網(wǎng)絡(luò)數(shù)據(jù)庫課件第七講

網(wǎng)絡(luò)數(shù)據(jù)庫內(nèi)蒙古工業(yè)大學(xué)管理學(xué)院王建國（第七講）上機(jī)問題解答第四章ORACLE數(shù)據(jù)庫安全管理4.1用戶管理4.2用戶概要文件管理4.3權(quán)限管理4.4不同用戶權(quán)限管理4.5表級保護(hù)數(shù)據(jù)安全對于任何一個(gè)數(shù)據(jù)庫，安全是首要的。因此，在設(shè)計(jì)一個(gè)數(shù)據(jù)庫時(shí)，應(yīng)合理設(shè)計(jì)它的安全性機(jī)制，使數(shù)據(jù)庫在保證安全的基礎(chǔ)上，更充分地發(fā)揮性能主要內(nèi)容4.1用戶管理第四章ORACLE數(shù)據(jù)庫安全管理之4.1用戶管理4.1.2修改用戶4.1.1創(chuàng)建用戶4.1.3刪除用戶4.1.4與用戶管理有關(guān)的數(shù)據(jù)字典4.1.1創(chuàng)建用戶用安全參數(shù)設(shè)置來控制用戶的存取權(quán)限，保證數(shù)據(jù)庫的可靠性。每一個(gè)用戶創(chuàng)建時(shí)有一個(gè)口令，并且以后可以由此用戶改變ORACLE存儲用戶名和口令當(dāng)用戶試圖聯(lián)結(jié)數(shù)據(jù)庫時(shí)，ORACLE檢查用戶的合法性用戶的合法性可由操作系統(tǒng)來檢查命令：CREATEUSER用戶名IDENTIFIEDBY口令|EXTERNALLY[DEFAULTTABLESPACE表空間名][TEMPORARYTABLESPACE表空間名][QUOTA數(shù)值|UNLIMITEDON表空間名][PROFILE文件名]4.1.1創(chuàng)建用戶例：建立用戶SIDNY。CREATEUSERsidnyIDENTIFIEDBY

carton

DEFAULTTABLESPACEcases_ts TEMPORARYTABLESPACEtemp_ts QUOTA5MONcases_ts QUOTA5MONtemp_ts PROFILE

engineer;4.1.1創(chuàng)建用戶4.1.1創(chuàng)建用戶4.1.1創(chuàng)建用戶4.1.2修改用戶修改已有用戶的選項(xiàng)。通過ALTER命令來修改：口令缺省實(shí)體表空間臨時(shí)表空間每個(gè)表空間的限額PROFILE（資源）文件角色命令：ALTERUSER用戶名IDENTIFIEDBY口令|EXTERNALLY[DEFAULTTABLESPACE表空間名][TEMPORARYTABLESPACE表空間名][QUOTA數(shù)值|UNLIMITEDON表空間名][PROFILE文件名][DEFAULTROLE角色名]4.1.2修改用戶例：修改用戶SIDNY的口令為lion，并將使用的表空間默認(rèn)為TEST1。CREATEUSERsidnyIDENTIFIEDBY

lion

DEFAULTTABLESPACETEST1;注意：用ALTER命令修改用戶的選項(xiàng)后，所有原已占用的資源保留一旦0限額被設(shè)定，用戶擁有的實(shí)體仍保留在原表空間中，但不能再使用新的空間4.1.3刪除用戶將不再使用的用戶刪除命令：DROPUSER用戶名CASCADE CASCADE選項(xiàng)在刪除用戶之前刪除他擁有的所有實(shí)體注意：盡量少用CASCADE選項(xiàng)，當(dāng)用戶用CASCADE選項(xiàng)刪除時(shí)，用戶名及其實(shí)體從數(shù)據(jù)字典中移出，并被立即刪除當(dāng)前正連接的用戶不能被刪除4.1.4與用戶管理有關(guān)的數(shù)據(jù)字典視圖USER_USERSALL_USERSDBA_USERSUSER_TS_QUOTASDBA_TS_QUOTAS4.2用戶概要文件管理第四章ORACLE數(shù)據(jù)庫安全管理之4.2用戶概要文件管理4.2.2修改概要文件4.2.1創(chuàng)建概要文件4.2.3刪除概要文件4.2.4與概要文件有關(guān)的數(shù)據(jù)字典4.2.1創(chuàng)建概要文件創(chuàng)建用戶時(shí)，必須給用戶指定概要文件，規(guī)定用戶可用的資源信息。命令如下：CREATEPROFILE概要文件名LIMITSESSION_PER_USER限制一個(gè)用戶的并發(fā)會(huì)話個(gè)數(shù)CPU_PER_SESSION限制一次會(huì)話的CPU時(shí)間（單位：百分之一秒）CPU_PER_CALL限制一次調(diào)用的CPU時(shí)間CONNECT_TIME限制一次會(huì)話總的使用時(shí)間IDLE_TIME限制會(huì)話期間連接不活動(dòng)周期（單位：分）LOGICAL_READS_PER_SESSION限制一次會(huì)話中讀的數(shù)據(jù)塊的數(shù)目LOGICAL_READS_PER_CALL限制處理一個(gè)SQL語句一次調(diào)用的數(shù)據(jù)塊的數(shù)目COMPOSITE_LIMIT限制一次會(huì)話總的資源開銷PRIVATE_SGA限制一次會(huì)話在SGA的共享池可分配的專用空間數(shù)目4.2.1創(chuàng)建概要文件——例子（命令行方式）建立概要文件SYSTEM_MANAGER。命令如下：CREATEPROFILEsystem_managerLIMITSESSION_PER_USERUNLIMITEDCPU_PER_SESSION

