSERuser3IDENTIFIEDBYnewuser3ACCOUNTUNLOCK;修改用戶user4的默認(rèn)表空間為ORCLTBS1，在該表空間的配額為20MB，在USERS表空間的配額為10MB。ALTERUSERuser4DEFAULTTABLESPACEORCLTBS1QUOTA20MONORCLTBS1QUOTA10MONUSERS;

用戶的鎖定與解鎖某個(gè)用戶暫時(shí)離開工作某個(gè)用戶永久離開工作DBA創(chuàng)建的特殊用戶帳戶示例ALTERUSERuser3ACCOUNTLOCK;ALTERUSERuser3ACCOUNTUNLOCK;12.2.4刪除用戶基本語法DROPUSERuser_name[CASCADE];步驟先刪除用戶所擁有的對(duì)象再刪除用戶將參照該用戶對(duì)象的其他數(shù)據(jù)庫對(duì)象標(biāo)志為INVALID12.2.5查詢用戶信息ALL_USERS：包含數(shù)據(jù)庫所有用戶的用戶名、用戶ID和用戶創(chuàng)建時(shí)間。DBA_USERS：包含數(shù)據(jù)庫所有用戶的詳細(xì)信息。USER_USERS：包含當(dāng)前用戶的詳細(xì)信息。DBA_TS_QUOTAS：包含所有用戶的表空間配額信息。USER_TS_QUOTAS：包含當(dāng)前用戶的表空間配額信息。V$SESSION：包含用戶會(huì)話信息。V$OPEN_CURSOR：包含用戶執(zhí)行的SQL語句信息。查看數(shù)據(jù)庫所有用戶名及其默認(rèn)表空間。SELECTSERNAME,DEFAULT_TABLESPACEFROMDBA_USERS;查看數(shù)據(jù)庫中各用戶的登錄時(shí)間、會(huì)話號(hào)。SELECTSID,SERIAL#,LOGON_TIME,USERNAMEFROMV$SESSION;12.3權(quán)限管理權(quán)限管理概述系統(tǒng)權(quán)限管理對(duì)象權(quán)限管理查詢權(quán)限信息12.3.1權(quán)限管理概述概念所謂權(quán)限就是執(zhí)行特定類型SQL命令或訪問其他用戶的對(duì)象的權(quán)利。用戶在數(shù)據(jù)庫中可以執(zhí)行什么樣的操作，以及可以對(duì)哪些對(duì)象進(jìn)行操作，完全取決于該用戶所擁有的權(quán)限。分類系統(tǒng)權(quán)限：系統(tǒng)權(quán)限是指在數(shù)據(jù)庫級(jí)別執(zhí)行某種操作的權(quán)限，或針對(duì)某一類對(duì)象執(zhí)行某種操作的權(quán)限。例如，CREATESESSION權(quán)限、CREATEANYTABLE權(quán)限。對(duì)象權(quán)限：對(duì)象權(quán)限是指對(duì)某個(gè)特定的數(shù)據(jù)庫對(duì)象執(zhí)行某種操作的權(quán)限。例如，對(duì)特定表的插入、刪除、修改、查詢的權(quán)限。授權(quán)方法直接授權(quán)：利用GRANT命令直接為用戶授權(quán)。間接授權(quán)：先將權(quán)限授予角色，然后再將角色授予用戶。12.3.2系統(tǒng)權(quán)限管理系統(tǒng)權(quán)限分類系統(tǒng)權(quán)限的授權(quán)系統(tǒng)權(quán)限的回收（1）系統(tǒng)權(quán)限分類一類是對(duì)數(shù)據(jù)庫某一類對(duì)象的操作能力，通常帶有ANY關(guān)鍵字。例如，CREATEANYINDEX，ALTERANYINDEX，DROPANYINDEX。另一類系統(tǒng)權(quán)限是數(shù)據(jù)庫級(jí)別的某種操作能力。例如，CREATESESSION。（2）系統(tǒng)權(quán)限的授權(quán)語法為GRANTsys_priv_listTOuser_list|role_list|PUBLIC[WITHADMINOPTION];參數(shù)說明：sys_priv_list：表示系統(tǒng)權(quán)限列表，以逗號(hào)分隔；user_list：表示用戶列表，以逗號(hào)分隔；role_list：表示角色列表，以逗號(hào)分隔；PUBLIC：表示對(duì)系統(tǒng)中所有用戶授權(quán)；WITHADMINOPTION：表示允許系統(tǒng)權(quán)限接收者再把此權(quán)限授予其他用戶。系統(tǒng)權(quán)限授予時(shí)需要注意的幾點(diǎn)：只有DBA才應(yīng)當(dāng)擁有ALTERDATABASE系統(tǒng)權(quán)限。應(yīng)用程序開發(fā)者一般需要擁有CREATETABLE、CREATEVIEW和CREATEINDEX等系統(tǒng)權(quán)限。普通用戶一般只具有CREATESESSION系統(tǒng)權(quán)限。只有授權(quán)時(shí)帶有WITHADMINOPTION子句時(shí)，用戶才可以將獲得的系統(tǒng)權(quán)限再授予其他用戶，即系統(tǒng)權(quán)限的傳遞性。為PUBLIC用戶組授予CREATESESSION系統(tǒng)權(quán)限。GRANTCREATESESSIONTOPUBLIC;為用戶user1授予CREATESESSION，CREATETABLE，CREATEINDEX系統(tǒng)權(quán)限。GRANTCREATESESSION,CREATETABLE,CREATEVIEWTOuser1;為用戶user2授予CREATESESSION，CREATETABLE，CREATEINDEX系統(tǒng)權(quán)限。user2獲得權(quán)限后，為用戶user3授予CREATETABLE權(quán)限。GRANTCREATESESSION,CREATETABLE,CREATEVIEWTOuser2WITHADMINOPTION;CONNECTuser2/user2@ORCLGRANTCREATETABLETOuser3;語法為REVOKEsys_priv_listFROMuser_list|role_list|PUBLIC;;注意事項(xiàng)多個(gè)管理員授予用戶同一個(gè)系統(tǒng)權(quán)限后，其中一個(gè)管理員回收其授予該用戶的系統(tǒng)權(quán)限時(shí)，該用戶將不再擁有相應(yīng)的系統(tǒng)權(quán)限。為了回收用戶系統(tǒng)權(quán)限的傳遞性（授權(quán)時(shí)使用了WITHADMINOPTION子句），必須先回收其系統(tǒng)權(quán)限，然后再授予其相應(yīng)的系統(tǒng)權(quán)限。如果一個(gè)用戶獲得的系統(tǒng)權(quán)限具有傳遞性，并且給其他用戶授權(quán)，那么該用戶系統(tǒng)權(quán)限被回收后，其他用戶的系統(tǒng)權(quán)限并不受影響。（3）系統(tǒng)權(quán)限的回收

