数据库安全管理2课件.ppt

1、 权限是执行SQL语句或存取数据的权力。通过授予用户权限，用户可以对自己的模式对象进行查询、删除和修改等操作，也可以查询、删除和修改其它用户的模式对象。Oracle有两类权限：l系统权限l对象权限 Oracle通过两种方法将权限授予用户：直接将权限授予用户。先将权限授予角色，然后再将角色授予用户。l系统权限的管理系统权限的管理 【任务14.10】授予TEST用户系统权限CREATE SESSION。l系统权限的管理系统权限的管理1.系统权限分类在数据库系统范围内操作的权限在用户自己的模式内操作的权限在任何模式内操作的权限在数据库系统范围内操作的权限在数据库系统范围内操作的权限 系统权限名称系统

2、权限名称 作作 用用 ADMINISTER SECURITY管理安全性ALTER DATABASE设置数据库属性ALTER RESOURCE COST设置资源开销属性ALTER SESSION设置会话属性ALTER SYSTEM设置系统属性ANALYZE ANY对数据库的表、索引或者簇进行分析AUDIT ANY审计数据库的所有用户或对象AUDIT SYSTEM审计数据库系统BACKUP ANY TABLE备份任何数据表BECOME USER执行完全导入操作时成为另外的用户COMMENT ANY TABLE在数据库的所有表上创建注释.在用户自己的模式内操作的权限在用户自己的模式内操作的权限 系统

3、权限名称系统权限名称作作 用用 CREATE CLUSTER创建特定簇创建特定簇CREATE DATABASE LINK创建特定数据库链接创建特定数据库链接CREATE DIMENSION创建特定维创建特定维CREATE INDEXTYPE创建特定索引类型创建特定索引类型CREATE LIBRARY创建特定库创建特定库CREATE OPERATOR创建特定操作符创建特定操作符CREATE PROCEDURE创建特定过程创建特定过程CREATE PROFILE创建特定配置文件创建特定配置文件.在任何模式内操作的权限在任何模式内操作的权限 系统权限名称系统权限名称作作 用用ALTER ANY CL

4、USTER设置任何簇属性ALTER ANY DIMENSION设置任何维属性ALTER ANY INDEX设置任何索引属性ALTER ANY INDEXTYPE设置任何索引类型属性ALTER ANY LIBRARY设置任何库（程序包）属性ALTER ANY OUTLINE设置任何大纲属性ALTER ANY PROCEDURE设置任何过程属性.l系统权限的管理系统权限的管理DBA在使用系统权限时需要注意以下几点：系统权限中没有CREATE INDEX权限，而是CREATE TABLE权限包含了CREATE INDEX权限。因此在创建索引时，用户必须具有CREATE TABLE权限，而且必须在表空

5、间上具有一定的配额，或者具有UNLIMITED TABLESPACE的权限。如果用户具有了CREATE TABLE、CREATE PROCEDURE、CREATE CLUSTER的权限，那么该用户也具有删除这些对象的权限。UNLIMITED TABLESPACE权限不能授予角色。l系统权限的管理系统权限的管理DBA在使用系统权限时需要注意以下几点(续)：l用户要想截断一个表，必须具有DROP ANY TABLE的权限。l连接数据库的用户必须具有CREATE SESSION的权限。l如果用户具有CREATE ANY PROCEDURE（或EXECUTE ANY PROCEDURE）权限，那么用户

6、就能够建立、替换、删除（或执行）、任何存储过程、函数和包。l如果用户具有CREATE TABLE权限，那么该用户就可以对自己模式中的所有表进行创建、修改、删除或查询操作。lSELECT、INSERT、UPDATE和DELETE都是对象权限，它们只是针对某一个对象的操作权限，而SELECT ALL、INSERT ALL、UPDATE ALL和DELETE ALL是系统权限，它们针对的是数据库中的所有模式。l系统权限的管理系统权限的管理2.授予系统权限 使用GRANT 命令可以将系统权限授予用户、角色或PUBLIC公共工作组。该语句的语法为：GRANT system_privilege ,syst