UNLIMITEDCONNECT_TIME45LOGICAL_READS_PER_SESSION

defaultLOGICAL_READS_PER_CALL10004.2.1創(chuàng)建概要文件——例子（企業(yè)管理器方式）選擇【開始】/【程序】/【Oracle-OraHome92】/【EnterpriseManagerConsole】，以系統(tǒng)管理員登陸數(shù)據(jù)庫，選擇【安全性】下的【概要文件】選項(xiàng)，單擊鼠標(biāo)右鍵4.2.1創(chuàng)建概要文件——例子（企業(yè)管理器方式）在【一般信息】選項(xiàng)卡的相應(yīng)位置輸入正確內(nèi)容4.2.1創(chuàng)建概要文件——例子（企業(yè)管理器方式）在【口令】選項(xiàng)卡做合適的限制指定后，單擊創(chuàng)建按鈕。4.2.2修改概要文件ALTERPROFILE概要文件名LIMITSESSION_PER_USER限制一個(gè)用戶的并發(fā)會(huì)話個(gè)數(shù)CPU_PER_SESSION限制一次會(huì)話的CPU時(shí)間（單位：百分之一秒）CPU_PER_CALL限制一次調(diào)用的CPU時(shí)間CONNECT_TIME限制一次會(huì)話總的使用時(shí)間IDLE_TIME限制會(huì)話期間連接不活動(dòng)周期（單位：分）LOGICAL_READS_PER_SESSION限制一次會(huì)話中讀的數(shù)據(jù)塊的數(shù)目LOGICAL_READS_PER_CALL限制處理一個(gè)SQL語句一次調(diào)用的數(shù)據(jù)塊的數(shù)目COMPOSITE_LIMIT限制一次會(huì)話總的資源開銷PRIVATE_SGA限制一次會(huì)話在SGA的共享池可分配的專用空間數(shù)目命令如下：例：在engineer資源文件中定義5個(gè)并行會(huì)話的限制ALTERPROFILEengineerLIMITSESSION_PER_USER5;4.2.3刪除概要文件命令：DROPPROFILE資源文件名CASCADE4.2.4與概要文件有關(guān)的數(shù)據(jù)字典USER_RESOURCE_LIMITSDBA_PROFILESRESOURCE_COST4.3權(quán)限管理第四章ORACLE數(shù)據(jù)庫安全管理之4.3權(quán)限管理4.3.2實(shí)體權(quán)限4.3.1系統(tǒng)權(quán)限4.3.3角色管理4.3.1系統(tǒng)權(quán)限先介紹兩個(gè)概念：對象權(quán)限：在一個(gè)指定的對象（表、視圖、過程、函數(shù)或包等）上完成一個(gè)特殊活動(dòng)的特權(quán)系統(tǒng)權(quán)限：完成特殊活動(dòng)或在一個(gè)特殊類型的對象上完成特殊活動(dòng)的一個(gè)特權(quán)注意：系統(tǒng)權(quán)限不是針對某個(gè)特定的用戶實(shí)體或結(jié)構(gòu)，它是對一類實(shí)體的某個(gè)特定操作或一類操作。系統(tǒng)權(quán)限類型:在某個(gè)用戶自己的實(shí)體上創(chuàng)建表的權(quán)限和創(chuàng)建序列生成器的權(quán)限對所有實(shí)體的一個(gè)特定類型包括有在任何用戶實(shí)體上創(chuàng)建表的權(quán)限和在任何用戶實(shí)體上更新表、視圖的權(quán)限對系統(tǒng)或一個(gè)用戶包括創(chuàng)建用戶的權(quán)限和創(chuàng)建會(huì)話的權(quán)限（連接數(shù)據(jù)庫）4.3.1系統(tǒng)權(quán)限——授予系統(tǒng)權(quán)限命令如下：GRANT系統(tǒng)權(quán)限名|角色名TO用戶名|角色名|PUBLIC[WITHADMINOPTION]用WITHADMINOPTION時(shí)注意：獲權(quán)者可以向其他用戶授予或回收權(quán)限獲權(quán)者可進(jìn)一步授權(quán)WITHADMINOPTION回收WITHADMINOPTION不是級聯(lián)的WITHADMINOPTION權(quán)限不能授予角色要想授予系統(tǒng)權(quán)限，用戶必須已被授予了WITHADMINOPTION例：將CREATESESSION系統(tǒng)權(quán)限授予RICHARDGRANTcreatesessionTORichard;4.3.1系統(tǒng)權(quán)限——回收系統(tǒng)權(quán)限命令如下：REVOKE系統(tǒng)權(quán)限名|角色名FROM用戶名|角色名|PUBLIC例：從RICHARD,BILL回收DROPANYTABLE系統(tǒng)權(quán)限REVOKEdropanytableFROMRichard,Bill;注意：要回收WITHADMINOPTION不是級聯(lián)的權(quán)限，必須是以前授予了WITHADMINOPTION權(quán)限系統(tǒng)權(quán)限可以被非授權(quán)者回收授予或回收的權(quán)限，即刻生效4.3.2實(shí)體權(quán)限只有授予實(shí)體權(quán)限后，才允許用戶對指定的對象進(jìn)行操作，實(shí)體權(quán)限的類型隨實(shí)體不同而不同。4.3.2實(shí)體權(quán)限——授予實(shí)體權(quán)限注意：為了授予實(shí)體權(quán)限，此實(shí)體必須是用戶自己擁有或已被授予了對此實(shí)體的WITHGRANTOPTION實(shí)體擁有者可授予其他用戶或角色對此實(shí)體的所有權(quán)限如果授權(quán)包括WITHGRANTOPTION，被授權(quán)者可將此實(shí)體權(quán)限授予其他用戶實(shí)體擁有者自動(dòng)擁有對此實(shí)體的所有權(quán)限[WITHGRANTOPTION]如果授權(quán)時(shí)包括該選項(xiàng)，被授權(quán)用戶可將權(quán)限授予其他用戶當(dāng)授權(quán)人的權(quán)限被回收時(shí)，被授予的WITHGRANTOPTION也將被回收WITHGRANTOPTION不能授予角色命令：