12.3對(duì)象權(quán)限管理對(duì)象權(quán)限分類對(duì)象權(quán)限的授權(quán)對(duì)象權(quán)限的回收（1）對(duì)象權(quán)限分類在Oracle數(shù)據(jù)庫中共有9種類型的對(duì)象權(quán)限，不同類型的模式對(duì)象有不同的對(duì)象權(quán)限，而有的對(duì)象并沒有對(duì)象權(quán)限，只能通過系統(tǒng)權(quán)限進(jìn)行控制，如簇、索引、觸發(fā)器、數(shù)據(jù)庫鏈接等。對(duì)象權(quán)限適合對(duì)象對(duì)象權(quán)限功能說明SELECT表、視圖、序列查詢數(shù)據(jù)操作UPDATE表、視圖更新數(shù)據(jù)操作DELETE表、視圖刪除數(shù)據(jù)操作INSERT表、視圖插入數(shù)據(jù)操作REFERENCES表在其他表中創(chuàng)建外鍵時(shí)可以引用該表EXECUTE存儲(chǔ)過程、函數(shù)、包執(zhí)行PL/SQL存儲(chǔ)過程、函數(shù)和包READ目錄讀取目錄ALTER表、序列修改表或序列結(jié)構(gòu)INDEX表為表創(chuàng)建索引ALL具有對(duì)象權(quán)限的所有模式對(duì)象某個(gè)對(duì)象所有對(duì)象權(quán)限操作集合（2）對(duì)象權(quán)限的授權(quán)

語法GRANTobj_priv_list|ALLON[schema.]objectTOuser_list|role_list[WITHGRANTOPTION];參數(shù)說明obj_priv_list：表示對(duì)象權(quán)限列表，以逗號(hào)分隔；[schema.]object：表示指定的模式對(duì)象，默認(rèn)為當(dāng)前模式中的對(duì)象；user_list：表示用戶列表，以逗號(hào)分隔；role_list：表示角色列表，以逗號(hào)分隔；WITHGRANTOPTION：表示允許對(duì)象權(quán)限接收者把此對(duì)象權(quán)限授予其他用戶。將scott模式下的emp表的SELECT，UPDATE，INSERT權(quán)限授予user1用戶。GRANTSELECT,INSERT,UPDATEONscott.empTOuser1;將scott模式下的emp表的SELECT，UPDATE，INSERT權(quán)限授予user2用戶。user2用戶再將emp表的SELECT，UPDATE權(quán)限授予user3用戶。GRANTSELECT,INSERT,UPDATEONscott.empTOuser2WITHGRANTOPTION;CONNECTuser2/user2@ORCLGRANTSELECT,UPDATEONscott.empTOuser3;語法REVOKEobj_priv_list|ALLON[schema.]objectFROMuser_list|role_list;注意事項(xiàng)多個(gè)管理員授予用戶同一個(gè)對(duì)象權(quán)限后，其中一個(gè)管理員回收其授予該用戶的對(duì)象權(quán)限時(shí)，該用戶不再擁有相應(yīng)的對(duì)象權(quán)限。為了回收用戶對(duì)象權(quán)限的傳遞性（授權(quán)時(shí)使用了WITHGRANTOPTION子句），必須先回收其對(duì)象權(quán)限，然后再授予其相應(yīng)的對(duì)象權(quán)限。如果一個(gè)用戶獲得的對(duì)象權(quán)限具有傳遞性（授權(quán)時(shí)使用了WITHGRANTOPTION子句），并且給其他用戶授權(quán)，那么該用戶的對(duì)象權(quán)限被回收后，其他用戶的對(duì)象權(quán)限也被回收。（3）對(duì)象權(quán)限的回收

