第12章用户管理和安全ppt课件

1、第十二章第十二章 管理平安性管理平安性用户与权限管理用户与权限管理引言引言 数据库平安性问题不断是人们关注的焦点，数据数据库平安性问题不断是人们关注的焦点，数据库数据的丧失以及数据库被非法用户的侵入对于任库数据的丧失以及数据库被非法用户的侵入对于任何一个运用系统来说都是至关重要的问题。确保信何一个运用系统来说都是至关重要的问题。确保信息平安的重要根底在于数据库的平安性能。息平安的重要根底在于数据库的平安性能。平安性平安性 Oracle Oracle数据库作为大型分布式数据库，其平安性数据库作为大型分布式数据库，其平安性不断是设计的重要目的。作为不断是设计的重要目的。作为OracleOracle

2、平安模型根底平安模型根底的平安原理是基于最小特权的原那么。此原那么以的平安原理是基于最小特权的原那么。此原那么以为用户只应该具有完成其义务所必需的特权，而不为用户只应该具有完成其义务所必需的特权，而不应该拥有更多的特权。应该拥有更多的特权。 oracle oracle数据库的平安性可以分为如下两类：数据库的平安性可以分为如下两类：系统平安性系统平安性数据平安性数据平安性 1. 系统平安性系统平安性 系统平安性是指在系统级控制数据库的存取和运用系统平安性是指在系统级控制数据库的存取和运用的机制，包含：的机制，包含： 有效的用户名有效的用户名/口令的组合。口令的组合。 一个用户能否授权可衔接数据库

3、。一个用户能否授权可衔接数据库。 用户对象可用的磁盘空间的数量。用户对象可用的磁盘空间的数量。 用户可执行哪些系统操作。用户可执行哪些系统操作。2. 2. 数据平安性数据平安性 数据平安性是指在实体级控制数据库存取和运用数据平安性是指在实体级控制数据库存取和运用的机制，包括：用户可以存取的方案对象和在该方的机制，包括：用户可以存取的方案对象和在该方案对象上可以进展哪些操作等。案对象上可以进展哪些操作等。 Oracle利用以下机制管理数据库平安性：利用以下机制管理数据库平安性：数据库用户和方式数据库用户和方式权限权限角色角色存储设置和空间份额存储设置和空间份额用户与方式用户与方式 在在Oracl

4、e中，数据库用户和方式是平中，数据库用户和方式是平安的最根本的单元。术语安的最根本的单元。术语“用户和用户和“方方式经常互换运用，然而它们是有区别式经常互换运用，然而它们是有区别的：的：数据库方式定义为数据库对象的集合。数据库方式定义为数据库对象的集合。方式的称号就是拥有或控制这些数据库方式的称号就是拥有或控制这些数据库对象集合的用户称号。对象集合的用户称号。一切的数据库对象，包括表、视图、索引、触发器一切的数据库对象，包括表、视图、索引、触发器、Java存储过程、存储过程、PL/SQL程序包、函数等，都归程序包、函数等，都归Oracle数据库中的某一个用户一切。甚至数据库中的某一个用户一切。

5、甚至Oracle的的数据字典、系统目录也是称号为数据字典、系统目录也是称号为sys的方式的一部的方式的一部分。分。在在Oracle数据库中，可以存在没有拥有任何数据库数据库中，可以存在没有拥有任何数据库对象的用户对象的用户(不是方式不是方式)，但是不会没有命名的方式，但是不会没有命名的方式或数据库对象集合。或数据库对象集合。 12.1 用户管理用户管理Oracle Oracle 管理主要用户管理主要用户 用户就是一个方案，它是一组数据库对象的用户就是一个方案，它是一组数据库对象的一切者。用户是计算机的合法操作者，数据库用户一切者。用户是计算机的合法操作者，数据库用户就是数据库的合法操作者。就是

