數(shù)據(jù)庫基礎(chǔ)與實(shí)例教程（達(dá)夢DM8） 課件 7.1用戶管理

數(shù)據(jù)庫基礎(chǔ)（基于達(dá)夢DM8）數(shù)據(jù)庫安全管理77.1用戶管理03修改用戶01數(shù)據(jù)庫的用戶管理04刪除用戶02創(chuàng)建用戶數(shù)據(jù)庫的用戶管理7.1.17.1.1數(shù)據(jù)庫的用戶管理

在現(xiàn)實(shí)生活中，一個(gè)系統(tǒng)一般不會只給一個(gè)人使用，而是多人共同使用的。在多人使用的場景下，通常會分為多類使用人群，如數(shù)據(jù)管理人員、開發(fā)人員、某系統(tǒng)負(fù)責(zé)人、一般用戶等。7.1.1數(shù)據(jù)庫的用戶管理

如果將所有的權(quán)利都賦予某一個(gè)人，而不加以監(jiān)督和控制，勢必會產(chǎn)生權(quán)利濫用的風(fēng)險(xiǎn)。從數(shù)據(jù)庫安全角度出發(fā)，一個(gè)大型的數(shù)據(jù)庫系統(tǒng)有必要將數(shù)據(jù)庫系統(tǒng)的權(quán)限分配給不同的用戶和角色來管理，并且各自偏重于不同的工作職責(zé)，使之能夠互相限制和監(jiān)督，從而有效保證系統(tǒng)的整體安全。7.1.1數(shù)據(jù)庫的用戶管理

DM數(shù)據(jù)庫采用“三權(quán)分立”或“四權(quán)分立”的安全機(jī)制，將系統(tǒng)中所有的權(quán)限按照類型進(jìn)行劃分，為每個(gè)管理員分配相應(yīng)的權(quán)限，不同角色管理員之間的權(quán)限相互制約又相互協(xié)助，從而使整個(gè)系統(tǒng)具有較高的安全性和較強(qiáng)的靈活性。7.1.1數(shù)據(jù)庫的用戶管理

使用“三權(quán)分立”的安全機(jī)制時(shí)，在安裝過程中，DM數(shù)據(jù)庫會預(yù)設(shè)數(shù)據(jù)庫管理員賬號SYSDBA、數(shù)據(jù)庫安全員賬號SYSSSO和數(shù)據(jù)庫審計(jì)員賬號SYSAUDITOR，如圖所示。其缺省口令都與用戶名一致。7.1.1數(shù)據(jù)庫的用戶管理