7、em_privilege.TO user|role|PUBLIC ,user|role|PUBLIC.WITH ADMIN OPTIONl系统权限的管理系统权限的管理2.授予系统权限关键字和参数的含义为：lsystem_privilege 系统权限名称。lUser 用户名。lRole 角色名。lPUBLIC 公共工作组。如果某一系统权限授予该工作组，那么数据库中的所有用户都将具有该权限。lWITH ADMIN OPTION 表示被授予者可以将该系统权限授予其他的用户。l系统权限的管理系统权限的管理2.授予系统权限授予系统权限时应注意以下原则：l用户将某一系统权限授予其他用户时，该用户本身首先应

8、具有这个权限，并且在被授予该权限时必须在GRANT语句中明确声明WITH ADMIN OPTION。l用户将某一系统权限授予其他用户时，在GRANT语句中可以设置WITH ADMIN OPTION，以便其他用户能够将该系统权限授予另一个用户。l具有GRANT ANY PRIVILEGE系统权限的用户可以在数据库中授予用户任何权限。l在授予系统权限时设置了WITH ADMIN OPTION子句的用户可以从任何用户或角色中收回该系统权限。l系统权限的管理系统权限的管理2.授予系统权限 例如，新创建的用户没有任何权限，这时DBA应首先授予CREATE SESSION系统权限，以便让用户能够连接到数据

9、库上。首先用SYSTEM用户登录SQL*Plus，因为SYSTEM用户具有GRANT ANY PRIVILEGE系统权限，然后执行下列语句：SQLGRANT CREATE SESSION TO TEST；l系统权限的管理系统权限的管理3.收回系统权限 使用REVOKE语句可以收回用户拥有的系统权限。该语句的语法为：REVOKE system_privilege ,system_privilege.FROM user|role|PUBLIC ,user|role|PUBLIC.例如，从用户TEST收回CREATE SESSION系统权限。SQLREVOKE CREATE SESSION FROM

10、 TEST；l系统权限的管理系统权限的管理3.收回系统权限收回系统权限时应注意以下原则：l能够收回某项系统权限的用户必须具有授予该权限的权力。l如果只是想收回WITH ADMIN OPTION子句，那么可以先收回该系统权限，然后再使用不带WITH ADMIN OPTION子句的GRANT语句授予用户该项系统权限。l如果用户使用系统权限执行了某项操作，收回该系统权限不会对操作的结果产生影响。例如，用户具有CREATE TABLE的系统权限，用户利用该权限创建了一些表，收回CREATE TABLE权限后，这些表仍然可以使用。l如果用户A具有某项系统权限，A将该项系统权限授予了用户B，当收回用户A的

11、这个系统权限时，用户B的该系统权限仍然保留。l对象权限的管理对象权限的管理 【任务14.11】授予TEST用户查询SCOTT用户的EMP表的对象权限。对象权限是指执行某些特殊的SQL语句或者是访问某些对象的权利。用户对属于自己的对象具有全部的对象权力。但是，他无权使用其他用户的对象，除非将其他用户的某个对象的权限授予了该用户。对于有些模式对象，如索引、触发器等没有相应的对象权限，而是由系统权限管理。l对象权限的管理对象权限的管理 1.对象权限分类 Oracle的对象权限主要有8种，分别作用在7类对象上。TABLECOLUMNVIEWSEQUENCEPROCEDUREFUNCTIONPACKAG

12、E操作权限操作权限SELECT查询操作查询操作INSERT插入操作插入操作UPDATE更新操作更新操作DELETE删除操作删除操作EXECUTE执行过程、函执行过程、函数或包数或包ALTER修改表或序列修改表或序列的结构的结构INDEX为表建立索引为表建立索引REFERENCES建立引用建立引用对象权限分类表对象权限分类表 l对象权限的管理对象权限的管理2.授予对象权限授予对象权限语句的语法为：GRANT object_privilege(column_list),object_privilege(column_list).|ALL PRIVILEGES ONschema.object TOu

13、ser|role|PUBLIC ,user|role|PUBLIC.WITH GRANT OPTIONl对象权限的管理对象权限的管理2.授予对象权限语句中各关键字和参数的含义如下：object_privilege 对象权限名称。column_list 模式对象中的列名。ALL 将所有对象权限授予已具有WITH GRANT OPTION子句的用户。schema.object 模式对象的名称。user 将对象权限授予的用户名。role 将对象权限授予的角色名。PUBLIC 将对象权限授予PUBLIC公共工作组。WITH GRANT OPTION 允许将此权限授予其他用户或角色。l对象权限的管理对象