6、数据库的合法操作者。OracleOracle有如下的几个主有如下的几个主要用户：要用户：SYSSYS，SYSTEMSYSTEM，SCOTTSCOTT。这些用户以及。这些用户以及口令和阐明如表口令和阐明如表12-112-1所示。所示。表表12-1 Oracle12-1 Oracle的主要用户的主要用户用户名用户名口令口令登录身份及说明登录身份及说明SYSChange_on_install（在安装（在安装过程中可以自己修改）过程中可以自己修改）SYSDBA或或SYSOPER，但不能以，但不能以NORMAL登录，可作为默认登录，可作为默认的系统管理员的系统管理员SYSTEMManager（在安装过程

7、中可（在安装过程中可以自己修改）以自己修改）SYSDBA或或NORMAL，但不能以，但不能以SYSOPER登录，可作为默认登录，可作为默认的系统管理员的系统管理员SCOTTTiger（在安装过程中可以自（在安装过程中可以自己修改）己修改）NORMAL，普通用户，普通用户用户的创建用户的创建1 1创建用户创建用户运用运用SQL SQL 语句创建新数据库用户的语法格式如下：语句创建新数据库用户的语法格式如下： CREATE USER CREATE USER 用户名用户名 IDENTIFIED BY IDENTIFIED BY 口令口令DEFAULT TABLESPACE DEFAULT TABLE

8、SPACE 默许表空间默许表空间 TEMPORARY TABLESPACE TEMPORARY TABLESPACE 暂时表空间暂时表空间 QUOTAQUOTA数值数值K| M | UMLIMITED ON K| M | UMLIMITED ON 表空间名表空间名 PROFILE PROFILE 概要文件名概要文件名 PASSWORD EXPIREPASSWORD EXPIREACCOUNT LOCK | ACCOUNT UNLOCKACCOUNT LOCK | ACCOUNT UNLOCK例：例：CREATE USER lotus IDENTIFIED BY l123CREATE USER

9、lotus IDENTIFIED BY l123 DEFAULT TABLESPACE users DEFAULT TABLESPACE users QUOTA 100 M ON users QUOTA 100 M ON users ACCOUNT UNLOCK; ACCOUNT UNLOCK;用户帐号形状用户帐号形状 用户的帐号有两种形状，用户的帐号有两种形状，DBADBA可以经过设置形状可以经过设置形状的方法使账户可用或不可用。的方法使账户可用或不可用。 一帐号锁定一帐号锁定 锁定帐号可以使某个帐号不可用。锁定帐号可以使某个帐号不可用。 二账户解锁二账户解锁 该形状下，帐号可以正常登陆。该

10、形状下，帐号可以正常登陆。2. 2. 修正用户帐号修正用户帐号修正用户账号的语法格式如下所示：修正用户账号的语法格式如下所示：ALTER USER ALTER USER 用户名用户名 IDENTIFIED BY IDENTIFIED BY口令口令DEFAULT TABLESPACE DEFAULT TABLESPACE 默许表空间默许表空间 TEMPORARY TABLESPACE TEMPORARY TABLESPACE 暂时表空间暂时表空间 QUOTAQUOTA数值数值K| M | UNLIMITED ON K| M | UNLIMITED ON 表空间名表空间名 PROFILE PROF

11、ILE 概要文件名概要文件名 PASSWORD EXPIREPASSWORD EXPIREACCOUNT LOCK | ACCOUNT UNLOCKACCOUNT LOCK | ACCOUNT UNLOCK作为一个作为一个DBADBA，在管理数据库时，用户能够会有各，在管理数据库时，用户能够会有各种缘由来改动用户帐户。种缘由来改动用户帐户。这些有关帐户管理的任务如下：这些有关帐户管理的任务如下：重置密码；重置密码；锁定帐户和解除帐户锁定；锁定帐户和解除帐户锁定；修正用户的默许表空间或暂时表空间；修正用户的默许表空间或暂时表空间；修正表空间配额。修正表空间配额。例：例：锁定用户锁定用户ALTER