使用“四權(quán)分立”的安全機(jī)制時(shí)，在“數(shù)據(jù)庫管理員賬號SYSDBA”、“數(shù)據(jù)庫安全員賬號SYSSSO”和“數(shù)據(jù)庫審計(jì)員賬號SYSAUDITOR”基礎(chǔ)上，新增數(shù)據(jù)庫對象操作員賬戶SYSDBO，其缺省口令為SYSDBO。7.1.1數(shù)據(jù)庫的用戶管理（1）數(shù)據(jù)庫管理員（DBA）每個(gè)數(shù)據(jù)庫至少需要一個(gè)DBA來管理，DBA可能是一個(gè)團(tuán)隊(duì)，也可能是一個(gè)人。在不同的數(shù)據(jù)庫系統(tǒng)中，數(shù)據(jù)庫管理員的職責(zé)可能也會有比較大的區(qū)別，總體而言，數(shù)據(jù)庫管理員的職責(zé)主要包括以下任務(wù)。評估數(shù)據(jù)庫服務(wù)器所需的軟、硬件運(yùn)行環(huán)境安裝和升級DM服務(wù)器數(shù)據(jù)庫結(jié)構(gòu)設(shè)計(jì)監(jiān)控和優(yōu)化數(shù)據(jù)庫的性能計(jì)劃和實(shí)施備份與故障恢復(fù)7.1.1數(shù)據(jù)庫的用戶管理（2）數(shù)據(jù)庫安全員（SSO）數(shù)據(jù)庫安全員的主要職責(zé)是制定并應(yīng)用安全策略，強(qiáng)化系統(tǒng)安全機(jī)制。數(shù)據(jù)庫安全員SYSSSO是DM數(shù)據(jù)庫初始化的時(shí)候就已經(jīng)創(chuàng)建好的，可以以該用戶登錄到DM數(shù)據(jù)庫來創(chuàng)建新的數(shù)據(jù)庫安全員。數(shù)據(jù)庫安全員不能對用戶數(shù)據(jù)進(jìn)行增、刪、改、查，也不能執(zhí)行普通的DDL操作如創(chuàng)建表、視圖等。他們只負(fù)責(zé)制定安全機(jī)制，將合適的安全標(biāo)記應(yīng)用到主體和客體，通過這種方式可以有效地對DBA的權(quán)限進(jìn)行限制7.1.1數(shù)據(jù)庫的用戶管理（3）數(shù)據(jù)庫審計(jì)員（AUDITOR）在DM數(shù)據(jù)庫中，審計(jì)員的主要職責(zé)就是創(chuàng)建和刪除數(shù)據(jù)庫審計(jì)員，設(shè)置/取消對數(shù)據(jù)庫對象和操作的審計(jì)設(shè)置，查看和分析審計(jì)記錄，審計(jì)所有用戶（包括管理人員）的操作是否符合規(guī)定等。數(shù)據(jù)庫審計(jì)員（SYSAUDITOR或者其他由SYSAUDITOR創(chuàng)建的審計(jì)員）可設(shè)置審計(jì)策略（包括審計(jì)對象和操作），查看審計(jì)記錄，及時(shí)分析并查找出違規(guī)人員。7.1.1數(shù)據(jù)庫的用戶管理（4）數(shù)據(jù)庫對象操作員（DBO）數(shù)據(jù)庫對象操作員是“四權(quán)分立”新增加的一類用戶，可以創(chuàng)建數(shù)據(jù)庫對象，并對自己擁有的數(shù)據(jù)庫對象（表、視圖、存儲過程、序列、包、外部鏈接等）具有所有的對象權(quán)限并可以授出與回收，但其無法管理與維護(hù)數(shù)據(jù)庫對象。創(chuàng)建用戶7.1.27.1.2創(chuàng)建用戶數(shù)據(jù)庫系統(tǒng)在運(yùn)行的過程中，往往需要根據(jù)實(shí)際需求創(chuàng)建用戶。創(chuàng)建用戶的操作一般只能由系統(tǒng)預(yù)設(shè)用戶SYSDBA、SYSSSO和SYSAUDITOR完成，如果普通用戶需要?jiǎng)?chuàng)建用戶，必須具有CREATEUSER的數(shù)據(jù)庫權(quán)限。在DM中使用CREATEUSER語句創(chuàng)建用戶，基本的語法格式如下。CREATEUSER<用戶名>IDENTIFIEDBY<口令>[PASSWORD_POLICY<口令策略>][<資源限制子句>][ALLOW_IP<IP項(xiàng)>{,<IP項(xiàng)>}][NOT_ALLOW_IP<IP項(xiàng)>{,<IP項(xiàng)>}]7.1.2創(chuàng)建用戶1）口令策略用戶口令最長為48字節(jié)，創(chuàng)建用戶語句中的PASSWORDPOLICY子句用來指定該用戶的口令策略，系統(tǒng)支持的口令策略有。0無策略1禁止與用戶名相同2口令長度不小于94至少包含一個(gè)大寫字母（A-Z）8至少包含一個(gè)數(shù)字（0-9）16至少包含一個(gè)標(biāo)點(diǎn)符號（英文輸入法狀態(tài)下，除““”和“空格”外的所有符號）口令策略可單獨(dú)應(yīng)用，也可組合應(yīng)用。組合應(yīng)用時(shí)，如需要應(yīng)用策略2和4，則設(shè)置口令策略為2+4=6即可。7.1.2創(chuàng)建用戶2）IP限制允許IP、禁止IP只在安全版本中提供。3）資源控制子句資源控制語句中的“資源設(shè)置項(xiàng)”詳見表7-1。創(chuàng)建用戶案例CREATEUSERFACTORY_USERIDENTIFIEDBYFACTORY123_USERPASSWORD_POLICY14;