WITHADMINOPTION當(dāng)甲用戶授權(quán)給乙用戶，且激活該選項(xiàng)，則被授權(quán)的乙用戶具有管理該權(quán)限的能力：或者能把得到的權(quán)限再授給其他用戶丙，或者能回收授出去的權(quán)限。當(dāng)甲用戶收回乙用戶的權(quán)限后，乙用戶曾經(jīng)授給丙用戶的權(quán)限仍然存在與WITHGRANTOPTION比較當(dāng)甲用戶授權(quán)給乙用戶，且激活該選項(xiàng)，則被授權(quán)的乙用戶具有管理該權(quán)限的能力：或者能把得到的權(quán)限再授給其他用戶丙，或者能回收授出去的權(quán)限。當(dāng)甲用戶收回乙用戶的權(quán)限后，乙用戶曾經(jīng)授給丙用戶的權(quán)限也被回收。

WITHADMINOPTIONDBAGRANTREVOKEJeffEmiJeffEmiDBAGRANTREVOKEWITHGRANTOPTIONBobJeffEmiEmiJeffBob12.3.4查詢權(quán)限信息DBA_TAB_PRIVS：包含數(shù)據(jù)庫所有對(duì)象的授權(quán)信息ALL_TAB_PRIVS：包含數(shù)據(jù)庫所有用戶和PUBLIC用戶組的對(duì)象授權(quán)信息USER_TAB_PRIVS：包含當(dāng)前用戶對(duì)象的授權(quán)信息DBA_COL_PRIVS：包含所有字段已授予的對(duì)象權(quán)限ALL_COL_PRIVS：包含所有字段已授予的對(duì)象權(quán)限信息USER_COL_PRIVS：包含當(dāng)前用戶所有字段已授予的對(duì)象權(quán)限信息。DBA_SYS_PRIVS：包含授予用戶或角色的系統(tǒng)權(quán)限信息USER_SYS_PRIVS：包含授予當(dāng)前用戶的系統(tǒng)權(quán)限信。12.4角色管理Oracle數(shù)據(jù)庫角色概述預(yù)定義角色自定義角色利用角色進(jìn)行權(quán)限管理查詢角色信息12.4.1Oracle數(shù)據(jù)庫角色概述角色的概念所謂角色就是一系列相關(guān)權(quán)限的集合12.4.2預(yù)定義角色預(yù)定義角色概述預(yù)定義角色是指在Oracle數(shù)據(jù)庫創(chuàng)建時(shí)由系統(tǒng)自動(dòng)創(chuàng)建的一些常用的角色，這些角色已經(jīng)由系統(tǒng)授予了相應(yīng)的權(quán)限。DBA可以直接利用預(yù)定義的角色為用戶授權(quán)，也可以修改預(yù)定義角色的權(quán)限。Oracle數(shù)據(jù)庫中有30多個(gè)預(yù)定義角色。可以通過數(shù)據(jù)字典視圖DBA_ROLES查詢當(dāng)前數(shù)據(jù)庫中所有的預(yù)定義角色，通過DBA_SYS_PRIVS查詢各個(gè)預(yù)定義角色所具有的系統(tǒng)權(quán)限。角色角色具有的部分權(quán)限CONNECTCREATEDATABASE_LINK，CREATESESSION，ALTERSESSION，CREATETABLE，CREATECLUSTER，CREATESEQUENCE，CREATESYNONYM，CREATEVIEWRESOURCECREATECLUSTER，CREATEOPERATOR，CREATETRIGGER，CREATETYPE，CREATESEQUENCE，CREATEINDEXTYPE，CREATEPROCEDURE，CREATETABLEDBAADMINISTERDATABSETRIGGER，ADMINISTERRESOURCEMANAGE，CREATE…，CREATEANY…，ALTER…，ALTERANY…，DROP…，DROPANY…，EXECUTE…，EXECUTEANY…EXP_FULL_DATABASEADMINISTERRESOURCEMANAGE，BACKUPANYTABLE，EXECUTEANYPROCEDURE，SELECTANYTABLE，EXECUTEANYTYPEIMP_FULL_DATABASEADMINISTERDATABSETRIGGER，ADMINISTERRESOURCEMANAGE，CREATEANY…，ALTERANY…，DROP…，DROPANY…，EXECUTEANY…12.4.3自定義角色創(chuàng)建角色角色權(quán)限的授予與回收修改角色角色的生效與失效刪除角色（1）創(chuàng)建角色