12、 USER lotus ACCOUNT LOCK;ALTER USER lotus ACCOUNT LOCK;解除锁定解除锁定ALTER USER lotus ACCOUNT UNLOCK;ALTER USER lotus ACCOUNT UNLOCK;修正用户密码修正用户密码ALTER USER lotus IDENTIFIED BY lotusALTER USER lotus IDENTIFIED BY lotus；3.删除用户删除用户 运用运用DROP USERDROP USER命令可以从数据库中删除一个用户命令可以从数据库中删除一个用户，参数为，参数为CASCADECASCADE，表示

13、在删除用户之前，先删除，表示在删除用户之前，先删除其所拥有的一切实体。其所拥有的一切实体。例：例：Create table lotus.aa(aa number);Drop user lotus;Drop user lotus cascade;12.2 权限管理权限管理 权限权限privilege)privilege)是是OracleOracle数据库定义好的执行某些操数据库定义好的执行某些操作的才干。在作的才干。在OracleOracle数据库中是利用权限进展管理的数据库中是利用权限进展管理的。这些权限可以分成两类：。这些权限可以分成两类：系统权限：是指在系统级控制数据库的存取和运用的机系统

14、权限：是指在系统级控制数据库的存取和运用的机制。制。OracleOracle有有100100多种不同的系统权限，表多种不同的系统权限，表12-212-2给出了给出了常用的系统权限。每一种系统权限允许用户执行一常用的系统权限。每一种系统权限允许用户执行一种特殊的数据库操作或一类数据库操作。种特殊的数据库操作或一类数据库操作。表表12-2 12-2 常用的系统权限常用的系统权限权限分类权限分类作用作用CREATE SESSIONCREATE SESSION创建会话权限，允许用户登录（连接创建会话权限，允许用户登录（连接到）数据库到）数据库CREATE TABLECREATE TABLE允许用户创建

15、表允许用户创建表CREATE VIEWCREATE VIEW允许用户创建视图允许用户创建视图CREATE CREATE PROCEDUREPROCEDURE允许用户创建过程函数和包允许用户创建过程函数和包CREATE TRIGGERCREATE TRIGGER允许用户创建触发器允许用户创建触发器CREATE SYNONYMCREATE SYNONYM允许用户创建同义词允许用户创建同义词CREATE USERCREATE USER生成用户生成用户CREATE ROLECREATE ROLE生成角色生成角色对象权限对象权限: :是在数据库对象如：指定的表、视图、是在数据库对象如：指定的表、视图、序

16、列、过程、函数或包上执行特殊动作的权益。序列、过程、函数或包上执行特殊动作的权益。对于不同类型的对象，有不同类型的对象权限。如对于不同类型的对象，有不同类型的对象权限。如表表12-312-3所示。所示。表表12-3 12-3 常用的对象权限常用的对象权限对象权限对象权限表表视图视图序列序列过程过程ALTERALTEROKOKOKOKDELETEDELETEOKOKOKOKEXECUTEEXECUTEOKOKINDEXINDEXOKOKINSERTINSERTOKOKOKOKREFERENCESREFERENCESOKOKSELECTSELECTOKOKOKOKOKOKUPDATEUPDATEO

17、KOKOKOK授予权限授予权限1 1授予系统权限授予系统权限授权语句如下：授权语句如下：GRANT system_privilege|role ,system_privilege|role GRANT system_privilege|role ,system_privilege|role TO user|role|PUBLICTO user|role|PUBLIC ,user|role|PUBLIC ,user|role|PUBLIC WITH ADMIN OPTIONWITH ADMIN OPTION其中：其中：1 1system_privilegesystem_privilege：要授予

