第6章 ORACLE的安全管理.docVIP

ORACLE的安全管理 Oracle安全管理是Oracle系统四个主要管理部分中很重要的一个（其它三个是实例管理、方案管理、存储管理）。其管理非常全面，涉及到用户、权限、角色等几个方面，为保证数据的安全提供了强有力的支持。 §7.1用户、权限和角色，及之间的关系 角色A所有特权 角色A 所有特权 所有对象权限 角色B 角色C 特权1 权限1 权限2 特权2 所有权限 用户 上图说明了角色由部分系统特权、部分对象权限或者子角色组成。角色、某个特权、某个对象权限都可以单独赋给用户。 §7.2 用户管理 §7.2.1 创建用户 在数据库安装过程中，系统自动就建立了一些用户。比如 SYS。其缺省密码是CHANGE_ON_INSTALL。它系统权限是最高的管理者。 SYSTEM。其缺省密码是MANAGER。常用的管理者。 SCOTT。其缺省密码是TIGER。用于演示ORACLE数据库产品的用户。 其他用户就需要管理员自己建立，创建用户的命令如下： CREATE USER user_name IDENTIFIED {BY password | EXTERNALLY | GLOBALLY AS ‘external name’} [DEFAULT TABLESPACE tablespace TEMPORARY TABLESPACE tempspace PROFILE profile] 这里我们可以看到用户的登录验证（IDENTIFIED）有三种机制： 密码验证。也称作数据库验证，就是把用户帐号、密码和登录等工作都由数据库来管理，这是常用的方式。这样做的好处是不依赖于数据库以外的任何事物，对于少量用户管理更方便。这种方式创建用户的方式如下： CREATE USER scott IDENTIFIED BY scott; 外部验证。这种方式就是帐号由数据库管理，但密码管理和用户登录由外部服务（通常是操作系统）来完成。这种方式的好处是可选用更多的验证机制，比如IC卡、指纹等。下面就是创建一个使用外部验证用户的例子： CREATE USER scott IDENTIFIED EXTERNALLY; 企业验证。这种方式就是帐号由数据库管理，但密码管理和用户登录由ORACLE安全服务（OSS）来完成。安全服务能在多个ORACLE数据库之间共享，使用用户验证管理集中化，便于管理大量用户。下面就是创建一个使用企业验证用户的例子： CREATE USER scott IDENTIFIED GLOBALLY AS ‘external name’; 在创建用户时，还可以为新用户选择缺省的表空间、临时空间、配置文件等。缺省表空间就是当你用新用户登录创建表时，该表所使用的默认表空间。配置文件能规定该用户能连接的时间长度、CPU的使用配额、密码过期时间等信息。 §7.2.2 修改用户 修改用户与创建用户的语句差不多，就是把CREATE改作ALTER就行了。经常用这条命令来改变用户的密码： ALTER USER scott IDENTIFIED BY scott; §7.2.3 删除用户 删除用户的命令是DROP USER username[CASCADE]; 当用户具有对象时，必须加上CASCADE关键字才能删除该用户。 §7.2 权限管理 前面已提到，ORACLE的权限分成两种， 系统特权。数据库有80多种系统特权，每一个都允许用户完成一个独立的数据库操作。常见的系统特权有以下： 系统特权 操作许可 CREATE ANY INDEX 为任何方案中的任何表创建索引 CREATE TABLE 在自己的方案中创建表 CREATE ANY TABLE 在任何方案中创建表 SELECT ANY TABLE 查询任何方案中的表、视图或快照 ALTER ANY USER 修改其他用户：改变用户密码、缺省表空间等 CREATE TABLESPACE 创建表空间 EXECUTE ANY PROCEDURE 执行任何过程、函数 CREATE ROLE 创建角色 GRANT ANY ROLE 对数据库中任何角色进行赋权 BACKUP ANY TABLE 能对任何方案中的表用EXPORT完成备份 注意：系统权限的功能非常强大，在赋给用户和角色时一定要小心。 为了把特权赋给用户或角色使用GRANT语句，其中“WITH ADMIN OPTION”选项的含义是新授权的用户能把他得到的这个权限再授给其他用户。： GRANT priv TO {user | role | PUBLIC} [WITH ADMIN OPTION]; 例如要把创建表的权限赋给用户scott，且权限不能转授，使用这语句： GRANT CREATE TABLE TO scott 取消用户的权限使用REVOKE语句： RE