人大金倉安全數(shù)據(jù)庫中的用戶權(quán)限管理

1、金倉安全數(shù)據(jù)庫中的用戶權(quán)限管理技術(shù)1概述安全是信息安全的基礎(chǔ)環(huán)節(jié)和重要支撐。為應(yīng)對紛繁復(fù)雜的多樣化數(shù)據(jù)安全保護(hù)需求，金倉重力打造完全遵照安全數(shù)據(jù)庫國家標(biāo)準(zhǔn)GB/T 20273-2006的結(jié)構(gòu)化保護(hù)級（第四級）技術(shù)的企業(yè)級安全數(shù)據(jù)庫產(chǎn)品“金倉安全數(shù)據(jù)庫”，為用戶提供核心級數(shù)據(jù)保護(hù)能力。金倉安全數(shù)據(jù)庫具備完整系統(tǒng)的安全功能，通過全新結(jié)構(gòu)化系統(tǒng)設(shè)計(jì)和強(qiáng)化的多樣化強(qiáng)制訪問控制模型框架，在身份鑒別、用戶權(quán)限，以及數(shù)據(jù)訪問、存儲和傳輸?shù)确矫娴陌踩鰪?qiáng)提高了數(shù)據(jù)庫系統(tǒng)的整體安全性，提供了包括強(qiáng)化身份鑒別、自主訪問控制、安全標(biāo)記、強(qiáng)制訪問控制、特權(quán)分立、安全審計(jì)、資源限制、客體重用，以及程序運(yùn)行和數(shù)據(jù)存儲完整

2、性、數(shù)據(jù)存儲透明加密、 數(shù)據(jù)傳輸加密等在內(nèi)的主要安全功能和控制手段，可以從容應(yīng)對復(fù)雜多樣的安全業(yè)務(wù)場景，保障敏感數(shù)據(jù)的安全。下面詳細(xì)介紹一下特權(quán)分立和受限D(zhuǎn)BA的安全性能：1.1.特權(quán)分立金倉安全數(shù)據(jù)庫采用了三權(quán)分立的安全管理體制，數(shù)據(jù)庫三權(quán)分立是為了解決數(shù)據(jù)庫超級用戶權(quán)力過度集中的問題，參照行政、立法、司法三權(quán)分立的原則來設(shè)計(jì)的安全管理機(jī)制。金倉安全數(shù)據(jù)庫把數(shù)據(jù)庫管理員分為數(shù)據(jù)庫管理員、安全管理員、審計(jì)管理員三類。*數(shù)據(jù)庫管理員，主要負(fù)責(zé)執(zhí)行數(shù)據(jù)庫日常管理各種操作和自主存取控制。*安全管理員，主要負(fù)責(zé)強(qiáng)制存取控制規(guī)則的制定和管理。*審計(jì)管理員，主要負(fù)責(zé)數(shù)據(jù)庫的審計(jì)，監(jiān)督前兩類用戶的操作。特權(quán)

3、分立的優(yōu)點(diǎn)：-這三類用戶是相互制約又相互協(xié)作共同完成數(shù)據(jù)庫的管理工作。安全管理員可以授 權(quán)用戶查看某些敏感數(shù)據(jù)（強(qiáng)制存取控制授權(quán)），但是并不意味著這個用戶就可以 看到這些敏感數(shù)據(jù)，它還需要得到數(shù)據(jù)庫管理員的授權(quán)（自主存取控制授權(quán)）。同 理，如果只有數(shù)據(jù)庫管理員的自主存取控制授權(quán)而沒有安全管理員的強(qiáng)制存取控制 授權(quán)，用戶還是無法看到它不應(yīng)當(dāng)看到的敏感數(shù)據(jù)。審計(jì)管理員擁有一套機(jī)制，可 以保護(hù)審計(jì)記錄數(shù)據(jù)不會被數(shù)據(jù)庫管理員或者安全管理員刪除或者篡改。-這三類用戶彼此隔離，互不包容，各自維護(hù)自己權(quán)限許可范圍內(nèi)的對象，不能跨范 圍操作，也不能相互授權(quán)。數(shù)據(jù)庫管理員不能對安全、審計(jì)相關(guān)的用戶及數(shù)據(jù)庫對 象