18、的系统权限。：要授予的系统权限。2 2rolerole：被授权的角色名字。：被授权的角色名字。3 3PUBLICPUBLIC：把系统权限授予一切用户。：把系统权限授予一切用户。4 4WITH ADMIN OPTIONWITH ADMIN OPTION：可以把被授予：可以把被授予的权限再进一步授予其他用户或角色。的权限再进一步授予其他用户或角色。例：例：GRANT create session TO test WITH ADMIN GRANT create session TO test WITH ADMIN OPTION;OPTION;GRANT create table TO test;GR

19、ANT create table TO test; 将将create view create view 权限授予数据库中一切用户权限授予数据库中一切用户GRANT create view TO public;GRANT create view TO public; 2 2授对象权限授对象权限语句如下：语句如下：GRANT object_privilege (column_list) GRANT object_privilege (column_list) ,object_privilege (column_list) ,object_privilege (column_list) |ALL P

20、RIVILEGES ON |ALL PRIVILEGES ONschema.object schema.object TO user|role|PUBLIC,user|role|PUBLIC TO user|role|PUBLIC,user|role|PUBLIC WITH GRANT OPTION WITH GRANT OPTION其中：其中：1 1object_privilegeobject_privilege：要授予的对象权限。：要授予的对象权限。2 2column_listcolumn_list：表或者视图的列名只需授权：表或者视图的列名只需授权 INSERTINSERT，REFERE

21、NCESREFERENCES，UPDATEUPDATE的时候才运用的时候才运用。3 3ALLALL：授予对象的一切权限，并且有：授予对象的一切权限，并且有 WITH WITH GRANT OPTIONGRANT OPTION权限。权限。4 4ON objectON object：对象名字。：对象名字。5 5WITH GRANT OPTIONWITH GRANT OPTION：可以把对象权限授予：可以把对象权限授予其他的用户或者角色。其他的用户或者角色。3.取消权限取消权限运用运用REVOKEREVOKE语句可以回收己经授予用户或角色语句可以回收己经授予用户或角色的系统权限、对象权限与角色，执行

22、回收权限操作的系统权限、对象权限与角色，执行回收权限操作的用户同时必需具有授予一样权限的才干。的用户同时必需具有授予一样权限的才干。例：取消用户例：取消用户testtest的的 CREATE TABLE CREATE TABLE 权限。权限。 REVOKE CREATE TABLE FROM test;REVOKE CREATE TABLE FROM test; 阐明：取消其他用户的权限时必需拥有系统管理员阐明：取消其他用户的权限时必需拥有系统管理员DBA DBA 权限。权限。例：回收曾经授予用户例：回收曾经授予用户testtest的的empemp表上的表上的SELECTSELECT和和UPD

23、ATEUPDATE对象权限：对象权限：REVOKE SELECT,UPDATE ON EMP FROM test;REVOKE SELECT,UPDATE ON EMP FROM test;在许多情况下，用户的任务往往都是分类的，因此在许多情况下，用户的任务往往都是分类的，因此就可以将用户分为不同的种类，每一种用户的权限就可以将用户分为不同的种类，每一种用户的权限都是一样的，即扮演了一样的角色。因此都是一样的，即扮演了一样的角色。因此OracleOracle借借用了角色这种概念来实现这种权限管理的方法，到用了角色这种概念来实现这种权限管理的方法，到达简化权限管理的目的。达简化权限管理的目的。角

24、色就是一组相关权限的集合，是对权限进展集中角色就是一组相关权限的集合，是对权限进展集中管理授予、回收的一种方法。即将不同权限集管理授予、回收的一种方法。即将不同权限集中在一同就构成了角色。运用角色可以大大降低用中在一同就构成了角色。运用角色可以大大降低用户权限的维护负担。户权限的维护负担。数据库管理员只需创建特定的数据库角色，使其反数据库管理员只需创建特定的数据库角色，使其反映组织或运用的平安权限，就可以将这些角色赋予映组织或运用的平安权限，就可以将这些角色赋予用户用户, ,实践是把角色所拥有的权限分配给用户。实践是把角色所拥有的权限分配给用户。不运用角色分配权限不运用角色分配权限权限权限用户