語法為CREATEROLErole_name[NOTIDENTIFIED][IDENTIFIEDBYpassword];參數(shù)說明role_name：用于指定自定義角色名稱，該名稱不能與任何用戶名或其他角色相同；NOTIDENTIFIED：用于指定該角色由數(shù)據(jù)庫授權(quán)，使該角色生效時(shí)不需要口令；IDENTIFIEDBYpassword：用于設(shè)置角色生效時(shí)的認(rèn)證口令。例如，創(chuàng)建不同類型的角色。CREATEROLEhigh_manager_role;CREATEROLEmiddle_manager_roleIDENTIFIEDBYmiddlerole;CREATEROLElow_manager_roleIDENTIFIEDBYlowrole;（2）角色權(quán)限的授予與回收

說明給角色授予適當(dāng)?shù)南到y(tǒng)權(quán)限、對(duì)象權(quán)限或已有角色。在數(shù)據(jù)庫運(yùn)行過程中，可以為角色增加權(quán)限，也可以回收其權(quán)限。給角色授權(quán)時(shí)應(yīng)該注意，一個(gè)角色可以被授予另一個(gè)角色，但不能授予其本身，不能產(chǎn)生循環(huán)授權(quán)。示例GRANTCONNECT,CREATETABLE,CREATEVIEWTOlow_manager_role;GRANTCONNECT,CREATETABLE,CREATEVIEWTOmiddle_manager_role;GRANTCONNECT,RESOURCE,DBATOhigh_manager_role;GRANTSELECT,UPDATE,INSERT,DELETEONscott.empTOhigh_manager_role;REVOKECONNECTFROMlow_manager_role;REVOKECREATETABLE,CREATEVIEWFROMmiddle_manager_role;REVOKEUPDATE,DELETE,INSERTONscott.empFROMhigh_manager_role;（3）修改角色概念修改角色是指修改角色生效或失效時(shí)的認(rèn)證方式，也就是說，是否必須經(jīng)過Oracle確認(rèn)才允許對(duì)角色進(jìn)行修改。修改角色的語法ALTERROLErole_name[NOTIDENTIFIED]|[IDENTIFIEDBYpassword]；示例ALTERROLEhigh_manager_roleIDENTIFIEDBYhighrole;ALTERROLEmiddle_manager_roleNOTIDENTIFIED;（4）角色的生效與失效

概念所謂角色的失效是指角色暫時(shí)不可用。當(dāng)一個(gè)角色生效或失效時(shí)，用戶從角色中獲得的權(quán)限也生效或失效。因此，通過設(shè)置角色的生效或失效，可以動(dòng)態(tài)改變用戶的權(quán)限。在進(jìn)行角色生效或失效設(shè)置時(shí)，需要輸入角色的認(rèn)證口令，避免非法設(shè)置。語法SETROLE[role_name[IDENTIFIEDBYpassword]]|[ALL[EXCEPTrole_name]]|[NONE];參數(shù)說明role_name：表示進(jìn)行生效或失效設(shè)置的角色名稱；IDENTIFIEDBYpassword：用于設(shè)置角色生效或失效時(shí)的認(rèn)證口令；ALL：表示使當(dāng)前用戶所有角色生效；EXCEPTrole_name：表示除了特定角色外，其余所有角色生效；NONE：表示使當(dāng)前用戶所有角色失效。示例SETROLENONE;SETROLEhigh_manager_roleIDENTIFIEDBYhighrole;SETROLEmiddle_manager_role,low_manager_lowIDENTIFIEDBYlowrole;SETROLEALLEXCEPTlow_manager_role,middle_manager_role;（5）刪除角色語法結(jié)構(gòu)DROPROLErole_name;說明如果某個(gè)角色不再需要，則可以使用DROPROLE語句刪除角色。角色被刪除后，用戶通過該角色獲得的權(quán)限被回收。12.4.4利用角色進(jìn)行權(quán)限管理給用戶或角色授予角色從用戶或角色回收角色用戶角色的激活或屏蔽（1）給用戶或角色授予角色語法GRANTrole_listTOuser_list|role_list；例如，將CONNECT，high_manager_role角色授予用戶user1，將RESOURCE，CONNECT角色授予角色middle_manager_role。GRANTCONNECT,high_manager_roleTOuser1;GRANTRESOURCE,CONNECTTOmiddle_manager_role;（2）從用戶或角色回收角色語法為REVOKErole_listFROMuser_list|role_list；例如，回收角色middle_manager_role的RESOURCE，CONNECT角色。SQL>REVOKERESOURCE,CONNECTFROMmiddle_manager_role;（3）用戶角色的激活或屏蔽語法為ALTERUSERuser_nameDEFAULTROLE[role_name]|[ALL[EXCEPTrole_name]]|[NONE];示例ALTERUSERuser1DEFAULTROLENONE;ALTERUSERuser1DEFAULTROLECONNECT,DBA;ALTERUSERuser1DEFAULTROLEALL;ALTERUSERuser1DEFAULTROLEALLEXCEPTDBA;12.4.5查詢角色信息DBA_ROLES：包含數(shù)據(jù)庫中所有角色及其描述；DBA_ROLE_PRIVS：包含為數(shù)據(jù)庫中所有用戶和角色授予的角色信息；USER_ROLE_PRIVS：包含為當(dāng)前用戶授予的角色信息；ROLE_ROLE_PRIVS：為角色授予的角色信息；ROLE_SYS_PRIVS：為角色授予的系統(tǒng)權(quán)限信息；ROLE_TAB_PRIVS：為角色授予的對(duì)象權(quán)限信息；SESSION_PRIVS：當(dāng)前會(huì)話所具有的系統(tǒng)權(quán)限信息；SESSION_ROLES：當(dāng)前會(huì)話所具有的角色信息。。查詢角色CONNECT所具有的系統(tǒng)權(quán)限信息。SELECT*FROMROLE_SYS_PRIVSWHEREROLE='CONNECT';查詢DBA角色被授予的角色信息。SELECT*FROMROLE_ROLE_PRIVSWHEREROLE='DBA';12.5概要文件管理概要文件概述概要文件中參數(shù)介紹概要文件的管理12.5.1概要文件概述概要文件的作用資源限制級(jí)別和類型啟用或停用資源限制（1）概要文件的作用概要文件（PROFILE）是數(shù)據(jù)庫和系統(tǒng)資源限制的集合，是Oracle數(shù)據(jù)庫安全策略的重要組成部分。利用概要文件，可以限制用戶對(duì)數(shù)據(jù)庫和系統(tǒng)資源的使用，同時(shí)還可以對(duì)用戶口令進(jìn)行管理。。在Oracle數(shù)據(jù)庫創(chuàng)建的同時(shí)，系統(tǒng)會(huì)創(chuàng)建一個(gè)名為DEFAULT的默認(rèn)概要文件。如果沒有為用戶顯式地指定一個(gè)概要文件，系統(tǒng)默認(rèn)將DEFAULT概要文件作為用戶的概要文件。（2）資源限制級(jí)別和類型