GRANT實(shí)體權(quán)限名[（列名）]ON實(shí)體TO用戶名|角色名|PUBLIC[WITHGRANTOPTION]4.3.2實(shí)體權(quán)限——回收實(shí)體權(quán)限命令：

REVOKE實(shí)體權(quán)限名[（列名）]ON實(shí)體FROM用戶名|角色名|PUBLIC[CASCADECONSTRAINTS]注意：授權(quán)者只能向用戶收回他授出的權(quán)限4.3.3角色管理角色的特點(diǎn)：可以包含系統(tǒng)權(quán)限和實(shí)體權(quán)限不被任何用戶擁有，也不屬于任何用戶實(shí)體可以授予其他用戶或角色，除了自身以外（即使是間接的）可以對每個(gè)授予的用戶生效或失效可以要求使之生效的口令角色是由一個(gè)命名的關(guān)聯(lián)特權(quán)組成，用來維護(hù)和控制特權(quán)。角色的作用：減少授權(quán)次數(shù)動(dòng)態(tài)的特權(quán)管理選擇可用特權(quán)4.3.3角色管理——?jiǎng)?chuàng)建角色例1創(chuàng)建一個(gè)名為ROLE1的角色：

CREATEROLEROLE1；例2用TIGER作為角色ROLE1的口令

CREATEROLEROLE1IDENTIFIEDBYTIGER；例3創(chuàng)建ROLE2角色并允許操作系統(tǒng)工具存取該角色：

CREATEROLEROLE2IDENTIFIEDEXTERNALLY；命令：CREATEROLE角色名NOTIDENTIFIED|IDENTIFIEDBY口令|EXTERNALLY4.3.3角色管理——將權(quán)限授予角色可以一組權(quán)限授予角色：

GRANT<權(quán)限組>TO角色名例：將創(chuàng)建,修改表,創(chuàng)建過程的權(quán)限授予ROLE1角色。

GRANTCREATETABELE, ALTERTABLE,CREATEANYPROCEDURETOROLE1；4.3.3角色管理——將角色授予用戶、角色把角色授予指定用戶，使角色中的權(quán)限發(fā)揮作用：

GRANT角色名TO用戶名例：將ROLE1角色授予LIPING。 GRANTROLE1TOLIPING；還可以把角色中的權(quán)限授予另一個(gè)角色：

GRANTROLE1TOROLE2；則ROLE2就擁有了ROLE1的全部權(quán)限。還可以在此基礎(chǔ)上，繼續(xù)用GRANT授權(quán)語句給ROLE2擴(kuò)充權(quán)限。4.3.3角色管理——修改角色可以用命令改變角色口令生效的方式：

ALTERROLE角色名NOTIDENTIFIED|IDENTIFIEDBY口令|EXTERNALLY 例：修改ROLE1角色，使它不必經(jīng)過ORACLE系統(tǒng)確認(rèn)就生效。

ALTERROLEROLE1NOTIDENTIFIED；可以用命令來控制角色，使之有效或無效

SETROLE角色名[ALL|EXCEPT角色|NONE]；例：使ROLE1角色有效