25、用户Manager运用角色分配权限运用角色分配权限ORACELORACEL利用角色更容易地进展权限管理。有以下优利用角色更容易地进展权限管理。有以下优点：点：1 1减少权限管理，不要显式地将同一权限组授权给减少权限管理，不要显式地将同一权限组授权给几个用户，只需将这权限组授给角色，然后将角色几个用户，只需将这权限组授给角色，然后将角色授权给每一用户。授权给每一用户。2 2动态权限管理，假设一组权限需求改动，只需修动态权限管理，假设一组权限需求改动，只需修正角色的权限，一切授给该角色的全部用户的平安正角色的权限，一切授给该角色的全部用户的平安域将自动地反映对角色所作的修正。域将自动地反映对角色所

26、作的修正。3 3权限的选择可用性，授权给用户的角色可选择地权限的选择可用性，授权给用户的角色可选择地使其可用或不可用。使其可用或不可用。4 4运用平安性，角色运用可由口令维护，运用可提运用平安性，角色运用可由口令维护，运用可提供正确的口令运用角色，如不知其口令，不能运用供正确的口令运用角色，如不知其口令，不能运用角色。角色。预定义角色预定义角色在创建数据库时，在创建数据库时，OracleOracle数据库会自动创建数据库会自动创建一些常用的角色，即预定义角色。这些角色一些常用的角色，即预定义角色。这些角色曾经由曾经由OracleOracle数据库授予了相应的系统权限数据库授予了相应的系统权限。

27、DBA DBA 可以直接将这些预定义的角色授予可以直接将这些预定义的角色授予用户，完成简单的权限管理任务。用户，完成简单的权限管理任务。下面是比较传统的三个预定义角色。下面是比较传统的三个预定义角色。CONNECTCONNECT授予最终用户的典型权益，最根本的授予最终用户的典型权益，最根本的 RESOURCERESOURCE 授予开发人员的权限授予开发人员的权限CREATE TRIGGER CREATE SEQUENCE CREATE TRIGGER CREATE SEQUENCE CREATE TYPE CREATE PROCEDURE CREATE TYPE CREATE PROCEDUR

28、E CREATE CLUSTER CREATE OPERATOR CREATE CLUSTER CREATE OPERATOR CREATE INDEXTYPE CREATE TABLE CREATE INDEXTYPE CREATE TABLEDBADBA 拥有系统的一切系统级权限。拥有系统的一切系统级权限。对于数据库管理员应该授予对于数据库管理员应该授予DBADBA角色。对于数据库角色。对于数据库开发用户，只需求授予开发用户，只需求授予CONNECTCONNECT和和RESOURCERESOURCE两两个角色。可以经过数据字典个角色。可以经过数据字典DBA_SYS_PRIVSDBA_SYS

29、_PRIVS查询查询一切预定义角色的系统权限。一切预定义角色的系统权限。创建自定义角色创建自定义角色OracleOracle允许用户按实践需求自定义各种角色，以便允许用户按实践需求自定义各种角色，以便将其授予不同类型的用户，加强权限管理的灵敏性将其授予不同类型的用户，加强权限管理的灵敏性和方便性。和方便性。创建角色的语句格式如下：创建角色的语句格式如下： CREATE ROLE CREATE ROLE 角色名角色名 IDENTIFIED BY IDENTIFIED BY passwordpassword其中任性的其中任性的IDENTIFIED BY passwordIDENTIFIED BY

30、password要求用户在要求用户在启用这个角色之前先确认本人的身份。该角色在默启用这个角色之前先确认本人的身份。该角色在默许情况下被封锁，为了翻开此角色需求运用如下语许情况下被封锁，为了翻开此角色需求运用如下语句：句：SET ROLE role_name IDENTIFIED BY password;SET ROLE role_name IDENTIFIED BY password;例：例：CREATE ROLE account_role;CREATE ROLE account_role;留意：新创建的角色并不具有任何权限，这时的角色留意：新创建的角色并不具有任何权限，这时的角色是没有什么用

