oracle第11章安全管理.ppt

第11章安全管理,主要内容,数据库的安全性用户管理权限管理角色管理概要文件管理,本章要求,了解Oracle数据库安全机制掌握用户管理掌握权限管理掌握角色管理了解概要文件的作用及其应用,11.1数据库安全性概述,数据库的安全性含义防止非法用户对数据库的访问防止用户的非法操作Oracle数据安全控制机制用户管理权限管理角色管理表空间设置和配额用户资源限制数据库审计,11.2Oracle数据库安全性管理,用户管理权限管理角色管理概要文件管理,11.2.1用户管理,数据库初始用户用户属性用户的创建、修改、删除、查询,数据库初始用户,SYS数据库中具有最高权限的DBA，可以启动、修改和关闭数据库，拥有数据字典SYSTEM一个辅助的DBA，不能启动和关闭数据库，但可以进行其他一些管理工作SCOTT口令tiger，用于测试网络的连接PUBLIC用户组为数据库中所有用户设定必需的对象权限和系统权限,用户属性,认证方式数据库身份认证外部身份认证全局身份认证默认表空间DEFAULTTABLESPACE临时表空间TEMPORARYTABLESPACE,表空间配额QUOTAON概要文件限制用户对数据库系统资源的使用设置用户的口令管理策略账户状态是否过期是否锁定,基本语法CREATEUSERuser_nameIDENTIFIEDBYpassword|EXTERNALLY|GLOBALLYASexternal_nameDEFAULTTABLESPACEtablespace_nameTEMPORARYTABLESPACEtemp_tablespace_nameQUOTAnK|M|UNLIMITEDONtablespace_namePROFILEprofile_namePASSWORDEXPIREACCOUNTLOCK|UNLOCK,11.2.2.创建用户,注意新创建的用户并不能直接连接到数据库中，因为它不具有CREATESESSION系统权限，因此，在新建数据库用户后，通常需要使用GRANT语句为用户授予CREATESESSION权限,用户表空间的设置,缺省表空间DEFAULTTABLESPACEtablename临时表空间TEMPORARYTABLESPACEtempname配额限制用户所能使用的存储空间的大小。默认情况下，新建用户在任何表空间都不具任何配额QUOTAONtablename用户在临时表空间中不需要配额，在临时表空间中创建的所有临时段都属于SYS模式,CREATEUSERtestIDENTIFIEDBYpwdDEFAULTTABLESPACEUSERSTEMPORARYTABLESPACETEMPQUOTA5MONUSERS;,创建用户示例,基本语法ALTERUSERuser_nameIDENTIFIEDBYpassword|EXTERNALLY|GLOBALLYASexternal_nameDEFAULTTABLESPACEtablespace_nameTEMPORARYTABLESPACEtemp_tablespace_nameQUOTAnK|M|UNLIMITEDONtablespace_namePROFILEprofile_nameDEFAULTROLErole_list|ALLEXCEPTrole_list|NONEPASSWORDEXPIREACCOUNTLOCK|UNLOCK,11.2.3修改用户,ALTERUSERtestDEFAULTTABLESPACEUSERSTEMPORARYTABLESPACETEMPQUOTA10MONUSERS;,修改用户示例,用户的锁定与解锁,锁定用户某个用户暂时离开工作某个用户永久离开工作DBA创建的特殊用户帐户ALTERUSERtestACCOUNTLOCK;解锁用户ALTERUSERtestACCOUNTUNLOCK;,11.2.4删除用户,基本语法DROPUSERuser_nameCASCADE;步骤先删除用户所拥有的对象再删除用户将参照该用户对象的其他数据库对象标志为INVALID,ALL_USERSDBA_USERSUSER_USERSDBA_TS_QUOTASUSER_TA_QUOTASV$SESSIONV$OPEN_CURSOR,11.2.5查询用户,11.3权限管理,权限管理概述系统权限的授予与回收对象权限的授予与回收查询权限信息,11.3.1权限管理概述,所谓权限就是执行特定类型SQL命令或访问其他用户的对象的权利。