14、权限的管理2.授予对象权限授予对象权限时应注意以下原则：l模式对象的拥有者自动具有该模式对象的所有对象权限，无需再授予这些对象权限。l如果某个模式对象不属于该用户，但是该用户具有这个模式对象的对象权限时，并且在授予权限的语句中使用了WITH GRANT OPTION子句，那么该用户可以将这个对象的权限授予其他的用户。l模式对象的拥有者可以将该对象的任何对象权限授予其他用户，如果允许该用户将这些对象权限授予另外一些用户，必须在GRANT语句中使用WITH GRANT OPTION子句。lWITH GRANT OPTION子句不能用于授予角色的GRANT语句中。l对象权限的管理对象权限的管理2.授

15、予对象权限 例如，将查询SCOTT用户的EMP表的对象权限授予TEST用户。SQLGRANT SELECT 2 ON SCOTT.EMP3 TO TEST；结果显示为：授权成功。l对象权限的管理对象权限的管理3.收回对象权限收回用户对象权限语句的语法为：REVOKE object_privilege ,object_privilege.|ALL PRIVILEGES ON schema.object FROM user|role|PUBLIC ,user|role|PUBLIC.CASCADE CONSTRAINTS；其中，CASCADE CONSTRAINTS表示删除使用REFERENCES

16、或ALL权限定义的任何完整性约束。l对象权限的管理对象权限的管理3.收回对象权限例如，从用户TEST收回SCOTT用户EMP表的SELECT对象权限。SQLREVOKE SELECT 2 ON SCOTT.EMP 3 FROM TEST；结果显示为：撤销成功。l对象权限的管理对象权限的管理3.收回对象权限收回对象权限时应注意以下原则：用户具有的对象权限只能由授予者收回。假设有多个用户为某用户授予了同一个对象权限，如果其中的某个用户收回了该对象权限，那么该用户仍然具有这个对象权限。只要有一个用户没有收回该权限，该权限仍然有效。如果用户A具有某个对象权限，A将该项系统权限授予了用户B，当收回用户A

17、的这个对象权限时，用户B的该对象权限也将收回。l查询权限信息查询权限信息 视视 图图 名名 称称说说 明明DBA_SYS_PRIVS描述了用户和角色具有的系统权限信息。描述了用户和角色具有的系统权限信息。SESSION_PRIVS描述了当前用户具有的权限信息。描述了当前用户具有的权限信息。ALL_TAB_PRIVS描述了当前用户和描述了当前用户和PUBLIC具有的权限信息。具有的权限信息。DBA_TAB_PRIVS描述了数据库中所有用户具有的权限信息。描述了数据库中所有用户具有的权限信息。USER_TAB_PRIVS描述当前用户具有的权限信息。描述当前用户具有的权限信息。ALL_TAB_PRI

18、VS_MADE描述了当前用户授予的权限信息。描述了当前用户授予的权限信息。USER_TAB_PRIVS_MADE描述了当前用户所有对象上的权限信息。描述了当前用户所有对象上的权限信息。ALL_TAB_PRIVS_RECD描述了当前用户和描述了当前用户和PUBLIC具有权限的模式对象的信息。具有权限的模式对象的信息。USER_TAB_PRIVS_RECD描述了当前用户具有权限的模式对象的信息。描述了当前用户具有权限的模式对象的信息。ALL_COL_PRIVS描述了当前用户和描述了当前用户和PUBLIC中具有权限的字段上所授予的权限信息。中具有权限的字段上所授予的权限信息。DBA_COL_PRIV

19、S描述了所有字段上所授予的权限信息。描述了所有字段上所授予的权限信息。USER_COL_PRIVS描述了当前用户具有权限的字段上所授予的权限信息。描述了当前用户具有权限的字段上所授予的权限信息。ALL_COL_PRIVS_RECD描述了当前用户和描述了当前用户和PUBLIC中具有权限的字段的模式对象的信息。中具有权限的字段的模式对象的信息。USER_COL_PRIVS_RECD描述了当前用户具有权限字段的模式对象的信息。描述了当前用户具有权限字段的模式对象的信息。l查询权限信息查询权限信息从DBA_TAB_PRIVS数据字典用户视图中查询TEST用户的权限信息。SQLSELECT GRANTE