資源限制級(jí)別會(huì)話級(jí)資源限制：對(duì)用戶在一個(gè)會(huì)話過程中所能使用的資源進(jìn)行限制。調(diào)用級(jí)資源限制：對(duì)一條SQL語句在執(zhí)行過程中所能使用的資源進(jìn)行限制。資源限制類型

CPU使用時(shí)間；邏輯讀；每個(gè)用戶的并發(fā)會(huì)話數(shù)；用戶連接數(shù)據(jù)庫的空閑時(shí)間；用戶連接數(shù)據(jù)庫的時(shí)間；私有SQL區(qū)和PL/SQL區(qū)的使用。（3）啟用或停用資源限制

在數(shù)據(jù)庫啟動(dòng)前啟用或停用資源限制將數(shù)據(jù)庫初始化參數(shù)文件中的參數(shù)RESOURCE_LIMIT的值設(shè)置為TRUE或FALSE（默認(rèn)），來啟用或停用系統(tǒng)資源限制。在數(shù)據(jù)庫啟動(dòng)后啟用或停用資源限制使用ALTERSYSTEM語句修改RESOURCE_LIMIT的參數(shù)值為TRUE或FALSE，來啟動(dòng)或關(guān)閉系統(tǒng)資源限制。ALTERSYSTEMSETRESOURCE_LIMIT=TRUE;12.5.2概要文件中參數(shù)資源限制參數(shù)口令管理參數(shù)（1）資源限制參數(shù)CPU_PER_SESSION：限制用戶在一次會(huì)話期間可以占用的CPU時(shí)間總量，單位為百分之一秒。當(dāng)達(dá)到該時(shí)間限制后，用戶就不能在會(huì)話中執(zhí)行任何操作了，必須斷開連接，然后重新建立連接。CPU_PER_CALL：限制每個(gè)調(diào)用可以占用的CPU時(shí)間總量，單位為百分之一秒。當(dāng)一個(gè)SQL語句執(zhí)行時(shí)間達(dá)到該限制后，該語句以錯(cuò)誤信息結(jié)束。CONNECT_TIME：限制每個(gè)會(huì)話可持續(xù)的最大時(shí)間值，單位為分鐘。當(dāng)數(shù)據(jù)庫連接持續(xù)時(shí)間超出該設(shè)置時(shí)，連接被斷開。IDLE_TIME：限制每個(gè)會(huì)話處于連續(xù)空閑狀態(tài)的最大時(shí)間值，單位為分鐘。當(dāng)會(huì)話空閑時(shí)間超過該設(shè)置時(shí)，連接被斷開。SESSIONS_PER_USER：限制一個(gè)用戶打開數(shù)據(jù)庫會(huì)話的最大數(shù)量。LOGICAL_READS_PER_SESSION：允許一個(gè)會(huì)話讀取數(shù)據(jù)塊的最大數(shù)量，包括從內(nèi)存中讀取的數(shù)據(jù)塊和從磁盤中讀取的數(shù)據(jù)塊的總和。LOGICAL_READS_PER_CALL：允許一個(gè)調(diào)用讀取的數(shù)據(jù)塊的最大數(shù)量，包括從內(nèi)存中讀取的數(shù)據(jù)塊和從磁盤中讀取的數(shù)據(jù)塊的總和。PRIVATE_SGA：在共享服務(wù)器操作模式中，執(zhí)行SQL語句或PL/SQL程序時(shí)，Oracle將在SGA中創(chuàng)建私有SQL區(qū)。該參數(shù)限制在SGA中一個(gè)會(huì)話可分配私有SQL區(qū)的最大值。COMPOSITE_LIMIT：稱為“綜合資源限制”，是一個(gè)用戶會(huì)話可以消耗的資源總限額。該參數(shù)由CPU_PER_SESSION，LOGICAL_READS_PER_SESSION，PRIVATE_SGA，CONNECT_TIME幾個(gè)參數(shù)綜合決定。（2）口令管理參數(shù)FAILED_LOGIN_ATTEMPTS：限制用戶在登錄Oracle數(shù)據(jù)庫時(shí)允許失敗的次數(shù)。一個(gè)用戶嘗試登錄數(shù)據(jù)庫的次數(shù)達(dá)到該值時(shí)，該用戶的賬戶將被鎖定，只有解鎖后才可以繼續(xù)使用。