Oracle中用户权限的分类系统权限在数据库级别执行某种操作的权限，或针对某一类对象执行某种操作的权限。对象权限对某个特定的数据库对象执行某种操作的权限获取途径的权限直接授权间接授权,11.3.2系统权限管理,系统权限分类对数据库某一类对象的操作能力，通常带有ANY关键字数据库级别的某种操作能力系统权限的授予语法结构：GRANTsys_list|role_list|PUBLICWITHADMINOPTION;示例：为PUBLIC用户组授予CREATESESSION系统权限GRANTCREATESESSIONTOPUBLIC;,系统权限授予时需要注意的几点：只有DBA才应当拥有ALTERDATABASE系统权限。应用程序开发者一般需要拥有CREATETABLE、CREATEVIEW和CREATEINDEX等系统权限。普通用户一般只具有CREATESESSION系统权限。只有授权时带有WITHADMINOPTION子句时，用户才可以将获得的系统权限再授予其他用户，即系统权限的传递性。,系统权限的回收语法结构REVOKEsys_priv_listFROMuser_list|role_list;注意事项多个管理员者授予用户同一个系统权限后，其中一个管理员回收其授予该用户的系统权限时，该用户不再拥有该系统权限。为了回收用户系统权限的传递性（授权时使用了WITHADMINOPTION子句），必须先回收其系统权限，然后再授予其相应的系统权限。如果一个用户获得的系统权限具有传递性（授权时使用了WITHADMINOPTION子句），并且给其他用户授权，那么该用户系统权限被回收后，其他用户的系统权限并不受影响。,对象权限分类对象权限的授权语法结构GRANTobj_priv_list|ALLONschema.objectTOuser_list|role_listWITHGRANTOPTION示例：将scott模式下的emp表的SELECT、UPDATE、INSERT权限授予user1用户。GRANTSELECT,INSERT,UPDATEONscott.empTOuser1;,11.3对象权限管理,对象权限的回收语法结构REVOKEobj_priv_list|ALLONschema.objectFROMuser_list|role_list;需要注意的几点多个管理员者授予用户同一个对对象权限后，其中一个管理员回收其授予该用户的对象权限时，不影响该用户从其他管理员处获得的对象权限。为了回收用户对象权限的传递性（授权时使用了WITHGRANTOPTION子句），必须先回收其对象权限，然后再授予其相应的对象权限。如果一个用户获得的对象权限具有传递性（授权时使用了WITHGRANTOPTION子句），并且给其他用户授权，那么该用户的对象权限被回收后，其他用户的对象权限也被回收。,WITHADMINOPTION选项,当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限仍然存在,WITHADMINOPTION,DBA,GRANT,REVOKE,Jeff,Emi,Jeff,Emi,DBA,WITHGRANTOPTION选项,当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限也被回收。,GRANT,REVOKE,WITHGRANTOPTION,Bob,Jeff,Emi,Emi,Jeff,Bob,11.3.4查询权限信息,DBA_TAB_PRIVS：包含数据库所有对象的授权信息ALL_TAB_PRIVS：包含数据库所有用户和PUBLIC用户组的对象授权信息USER_TAB_PRIVS：包含当前用户对象的授权信息DBA_COL_PRIVS：包含所有字段已授予的对象权限ALL_COL_PRIVS：包含所有字段已授予的对象权限信息USER_COL_PRIVS：包含当前用户所有字段已授予的对象权限信息。DBA_SYS_PRIVS：包含授予用户或角色的系统权限信息USER_SYS_PRIVS：包含授予当前用户的系统权限信。,11.4角色管理,角色概述角色的分类数据库系统预定义角色用户自定义角色角色的管理定义、授权、修改、生效与失效、删除、查询利用角色对用户间接授权,11.4.1Oracle角色概术,角色的概念所谓角色就是一系列相关权限的集合,11.4.2Oracle角色类型,系统预定义角色用户自定义角色,11.4.3自定义角色,创建角色语法结构CREATEROLErole_nameNOTIDENTIFIEDIDENTIFIEDBYpassword示例CREATEROLEhigh_manager_roleCREATEROLEmiddle_manager_roleIDENTIFIEDBYmiddlerole;CREATEROLElow_manager_roleIDENTIFIEDBYlowrole;,角色权限的授予与回收给角色授予适当的系统权限、对象权限或已有角色。