20、E，2 OWNER，3 TABLE_NAME，4 GRANTOR，5 PRIVILEGE 6 FROM DBA_TAB_PRIVS 7 WHERE GRANTEE=TEST；结果显示为：GRANTEE OWNER TABLE_NAME GRANTOR PRIVILEGE-TEST SCOTT EMP SCOTT SELECTl查询权限信息查询权限信息 从DBA_SYS_PRIVS视图中查询TEST用户的系统权限信息。SQLSELECT GRANTEE，PRIVILEGE 2 FROM DBA_SYS_PRIVS 3 WHERE GRANTEE=TEST；结果显示为：GRANTEE PRIVIL

21、EGE-TEST CREATE SESSION 角色是一组相关权限的集合。DBA可以使用角色为用户授权，也可以从用户中收回角色。由于一个角色中可以具有多个权限，因此在授权时可以一次授予用户多个权限，同时，还可以将同一个角色授予不同的用户，非常便于权限管理。使用角色管理权限具有以下优点：l减少权限管理l动态权限管理l权限的有效性l安全性l方便灵活数据库角色包含下列特点：角色授予与收回语句同系统权限的授予与收回命令完全一样。一个角色可拥有多个系统权限或对象权限。一个角色可授权给其它角色，但不能自己授予自己，即使间接授予也不行。任何角色都可以授权给任何数据库用户。授权给用户的每一角色可以被激活或禁止

22、。在一个数据库中，每一个角色名必须唯一。角色不是模式，不包含在任何模式中，授予角色的用户被删除后不影响该角色。角色的信息保存在数据字典中。l创建角色 【任务14.13】创建TEST_ROLE角色，该角色具有CREATE ROLE的系统权限、查询SCOTT用户EMP表的对象权限，以及授予CONNECT角色。l创建角色 创建角色语句的语法为：CREATE ROLE role NOT IDENTIFIED|IDENTIFIED BY password|EXTERNALLY|GLOBALLY；l创建角色 各关键字和参数的含义为：role 角色名。角色名必须是唯一的，不能与数据库中的其他用户或角色重名。

23、NOT IDENTIFIED 当角色被激活和禁用时，不需要验证口令。该值为默认值。IDENTIFIED 当角色被激活和禁用时，需要验证口令。角色的认证方式有数据库认证和操作系统认证两种。password 当角色被激活和禁用时需要输入的口令。EXTERNALLY 使用外部服务进行认证。GLOBALLY 使用Oracle安全服务器（Oracle Security Server）进行认证。这些角色称为全局角色（Global Role）。l创建角色 角色可以有2种认证方式：数据库认证方式 在激活和禁用角色时需要输入口令，由数据库对口令的正确性进行验证。操作系统认证方式 在激活和禁用角色时不需要输入口令

24、，因为操作系统已对口令的正确性进行了验证。l创建角色 数据库采用何种方式验证可以通过初始化参数OS_ROLES设置。如果该参数设置为TRUE，将由操作系统完全管理角色的验证工作，否则，角色将由数据库验证和管理。例如，现创建一个TEST_ROLE角色，该角色由数据库验证，口令为TEST。SQLCREATE ROLE TEST_ROLE 2 IDENTIFIED BY TEST；l创建角色 例如，向TEST_ROLE角色授予CREATE ROLE的系统权限。SQLGRANT CREATE ROLE TO TEST_ROLE；例如，向TEST_ROLE角色授予查询SCOTT用户EMP表的对象权限。S

25、QL GRANT SELECT ON SCOTT.EMP TO TEST_ROLE；例如，向TEST_ROLE角色授予CONNECT角色。SQL GRANT CONNECT TO TEST_ROLE；l授予角色授予角色 【任务14.14】将TEST_ROLE角色授予TEST用户。使用授予角色权限语句GRANT可以将一个或多个角色授予用户或其它的角色，该语句的语法为：GRANT role ,role.TO user|role|PUBLIC ,user|role|PUBLIC.WITH ADMIN OPTION；l授予角色授予角色其中，各关键字和参数的含义为：role 角色名称。通过一条语句可以将