PASSWORD_LOCK_TIME：設(shè)定當(dāng)用戶登錄失敗后，用戶賬戶被鎖定的時(shí)間長度。PASSWORD_LIFE_TIME：設(shè)置用戶口令的有效天數(shù)。達(dá)到限制的天數(shù)后，該口令將過期，需要設(shè)置新口令。PASSWORD_GRACE_TIME：用于設(shè)定提示口令過期的天數(shù)。在這幾天中，用戶將接收到一個(gè)關(guān)于口令過期需要修改口令的警告。當(dāng)達(dá)到規(guī)定的天數(shù)后，原口令過期。PASSWORD_REUSE_TIME：指定一個(gè)用戶口令被修改后，必須經(jīng)過多少天后才可以重新使用該口令。PASSWORD_REUSE_MAX：指定一個(gè)口令被重新使用前，必須經(jīng)過多少次修改。PASSWORD_VERIFY_FUNCTION：設(shè)置口令復(fù)雜性校驗(yàn)函數(shù)。該函數(shù)會(huì)對(duì)口令進(jìn)行校驗(yàn)，以判斷口令是否符合最低復(fù)雜程度或其他校驗(yàn)規(guī)則。12.5.3概要文件管理創(chuàng)建概要文件將概要文件分配給用戶修改概要文件刪除概要文件查詢概要文件（1）創(chuàng)建概要文件

語法為CREATEPROFILEprofile_nameLIMITresource_parameters|password_parameters;參數(shù)說明如下。profile_name：用于指定要?jiǎng)?chuàng)建的概要文件名稱；resource_parameter：用于設(shè)置資源限制參數(shù)，形式為resource_parameter_nameinteger|UNLIMITED|DEFALUTpassword_parameters：用于設(shè)置口令參數(shù)，形式為password_parameter_nameinteger|UNLIMITED|DEFALUT創(chuàng)建一個(gè)名為res_profile的概要文件，要求每個(gè)用戶最多可以創(chuàng)建4個(gè)并發(fā)會(huì)話；每個(gè)會(huì)話持續(xù)時(shí)間最長為60分鐘；如果會(huì)話在連續(xù)20分鐘內(nèi)空閑，則結(jié)束會(huì)話；每個(gè)會(huì)話的私有SQL區(qū)為100KB；每個(gè)SQL語句占用CPU時(shí)間總量不超過10秒。CREATEPROFILEres_profileLIMITSESSIONS_PER_USER4CONNECT_TIME60IDLE_TIME20PRIVATE_SGA100KCPU_PER_CALL100;創(chuàng)建一個(gè)名為pwd_profile的概要文件，如果用戶連續(xù)4次登錄失敗，則鎖定該賬戶，10天后該賬戶自動(dòng)解鎖。CREATEPROFILEpwd_profileLIMITFAILED_LOGIN_ATTEMPTS4PASSWORD_LOCK_TIME10；（2）將概要文件分配給用戶

可以在創(chuàng)建用戶時(shí)為用戶指定概要文件CREATEUSERuser5IDENTIFIEDBYuser5PROFILEres_profile;也可以在修改用戶時(shí)為用戶指定概要文件。ALTERUSERuser5PROFILEpwd_profile;（3）修改概要文件

語法為ALTERPROFILEprofile_nameLIMITresource_parameters|password_parameters;注意對(duì)概要文件的修改只有在用戶開始一個(gè)新的會(huì)話時(shí)才會(huì)生效。修改pwd_profile概要文件，將用戶口令有效期設(shè)置為10天。ALTERPROFILEpwd_profileLIMITPASSWORD_LIFE_TIME10;（4）刪除概要文件

