0106_安全性.pptVIP

DB2 V9安全性 DB2 安全机制 身份验证（authentication） 利用操作系统来检验用户ID和密码 授权（authorization） 授权决定用户和/或用户组可以执行的操作以及他们可以访问的数据对象。 SYSADM、SYSCTRL、SYSMAINT、SYSMON、DBADM 和 LOAD 特权（privilege） 基于数据库对象的权限（表、视图、序列、模式、表空间等） 注：DB2 9 中新增的一个概念是基于标签的访问控制（LBAC），它允许以更细的粒度控制谁有权访问单独的行和/或列。 DB2 身份验证类型（1） 新增了服务器连接认证参数（SRVCON_AUTH） 默认情况是 NOT_SPECIFIED，也就是对实例级请求的认证以数据库管理器认证参数(AUTHENTICATION) 为准，如果此值设置了新的值，将对实例级请求按照新的值进行验证 数据库管理器认证参数(AUTHENTICATION) 对连接级请求按照设定的值进行验证 在客户机-网关（Connect）-主机环境中，这些身份验证选项在客户机和网关上设置，而不是在主机上。 DB2 身份验证类型（2） 在服务器上设置身份验证 由DBM CFG中的AUTHENTICATION控制 查看配置文件中的身份验证参数 db2 get dbm cfg 要将身份验证参数修改为 server_encrypt $db2 update dbm cfg using authentication server_encrypt $db2stop $db2start 在网关上设置身份验证 使用 catalog database 命令在网关上设置身份验证，但真正的验证不是在网关上进行 比如，将网关身份验证类型设置为 SERVER db2 catalog database myhostdb at node nd1 authentication SERVER db2 terminate 在客户机上设置身份验证 连接服务器数据库的客户机 客户机身份验证设置必须匹配数据库服务器上的设置（但是 KRB_SERVER_ENCRYPT、DATA_ENCRYPT_CMP 和 GSS_SERVER_ENCRYPT 例外） 比如，db2 catalog database sample at node nd1 authentication SERVER 连接主机数据库的客户机 当网关没有指定认证类型时，默认将采用SERVER_ENCRYPT 网关上的认证类型将取代主机上的认证类型 以网关上的认证类型为准（不以客户端上的认证类型为准） 处理不可信的客户机 服务器或网关上AUTHENTICATION为 CLIENT时，则客户机对用户ID 和密码进行验证 除了windows 9x操作系统外，所有客户机都是可信客户机。 在客户端进行认证，其还有两个参数trust_allclnts和trust_clntauth有影响 trust_allclnts默认为YES，表示所有客户机都是可信的。若指定为NO时，则不可信的客户机连接时将使用用户名和密码在SERVER端进行认证，可信的客户机继续在客户端进行认证。 trust_clntauth默认为CLIENT，表示对于可信的客户机在客户端进行认证，也可以设置成SERVER，表示希望在服务器端进行认证，即若提供了用户名和密码则在服务器端进行认证，否则在客户端进行认证。 当身份验证设置为 CLIENT 时 SYSADM 权限 最高权限，可以对实例和数据库进行完全的控制 由 DBM CFG 文件中的 SYSADM_GROUP 参数控制 只有具有SYSADM权限的用户才可以： 迁移数据库 更改数据库管理器配置文件（包括指定具有SYSCTRL或SYSMAINT或 SYSMON 权限的组） 授予DBADM权限 当具有SYSADM权限的用户创建数据库时，将自动授予她们对此数据库的显式DBADM权限。若从SYSADM组中除去了此数据库创建者，而且您也想阻止她们作为DBADM存取该数据库，则必须显式取消此DBADM权限。 SYSCTRL 权限 最高级别的系统控制权限 由 DBM CFG 文件中的SYSCTRL_GROUP参数控制 不能对数据库对象进行存取，也不能对数据库管理器配置文件进行更改 只有具有SYSCTRL权限或更高权限的用户才可以执行下列操作： 更新数据库、节点或分布式连接服务（DCS）目录 迫使用户从系统注销 创建和删除一个数据库 删除、创建或更改一个表空间 通过恢复工具创建一个新数据库 只有SYSADMIN 或 SYSCTRL才能执行FORCE APPLICATIONS 命令 SYSMAINT 权限