在数据库运行过程中，可以为角色增加权限，也可以回收其权限。示例：GRANTCONNECT,CREATETABLE,CREATEVIEWTOlow_manager_role;GRANTCONNECT,CREATETABLE,CREATEVIEWTOmiddle_manager_role;GRANTCONNECT,RESOURCE,DBATOhigh_manager_role;GRANTSELECT,UPDATE,INSERT,DELETEONscott.empTOhigh_manager_role;,修改角色语法结构ALTERROLErole_nameNOTIDENTIFIEDIDENTIFIEDBYpassword；角色的生效与失效所谓角色的失效是指角色暂时不可用。当一个角色生效或失效时，用户从角色中获得的权限也生效或失效。语法结构SETROLErole_nameIDENTIFIEDBYpassword|ALLEXCEPTrole_name|NONE;,删除角色语法结构DROPROLErole_name;,给用户或角色授予角色语法结构：GRANTrole_listTOuser_list|role_list；从用户或角色回收角色语法结构：REVOKErole_listFROMuser_list|role_list；用户角色的激活或屏蔽激活或屏蔽用户默认角色的语法：ALTERUSERuser_nameDEFAULTROLErole_name|ALLEXCEPTrole_name|NONE；,11.4利用角色进行权限管理,用户角色的激活或屏蔽示例屏蔽用户的所有角色ALTERUSERuser1DEFAULTROLENONE;激活用户的某些角色ALTERUSERuser1DEFAULTROLECONNECT,DBA;激活用户的所有角色ALTERUSERuser1DEFAULTROLEALL;激活除了某个角色外的其他所有角色ALTERUSERuser1DEFAULTROLEALLEXCEPTDBA;,11.4.5查询角色信息,DBA_ROLES：包含数据库中所有角色及其描述。DBA_ROLE_PRIVS：包含为数据库中所有用户和角色授予的角色信息。USER_ROLE_PRIVS：包含为当前用户授予的角色信息。ROLE_ROLE_PRIVS：为角色授予的角色信息。ROLE_SYS_PRIVS：为角色授予的系统权限信息。ROLE_TAB_PRIVS：为角色授予的对象权限信息。SESSION_PRIVS：当前会话所具有的系统权限信息。SESSION_ROLES：当前会话所具有的角色信息。,概要文件的作用限制用户对数据库和系统资源的使用以及进行用户口令管理资源限制级别会话级限制调用级限制资源限制类型CPU使用时间逻辑读每个用户的并发会话数用户连接数据库的空闲时间用户连接数据库的时间私有SQL区和PL/SQL区的使用,11.5概要文件管理,启用或停用资源限制在数据库启动前启用或停用资源限制将数据库初始化参数文件中的参数RESOURCE_LIMIT的值设置为TRUE或FALSE在数据库启动后启用或停用资源限制使用ALTERSYSTEM语句修改RESOURCE_LIMIT参数值为TRUE或FALSE,11.5.2概要文件中参数,资源限制参数CPU_PER_SESSIONCPU_PER_CALLCONNECT_TIMEIDLE_TIMESESSIONS_PER_USERLOGICAL_READS_PER_SESSIONLOGICAL_READS_PER_CALLPRIVATE_SGACOMPOSITE_LIMIT,口令管理参数FAILED_LOGIN_ATTEMPTSPASSWORD_LOCK_TIMEPASSWORD_GRACE_TIMEPASSWORD_LIFE_TIMEPASSWORD_REUSE_MAXPASSWORD_REUSE_TIMEPASSWORD_VERIFY_FUNCTION,11.5.3概要文件管理,创建概要文件语法结构CREATEPROFILEprofile_nameLI