数据库技术与应用（达梦）课件 任务5.3 电力调度管理系统数据库角色管理

《数据库原理与应用》任务5.3电力调度管理系统数据库角色管理项目5：数据库安全管理主讲人：汪菊琴第19讲守好数据库安全的大门（2）本任务需创建调度数据分析和系统运维两个角色，再为两个角色授予权限，最后将角色分配给相应的工作人员。如有员工调离本部门，则撤销其角色。素质目标能力目标知识目标1）理解角色的概念和作用2）掌握角色的创建和权限的管理。3）掌握角色的管理。1）能够创建自定义角色并管理角色的权限。2）能够管理角色。1）培养基于角色的权限管理设计思维。2）树立保护数据资产的职业责任意识。角色是一组权限的集合，可包含数据库权限和对象权限。角色具有以下作用：

简化权限分配：对多个用户授予相同权限时，只需创建一个角色并分配给用户，无需逐个授权。统一权限管理：修改角色权限时，所有拥有该角色的用户权限会自动同步，无需单独操作。临时权限控制：可临时为用户激活或禁用角色，灵活调整权限。5.3.1角色概述在DM数据库中有两类角色，一类是DM预设定的角色，一类是用户自定义的角色。下表列出了常见的预设定角色。初始仅管理员可创建用户，新用户默认拥有对应类型的PUBLIC预定义角色（如SYSAUDITOR创建的用户默认拥有DB_AUDIT_PUBLIC角色）。不限制DBA的ANY权限时：DBA可将CREATEUSER权限转授给其他用户（其他管理员不可转授），被授权者创建的新用户默认与其创建者类型相同的PUBLIC预定义角色。限制DBA的ANY权限时：所有管理员均不可转授CREATEUSER权限。5.3.1角色概述角色名称角色简单说明DBADM数据库系统中对象与数据操作的最高权限集合，拥有构建数据库的全部特权，只有DBA才可以创建数据库结构。RESOURCE可以创建数据库对象，对有权限的数据库对象进行数据操纵，不可以创建数据库结构。PUBLIC不可以创建数据库对象，只能对有权限的数据库对象进行数据操纵。常规情况下，不建议回收用户的PUBLIC角色，一旦用户的PUBLIC角色被回收，将导致很多功能因权限不够无法使用VTI具有系统动态视图的查询权限。VTI默认授权给DBA角色且可转授。SOI具有非审计/安全系统表的查询权限。SVI具有基础V视图的查询权限。1.创建角色

语句语法格式为：说明：创建者必须具有CREATEROLE数据库权限。角色名的长度不能超过128个字符，角色名不允许和系统已存在的用户名重名，也不允许是DM保留字。【例5-11】创建角色EPDMS_ROLE。5.3.2创建角色CREATEROLEEPDMS_ROLE;CREATEROLE[IFNOTEXISTS]<角色名>;2.角色权限的授予和回收角色权限的授予和回收与用户权限的授权和回收相似，授予权限通过GRANT语句，回收权限通过REVOKE语句。5.3.2创建角色2.角色权限的授予和回收【例5-12】授予EPDMS_ROLE角色PERSON.ADDRESS表的SELECT权限。【例5-13】回收EPDMS_ROLE角色PERSON.ADDRESS表的SELECT权限。5.3.2创建角色GRANTSELECTONEPDMS.T_USERINFOTOEPDMS_ROLE;REVOKESELECTONEPDMS.T_USERINFOFROMEPDMS_ROLE;1.分配和回收角色（1） 分配角色角色创建并授予权限后，可将角色分配给用户或其他角色，这样用户或其他角色就继承了该角色所有的权限。分配角色的语法格式如下：说明：角色的授予者必须为拥有相应的角色以及其转授权的用户。接受者必须与授权者类型一致。如果有WITHADMINOPTION选项，接受者可以再把这些权限转授给其他用户或角色，即支持角色的转授，但不支持角色的循环转授。5.3.3管理角色GRANT<角色名>{,<角色名>}TO<用户或角色>{,<用户或角色>}[WITHADMINOPTION];1.分配和回收角色（1） 分配角色【例5-14】将EPDMS_ROLE角色分配给用户EPDMS_USER1和EPDMS_USER2。执行上面的代码后，用户EPDMS_USER1也可以查询EPDMS.T_USERINFO表的数据。5.3.3管理角色--因【例5-13】已回收EPDMS_ROLE角色权限，故重新授权GRANTSELECTONEPDMS.T_USERINFOTOEPDMS_ROLE;--创建用户EPDMS_USER1和EPDMS_USER2CREATEUSEREPDMS_USER1IDENTIFIEDBY"EPpsd_123";CREATEUSEREPDMS_USER2IDENTIFIEDBY"EPpsd_123";--将角色EPDMS_ROLE分配给用户EPDMS_USER1GRANTEPDMS_ROLETOEPDMS_USER1,EPDMS_USER2;1.分配和回收角色（2） 回收角色可使用REVOKE语句回收用户或其他角色通过指定角色获得的权限。回收角色的语法格式如下：说明：权限回收者必须是具有回收相应角色以及转授权的用户。使用ADMINOPTIONFOR选项的目的是收回用户或角色权限转授的权利，而不回收用户或角色的权限。5.3.3管理角色REVOKE[ADMINOPTIONFOR]<角色名>{,<角色名>}FROM<角色名或用户名>;1.分配和回收角色（2） 回收角色