語法DROPPROFILEprofile_name[CASCADE];注意如果要?jiǎng)h除的概要文件已經(jīng)指定給用戶，則必須在DROPPROFILE語句中使用CASCADE子句。如果為用戶指定的概要文件被刪除，則系統(tǒng)自動(dòng)將DEFAULT概要文件指定給該用戶。刪除概要文件pwd_profile。DROPPROFILEpwd_profileCASCADE;（5）查詢概要文件USER_PASSWORD_LIMITS：包含通過概要文件為用戶設(shè)置的口令策略信息。USER_RESOURCE_LIMITS：包含通過概要文件為用戶設(shè)置的資源限制參數(shù)。DBA_PROFILES：包含所有概要文件的基本信息。12.6審計(jì)審計(jì)概述語句審計(jì)權(quán)限審計(jì)對(duì)象審計(jì)精細(xì)審計(jì)12.6.1審計(jì)概述審計(jì)的概念審計(jì)分類審計(jì)的啟動(dòng)（1）審計(jì)的概念

審計(jì)是監(jiān)視和記錄用戶對(duì)數(shù)據(jù)庫所進(jìn)行的操作，以供DBA進(jìn)行統(tǒng)計(jì)和分析。利用審計(jì)可以完成下列任務(wù)：調(diào)查數(shù)據(jù)庫中的可疑活動(dòng)。監(jiān)視和收集特定數(shù)據(jù)庫活動(dòng)的數(shù)據(jù)。一條審計(jì)記錄中包含用戶名、會(huì)話標(biāo)識(shí)、終端標(biāo)識(shí)、所訪問的模式對(duì)象名稱、執(zhí)行的操作、操作的完整語句代碼、日期和時(shí)間戳、所使用的系統(tǒng)權(quán)限等。（2）審計(jì)分類

語句審計(jì)（StatementAuditing）：對(duì)特定的SQL語句進(jìn)行審計(jì)，不指定具體對(duì)象。權(quán)限審計(jì)（PrivilegeAuditing）：對(duì)特定的系統(tǒng)權(quán)限使用情況進(jìn)行審計(jì)。對(duì)象審計(jì)（ObjectAuditing）：對(duì)特定的模式對(duì)象上執(zhí)行的特定語句進(jìn)行審計(jì)。精細(xì)審計(jì)（Fine-GrainedAuditing，F(xiàn)GA）：對(duì)基于內(nèi)容的各種SQL語句進(jìn)行審計(jì)，可以使用布爾表達(dá)式對(duì)列級(jí)別上的內(nèi)容進(jìn)行審計(jì)。根據(jù)用戶執(zhí)行的語句是否成功，審計(jì)分為：成功執(zhí)行語句的審計(jì)不成功執(zhí)行語句的審計(jì)無論語句是否執(zhí)行成功都進(jìn)行審計(jì)根據(jù)對(duì)同一個(gè)語句審計(jì)次數(shù)的不同，審計(jì)分為：會(huì)話級(jí)審計(jì)：對(duì)某一個(gè)用戶或所有用戶的同一個(gè)語句只審計(jì)一次，形成一條審計(jì)記錄；存取方式審計(jì)：對(duì)某一個(gè)用戶或所有用戶的同一個(gè)語句每執(zhí)行一次便審計(jì)一次，即同一條語句形成多個(gè)審計(jì)記錄。（3）審計(jì)的啟動(dòng)通過修改靜態(tài)參數(shù)AUDIT_TRAIL值來啟動(dòng)或關(guān)閉數(shù)據(jù)庫的審計(jì)功能。AUDIT_TRAIL參數(shù)可以取值：為DB，OS，NONE，TRUE，F(xiàn)ALSE，DB_EXTENDED，XML或EXTENDED。DB表示啟動(dòng)審計(jì)功能，審計(jì)信息寫入SYS.AUD$數(shù)據(jù)字典中；OS表示啟動(dòng)審計(jì)功能，審計(jì)信息寫入操作系統(tǒng)文件中；默認(rèn)為NONE，表示不啟動(dòng)審計(jì)功能；TRUE功能與DB選項(xiàng)一樣；FALSE表示不啟動(dòng)審計(jì)功能，但Oracle會(huì)監(jiān)視特定活動(dòng)并寫入操作系統(tǒng)文件，如例程的啟動(dòng)、關(guān)閉以及DBA連接數(shù)據(jù)庫等。通過SQL*Plus環(huán)境啟動(dòng)數(shù)據(jù)庫的審計(jì)功能。ALTERSYSTEMSETaudit_trail='DB'SCOPE=SPFILE;SHUTDOWNIMMEDIATESTARTUP通過OEM數(shù)據(jù)庫控制臺(tái)啟動(dòng)數(shù)據(jù)庫的審計(jì)功能。12.6.2語句審計(jì)概念語句審計(jì)是指對(duì)特定類型的SQL語句進(jìn)行審計(jì)，與具體的對(duì)象沒有關(guān)系?？梢詫徲?jì)某個(gè)用戶或所有用戶的SQL語句；可以是會(huì)話級(jí)審計(jì)或存取方式審計(jì)；可以對(duì)成功執(zhí)行的SQL語句、沒有成功執(zhí)行的SQL語句或無論是否成功執(zhí)行的SQL語句進(jìn)行審計(jì)。語句審計(jì)的基本語法為AUDITsql_statement|sql_statement_option[BYuser1,user2…][BYSESSION|ACCESS][WHENEVER[NOT]SUCCESSFUL]參數(shù)說明sql_statement：被審計(jì)的SQL語句sql_statement_option：被審計(jì)的SQL語句選項(xiàng)BYuser：指定審計(jì)的用戶，如果沒有指定，則審計(jì)所有用戶；BYSESSION：語句級(jí)審計(jì)，同一個(gè)SQL語句只審計(jì)一次（默認(rèn)）；BYACCESS：存取方式審計(jì)，同一個(gè)SQL語句執(zhí)行幾次審計(jì)幾次；WHENEVERSUCCESSFUL：只審計(jì)成功的SQL語句；WHENEVERNOTSUCCESSFUL：只審計(jì)不成功的SQL語句。示例AUDITTABLEBYscottBYACCESS;SQL>AUDITVIEWBYscottBYSESSION;SQL>AUDITALTERTABLEBYscott,sfdBYSESSIONWHENEVERSUCCESSFUL;SQL>AUDITSESSIONBYsfd;