26、多个角色授予一个或多个用户、角色或PUBLIC公共工作组user 用户名PUBLIC 公共工作组。如果某一系统权限授予该工作组，那么数据库中的所有用户都将具有该权限WITH ADMIN OPTION 表示被授予者可以将该角色授予其他的用户l授予角色授予角色例如，将TEST_ROLE角色授予TEST用户。SQLGRANT TEST_ROLE TO TEST 2 WITH ADMIN OPTION；结果显示为：授权成功。l授予角色授予角色缺省角色在用户登录上数据库时自动被激活。设置角色为缺省角色的语句语法为：ALTER USER user DEFAULT ROLE role,role.|ALL E

27、XCEPT role,role.|NONE；l授予角色授予角色其中，各关键字和参数的含义为：User 用户名role 被设置为缺省角色的角色名。可以同时设置多个角色为缺省角色ALL 设置所有角色为缺省角色EXCEPT 除了所给出的角色外，所有角色均为缺省角色NONE 设置所有角色不为缺省角色l授予角色授予角色例如，将TEST用户的TEST_ROLE角色设置为缺省角色。SQLALTER USER TEST2 DEFAULT ROLE TEST_ROLE；结果显示为：用户已更改。l授予角色授予角色 重新使用TEST用户身份登录数据库后，就可以查询SCOTT用户的EMP表。因为TEST_ROLE角色

28、中授予了查询SCOTT用户EMP表的权限。例如，将TEST用户的所有角色设置为缺省角色。SQLALTER USER TEST2 DEFAULT ROLE ALL；结果显示为：用户已更改。l授予角色授予角色 例如，将TEST用户的所有角色设置为非缺省角色。SQLALTER USER TEST2 DEFAULT ROLE NONE；结果显示为：用户已更改。l管理角色管理角色 【任务14.15】将TEST_ROLE角色的口令修改为ROLE，并设置TEST_ROLE角色为无效。l管理角色管理角色 1.修改验证方法 角色创建好之后，可以通过ALTER ROLE语句对角色的验证方法进行修改，其语法为：AL

29、TER ROLE role NOT IDENTIFIED|IDENTIFIED BY password|EXTERNALLY|GLOBALLY;l管理角色管理角色1.修改验证方法其中，各关键字和参数的含义为：role 角色名。角色名必须是唯一的，不能与数据库中的其他用户或角色重名。NOT IDENTIFIED 当角色被激活和禁用时，不需要验证口令。该值为默认值。IDENTIFIED 当角色被激活和禁用时，需要验证口令。角色的认证方式有数据库认证和操作系统认证两种。password 当角色被激活和禁用时需要输入的口令。EXTERNALLY 使用外部服务进行认证。GLOBALLY 使用Oracle

30、安全服务器（Oracle Security Server）进行认证。l管理角色管理角色1.修改验证方法 例如，在上一个例子中创建的TEST_ROLE角色，该角色由数据库验证，口令为TEST，现将其口令改为ROLE。SQLALTER ROLE TEST_ROLE 2 IDENTIFIED BY TEST；l管理角色管理角色2.激活和禁止角色 在将角色授予用户后，用户可以在当前会话中控制角色的状态，可以激活角色使其有效，也可以禁止角色使其暂时无效。角色有效时，用户可以根据该角色具有的权限执行相应的操作，角色无效时，用户就没有该角色拥有的权限。激活或禁止角色只在当前会话连接中生效，在新建的会话连接中

31、，角色仍为默认状态。l管理角色管理角色2.激活和禁止角色激活和禁止语句的语法为：SET ROLE role IDENTIFIED BY password ,role IDENTIFIED BY password.|ALL EXCEPT role,role .|NONE;l管理角色管理角色2.激活和禁止角色其中，各关键字和参数的含义为：role 被激活或禁止的角色名。在SET ROLE语句中可以同时激活和禁用多个角色。IDENTIFIED 如果角色采用数据库认证方式，当角色被激活和禁用时，需要验证口令。password 当角色被激活和禁用时需要输入的口令。ALL 激活所有角色。EXCEPT 除了