4、進(jìn)行操作，不能將任何用戶修改為安全員或?qū)徲?jì)員，不能授予、回收安全員、審 計(jì)員的權(quán)限，不能切換到安全員、審計(jì)員的許可認(rèn)證；安全員只能管理安全員和安 全相關(guān)的系統(tǒng)對象，同理，審計(jì)員只能管理審計(jì)員和審計(jì)相關(guān)的系統(tǒng)對象。-三權(quán)分立堵住了以前濫用數(shù)據(jù)庫超級用戶特權(quán)的安全漏洞，進(jìn)一步提高了數(shù)據(jù)庫的 整體安全性。1.2.受限 DBA受限D(zhuǎn)BA旨對數(shù)據(jù)庫管理權(quán)限進(jìn)行相應(yīng)限制的DBA金倉安全數(shù)據(jù)庫提供了受限D(zhuǎn)BA功能，可有效限制DBA對其他用戶的默認(rèn)數(shù)據(jù)訪問權(quán)限。金倉安全數(shù)據(jù)庫通過提供系統(tǒng)配置 參數(shù)restricted_DBA來配置受限D(zhuǎn)BA功能。只有系統(tǒng)安全員（SSO對受限D(zhuǎn)BA功能有打開或關(guān)閉權(quán)限。所有用戶

5、可以查詢受限D(zhuǎn)BA功能的當(dāng)前工作狀態(tài)。金倉安全數(shù)據(jù)庫中的權(quán)限可以分為以下三類，系統(tǒng)權(quán)限、對象權(quán)限、列級權(quán)限。針對系統(tǒng)中權(quán)限結(jié)構(gòu)，可以理解為權(quán)限所有者主要有三種：DBA屬主（owner）、被屬主直接授權(quán)或間接授權(quán)的用戶（通過grant進(jìn)行的ACL授權(quán)，下文簡稱 ACL授權(quán)用戶）。* 系統(tǒng)權(quán)限，是執(zhí)行特定操作的權(quán)限。這些權(quán)限包括：CREATE DATABASECREATEUSER CREATE ROLE的權(quán)限，具體分為 SUPERUSER SSO SAO CREATEDB和 CREATEROL五個系統(tǒng)權(quán)限。對象權(quán)限，是對給定的用戶授予在給定對象（例如表）上執(zhí)行的操作集。這些操作可以指明為INSER

6、T、SELECT等，具體各類對象具有的權(quán)限類型可參見GRANT和REVOKE語句的說明。*列級權(quán)限，是對給定的用戶授予在給定表或視圖上某些列執(zhí)行操作集。此動作只能為 INSERT UPDATED REFERENCES當(dāng)前系統(tǒng)DBA擁有全部以上三種權(quán)限，對象的屬主(owner)在對象上擁有所有對象權(quán)限和列級權(quán)限，ACL授權(quán)用戶擁有相應(yīng)授權(quán)的對象權(quán)限或列級權(quán)限，擁有CREATEROL權(quán)限的用戶可以轉(zhuǎn)授權(quán)系統(tǒng)權(quán)限 (alter user) ，DBA屬主和賦予GRANT功能的ACL授權(quán)用戶可以 轉(zhuǎn)授權(quán)對象權(quán)限或列級權(quán)限。受限D(zhuǎn)BA功能開啟后，要求屏蔽 DBA的對象權(quán)限和列級權(quán)限，即只有屬主或ACL授權(quán)用戶擁有對象權(quán)限和列級權(quán)限。DBA的系統(tǒng)權(quán)限不受影響。2小結(jié)金倉安全數(shù)據(jù)庫提供了包括特權(quán)分立、受限D(zhuǎn)BA等主要安全功能和控制手段，可以從容應(yīng)對復(fù)雜多樣的安全