SQL>CONNscott/tigerSQL>CREATETABLEtest_audit(snoNUMBER,snameCHAR(20));SQL>ALTERTABLEtest_auditADD(sexCHAR(2));SQL>CONN/ASSYSDBASQL>SELECT*FROMaud$;如果要了解當(dāng)前數(shù)據(jù)庫對(duì)哪些用戶進(jìn)行了語句審計(jì)，以及審計(jì)設(shè)置信息，可以通過查詢數(shù)據(jù)字典視圖DBA_STMT_AUDIT_OPTS獲得。SELECTuser_name,audit_option,successFROMdba_stmt_audit_opts;

取消對(duì)某個(gè)語句的審計(jì)，只需將AUDIT命令改為NOAUDIT命令就可以了。12.6.3權(quán)限審計(jì)概念權(quán)限審計(jì)是指對(duì)特定系統(tǒng)權(quán)限的使用情況進(jìn)行審計(jì)。語法AUDITsystem_privilege[BYuser1,user2…][BYSESSION|ACCESS][WHENEVER[NOT]SUCCESSFUL]示例AUDITCREATEANYTABLE,CREATEANYVIEWBYscott,sfd;AUDITALTERANYTABLEBYsfdBYSESSIONWHENEVERSUCCESSFUL;如果要了解當(dāng)前數(shù)據(jù)庫對(duì)哪些用戶的系統(tǒng)權(quán)限進(jìn)行了審計(jì)以及審計(jì)設(shè)置信息，可以通過查詢數(shù)據(jù)字典DBA_PRIV_AUDIT_OPTS獲得。SELECTuser_name,privilege,successFROMdba_priv_audit_opts;取消對(duì)某個(gè)系統(tǒng)權(quán)限的審計(jì)，只需將AUDIT命令改為NOAUDIT命令就可以了。12.6.4對(duì)象審計(jì)概念對(duì)象審計(jì)是指對(duì)特定模式對(duì)象執(zhí)行的特點(diǎn)操作進(jìn)行審計(jì)，與用戶沒有關(guān)系。語法為AUDITobject_privilegeONschema.object_name[BYuser1,user2…][BYSESSION|ACCESS][WHENEVER[NOT]SUCCESSFUL]參數(shù)說明object_privilege：特定的對(duì)象權(quán)限schema.object_name：特定模式對(duì)象。

對(duì)scott模式下的emp表、dept表進(jìn)行審計(jì)。AUDITSELECT,UPDATEONscott.empBYACCESS;AUDITINSERT,DELETEONscott.deptBYSESSIONWHENEVERNOTSUCCESSFUL;如果要了解當(dāng)前數(shù)據(jù)庫對(duì)哪些模式對(duì)象進(jìn)行了審計(jì)以及審計(jì)設(shè)置信息，可以通過查詢數(shù)據(jù)字典視圖DBA_OBJ_AUDIT_OPTS獲得。SELECTowner,object_type,ins,upd,sel,delFROMdba_obj_audit_opts;如果要取消對(duì)某個(gè)模式對(duì)象的審計(jì)，只需將AUDIT命令改為NOAUDIT命令就可以了。12.6.5精細(xì)審計(jì)概念精細(xì)審計(jì)是Oracle10g的新特性，可以對(duì)表或視圖上執(zhí)行的SELECT，INSERT，UPDATE，DELETE操作創(chuàng)建審計(jì)策略。通過DBMA_