32、所给出的角色外，所有角色均被激活。NONE 设置所有角色均被禁止。如果角色需要认证，不能使用该选项。l管理角色管理角色2.激活和禁止角色将用户TEST的角色TEST_ROLE设置为激活状态。SQLSET ROLE TEST_ROLE2 IDENTIFIED BY TEST；将TEST_ROLE角色设置为禁止状态。SQLSET ROLE TEST_ROLE NONE；l收回角色收回角色【任务14.16】从TEST用户中收回TEST_ROLE角色。REVOKE语句的语法为：REVOKE role,role FROM user|role|PUBLIC ,user|role|PUBLIC；l收回角色收

33、回角色从用户TEST收回TEST_ROLE角色。SQLREVOKE TEST_ROLE 2 FROM TEST；结果显示为：撤销成功。l删除角色删除角色【任务14.17】删除TEST_ROLE角色。使用DROP ROLE语句可以删除角色。在删除角色后，Oracle将从所有用户和角色中删除该角色，并将保存在数据字典中的有关该角色的信息删除掉。该语句的语法为：DROP ROLE role；l删除角色删除角色删除TEST_ROLE角色。SQLDROP ROLE TEST_ROLE；结果显示为：角色已丢弃l查询角色信息查询角色信息 视视 图图 名名 称称说说 明明DBA_ROLES描述了数据库中所有角

34、色的基本信息。描述了数据库中所有角色的基本信息。DBA_ROLE_PRIVS描述了已授予用户和角色的角色信息。描述了已授予用户和角色的角色信息。ROLE_ROL_PRIVS描述了已授予角色的角色信息。描述了已授予角色的角色信息。DBA_SYS_PRIVS描述了已授予用户和角色的系统权限信息。描述了已授予用户和角色的系统权限信息。ROLE_SYS_PRIVS描述了已授予角色的系统权限信息。描述了已授予角色的系统权限信息。ROLE_TAB_PRIVS描述了已授予角色的对象权限信息。描述了已授予角色的对象权限信息。SESSION_ROLES描述了当前会话中被激活的角色信息。描述了当前会话中被激活的角

35、色信息。l查询角色信息查询角色信息 从DBA_ROLES视图中查询所用角色的基本信息。SQLSELECT*FROM DBA_ROLES；结果显示为：ROLE PASSWORD-CONNECT NORESOURCE NODBA NOl查询角色信息查询角色信息 从DBA_ROLE_PRIVS视图中查询已授予用户的角色。SQLSELECT*FROM DBA_ROLE_PRIVS 2 WHERE GRANTEE=SCOTT；结果显示为：GRANTEE GRANTED_ROLE ADM DEF-SCOTT CONNECT NO YESSCOTT RESOURCE NO YES l查询角色信息查询角色信息

36、 从SESSION_ROLES视图中查询当前会话被激活的角色。SQL SELECT*FROM SESSION_ROLES；结果显示为：ROLE-DBASELECT_CATALOG_ROLEHS_ADMIN_ROLElOracle数据库和系统中的主要资源包括CPU时间、输入输出操作、会话空闲时间、会话连接时间、内存空间等。Oracle通过概要文件管理这些有限资源，防止用户随意占用。此外，概要文件中还对用户的口令进行管理，如口令有效时间、口令到期时间、口令历史、口令复杂度验证以及帐号锁定等。管理概要文件包括创建、分配、修改、删除和查看概要文件等。l用户管理是Oracle非常重要的安全保护措施之一，

37、是DBA安全策略中的重要组成部分。用户管理的主要内容包括用户合法性认证方式、用户存储空间管理、用户资源管理、用户权限和角色管理等。l权限是执行SQL语句或存取数据的权力。通过授予用户权限，用户可以对自己的模式对象进行查询、删除和修改等操作，也可以查询、删除和修改其它用户的模式对象。Oracle的权限可分为系统权限和对象权限有两类。系统权限是指允许用户执行一种特殊的数据库操作或一类数据库操作的权力。对象权限是指执行某些特殊的SQL语句或者是访问某些对象的权利。Oracle可以将权限直接授予用户，也可以先将权限授予角色，然后再将角色授予用户。l角色是一组相关权限的集合。DBA可以使用角色为用户授权，也可以从用户中收回角色。使用角色管理权限具有方便、简单等优点。角色管理主要包括创建、授予、收回、删除角色