【案例7-1】創(chuàng)建一個(gè)名為FACTORY_USER的用戶，密碼策略包含口令長度不小于9、至少包含一個(gè)大寫字母（A-Z）和至少包含一個(gè)數(shù)字（0-9）。密碼策略對應(yīng)的是2、4和8，故設(shè)置時(shí)將密碼策略設(shè)置為2+4+8=14。創(chuàng)建用戶案例CREATEUSERSTAFF_USERIDENTIFIEDBYSTAFF123_USERPASSWORD_POLICY15;

【案例7-2】創(chuàng)建一個(gè)名為STAFF_USER的用戶，密碼策略包含禁止與用戶名相同、口令長度不小于9、至少包含一個(gè)大寫字母（A-Z）和至少包含一個(gè)數(shù)字（0-9）。密碼策略對應(yīng)的是1、2、4和8，故設(shè)置時(shí)將密碼策略設(shè)置為1+2+4+8=15。修改用戶7.1.37.1.3修改用戶在DM中使用CREATEUSER語句創(chuàng)建用戶，基本的語法格式如下。ALTERUSER<用戶名>IDENTIFIEDBY<口令>[PASSWORD_POLICY<口令策略>][<資源限制子句>][ALLOW_IP<IP項(xiàng)>{,<IP項(xiàng)>}][NOT_ALLOW_IP<IP項(xiàng)>{,<IP項(xiàng)>}]修改用戶案例ALTERUSERFACTORY_USERPASSWORD_POLICY2LIMITSESSION_PER_USER10,CONNECT_IDLE_TIMEUNLIMITED;

【案例7-4】修改FACTORY_USER的密碼策略為2，會話空閑期為無限制，最大連接數(shù)為10。會話空閑期參數(shù)為CONNECT_IDLE_TIMEUNLIMITED；最大連接數(shù)參數(shù)為SESSION_PER_USER。刪除用戶7.1.47.1.4刪除用戶刪除用戶的基本語法如下。DROPUSER[IFEXISTS]<用戶名>[RESTRICT|CASCADE]中用戶刪除過程中需要注意下面幾點(diǎn)。系統(tǒng)自動創(chuàng)建的三個(gè)系統(tǒng)用戶SYSDBA、SYSAUDITOR和SYSSSO不能被刪除；具有DROPUSER權(quán)限的用戶即可進(jìn)行刪除用戶操作；執(zhí)行此語句將導(dǎo)致DM刪除數(shù)據(jù)庫中該用戶建立的所有對象，且不可恢復(fù)；刪除不存在的用戶會報(bào)錯(cuò)。若指定IFEXISTS關(guān)鍵字，刪除不存在的用戶，不會報(bào)錯(cuò)；7.1.4刪除用戶刪除用戶的基本語法如下。DROPUSER[IFEXISTS]<用戶名>[RESTRICT|CASCADE]中用戶刪除過程中需要注意下面幾點(diǎn)。如果未使用CASCADE選項(xiàng)，若該用戶建立了數(shù)據(jù)庫對象(如表、視圖、過程或函數(shù))，或其他用戶對象引用了該用戶的對象，或在該用戶的表上存在其他用戶建立的視圖，DM將返回錯(cuò)誤信息，而不刪除此用戶；7.1.4刪除用戶刪除用戶的基本語法如下。DROPUSER[IFEXISTS]<用戶名>[RESTRICT|CASCADE]中用戶刪除過程中需要注意下面幾點(diǎn)。如果使用了CASCADE選項(xiàng)，除數(shù)據(jù)