31、途的。因此，创建角色之后，通常要是没有什么用途的。因此，创建角色之后，通常要立刻给它授予系统权限或对象权限。立刻给它授予系统权限或对象权限。将权限授予角色将权限授予角色Grant connect to account_role ;Grant connect to account_role ;Grant create table to account_role ;Grant create table to account_role ;Grant select on scott.emp to account_role;Grant select on scott.emp to account_rol

32、e;将角色授予用户将角色授予用户Grant resource to test ;Grant resource to test ;Grant account_role to ora_test1 ;Grant account_role to ora_test1 ;回收角色中的某一权限回收角色中的某一权限Revoke create table from account_role ;Revoke create table from account_role ;回收用户的某一角色回收用户的某一角色Revoke account_role from ora_test1 ;Revoke account_rol

33、e from ora_test1 ;角色删除角色删除由于角色可以反复修正和设置，随着角色的增多，由于角色可以反复修正和设置，随着角色的增多，需求删除一些不用要的角色。删除角色可以经过需求删除一些不用要的角色。删除角色可以经过DROPDROP语句来实现，使这个角色的权限集合无效，语句来实现，使这个角色的权限集合无效，拥有此角色的用户都不能运用这些权限。拥有此角色的用户都不能运用这些权限。例：例：Drop role account_role ;Drop role account_role ;获取角色有关的信息获取角色有关的信息从如下的数据字典中获取有关角色的信息：从如下的数据字典中获取有关角色的信

34、息：DBA_ROLES：数据库中一切的角色。：数据库中一切的角色。DBA_SYS_PRIVS：拥有系统权限的用户和角色。：拥有系统权限的用户和角色。ROLE_SYS_PRIVS：拥有系统权限的角色。：拥有系统权限的角色。ROLE_TAB_PRIVS：拥有对象权限的角色：拥有对象权限的角色 USER_ROLE_PRIVS 用户拥有的角色用户拥有的角色 PL/SQL与角色与角色默许情况下，默许情况下，PL/SQL函数、过程、程序包函数、过程、程序包都要运用都要运用“定义者的命名空间和权限执行定义者的命名空间和权限执行。需求留意的是，这些已编译的。需求留意的是，这些已编译的“PL/SQL程序对象要运

35、用直接赋予设计用户的权限程序对象要运用直接赋予设计用户的权限执行，而不运用用户经过数据库角色得到的执行，而不运用用户经过数据库角色得到的对象权限来执行。当然，这将使让作为特定对象权限来执行。当然，这将使让作为特定数据库用户在数据库用户在SQL*Plus中测试特定中测试特定DML语语句的开发人员混淆，他们将发现句的开发人员混淆，他们将发现PL/SQL过过程中的一样语句不可以编译。大多数情况下程中的一样语句不可以编译。大多数情况下，呵斥这种问题的缘由是由于对象权限是经，呵斥这种问题的缘由是由于对象权限是经过角色授予，而不是直接授予设计用户的。过角色授予，而不是直接授予设计用户的。PL/SQL与角色与角色通常情况下，运用开发的平安方法是不直接将表和通常情况下，运用开发的平安方法是不直接将表和视图上的权限赋予数据库用户，只可以经过视图上的权限赋予数据库用户，只可以经过PL/SQL过程、函数或程序包访问附属的表和视图过程、函数或程序包访问附属的表和视图，而执行这些已编译对象的权限要经过数据库角色，而执行这些已编译对象的权限要经过数据库角色提供。这种方式的最大优点是：除了经过公开的方提供。这种方式的最大优点是：除了经过公开的方法之外，终端用户不能直接操作运用程序中的表和法之外