【例5-15】回收用户EPDMS_USER2的EPDMS_ROLE角色。5.3.3管理角色REVOKEEPDMS_ROLEFROMEPDMS_USER2;2.启用与禁用角色当需要角色失效，但又不能删除角色时，可以使用DM系统存储过程SP_SET_ROLE来设置这个角色为不可用。设置当前会话中角色的启用或禁用状态的存储过程为：说明：角色名：指需要启用或禁用的角色名。角色状态：指角色的状态设置，取值为0（表示禁用）或1（表示启用）。5.3.3管理角色SP_SET_ROLE(<角色名>,<角色状态>);2.启用与禁用角色【例5-16】禁用EPDMS_ROLE角色。禁用EPDMS_ROLE角色后，【例5-14】中被分配过该角色的EPDMS_USER1用户，也会失相应的权限。5.3.3管理角色SP_SET_ROLE('EPDMS_ROLE',0);3.删除角色具有DROPROLE权限的用户可以删除角色，其语法格式如下：删除角色操作即使该角色已分配给其他用户也能成功执行。删除后，相应用户将不再拥有该角色带来的权限。【例5-17】删除EPDMS_ROLE角色。5.3.3管理角色DROPROLEEPDMS_ROLE;DROPROLE[IFEXISTS]<角色名>;[任务实施]

本任务需创建调度数据分析和系统运维两个角色，再为两个角色授予权限，最后将角色分配给相应的工作人员。如有员工调离本部门，则撤销其角色。1.技术分析本任务需要进行角色创建和管理，涉及到的语句如下：（1） 创建角色CREATEROLE语句。（2） 授予角色权限语句。（3） 为用户分配角色语句。（4） 回收用户角色语句。[任务实施]2.实现步骤（1） 创建调度数据分析角色DATA_ANALYST_ROLE和系统运维角色OPERATOR_ROLL。（2） 为两个角色授予权限。角色DATA_ANALYST_ROLE可查询用户用电表T_CONSUME、运行计算每日平均用电量的存储过程EPDMS.P_CONSUME_AVG和电费计算存储函数F_GET_CONSUMEMONEY的权限。角色OPERATOR_ROLL和可允许查询数据字典和创建数据表的权限。（3） 给张明分配调度数据分析角色DATA_ANALYST_ROLE，给李华分配系统运维角色OPERATOR_ROLL。（4） 回收李华的系统运维角色OPERATOR_ROLL。电力调度管理系统数据库角色管理[任务测试]

本任务实现的效果与任务5.2相同，因此可采用任务5.2的运行测试代码。（1） 授予张明角色DATA_ANALYST_ROLE后，用ZHANG_USER连接数据库，并执行以下语句，测试是否拥有权限。（2） 授予李华角色OPERATOR_ROLL后，用LI_USER连接数据库，并执行以下语句，测试是否拥有权限。（3） 回收李华的角色后，再用LI_USER连接数据库，测试第（2）步中的代码能否执行。--查询T_CONSUME表SELECT*FROMEPDMS.T_CONSUME;--调用存储过程CALLEPDMS.P_CONSUME_AVG();--调用函数SELECTEPDMS.F_GET_CONSUMEMONEY('1000000001','2024-07');--查询视图V$AUTHORITIESSELECT*FROMV$AUTHORITIES;--创建数据表CREATETABLET3(C1INT);评价指标评价标准分值得分创建角色能正确创建两个角色25授予角色权限能正确授予两个角色相应的权限30为用户分配角色能正确为两个用户分配