权限、角色与用户管理

概述

ORACLE 数据库系统预先定义了 CONNECT 、RESOURCE、 DBA、 EXP_FULL_DATABASE、 IMP_FULL_DATABASE 五个角色。
CONNECT 具有创建表、视图、序列等特权；(alter session create cluster )
RESOURCE 具有创建过程、触发器、表、序列等特权、
DBA 具有全部系统特权；
EXP_FULL_DATABASE、 IMP_FULL_DATABASE 具有卸出与装入数据库的特权。

权限分类

系统权限：系统规定用户使用数据库的权限。（系统权限是对用户而言)。
实体权限：某种权限用户对其它用户的表或视图的存取权限。（是针对表或视图而言的）。

系统权限管理

DBA: 拥有全部特权，是系统最高权限，只有 DBA 才可以创建数据库结构。
RESOURCE:拥有 Resource 权限的用户只可以创建实体，不可以创建数据库结构。
CONNECT:拥有 Connect 权限的用户只可以登录 Oracle，不可以创建实体，不可以创建数据库结构。
对于普通用户：授予 connect, resource 权限。
对于 DBA 管理用户：授予 connect，resource, dba 权限。

[系统权限只能由 DBA 用户授出：sys, system(最开始只能是这两个用户)]
授权命令：SQL> grant connect, resource, dba to 用户名 1 [,用户名 2]…;
[普通用户通过授权可以具有与 system 相同的用户权限，但永远不能达到与 sys 用户相同的权限，system 用户的权限也可以被回收。]
例： SQL> connect system/manager
SQL> Create user user50 identified by user50;
SQL> grant connect, resource to user50;
查询用户拥有哪些权限：
SQL> select * from dba_role_privs;
SQL> select * from dba_sys_privs;
SQL> select * from role_sys_privs;
删除用户：SQL> drop user 用户名 cascade; //加上 cascade 则将用户连同其创建的东西全部删除

实体权限管理

1、实体权限分类：select, update, insert, alter, index, delete, all //all 包括所有权限
execute //执行存储过程权限
user01:
SQL> grant select, update, insert on product to user02;
SQL> grant all on product to user02;
user02:
SQL> select * from user01.product;
// 此时 user02 查 user_tables，不包括 user01.product 这个表，但如果查 all_tables 则可以查到，因为他可以访问。
2. 将表的操作权限授予全体用户：
SQL> grant all on product to public; // public 表示是所有的用户，这里的 all 权限不包括 drop。
[实体权限数据字典]:
SQL> select owner, table_name from all_tables; // 用户可以查询的表
SQL> select table_name from user_tables; // 用户创建的表
SQL> select grantor, table_schema, table_name, privilege from all_tab_privs; // 获权可以存取的表（被授权的）
SQL> select grantee, owner, table_name, privilege from user_tab_privs; // 授出权限的表(授出的权限)
查看用户拥有哪些系统权利
Sql> select grantee，privilege from dba_sys_privs where grantee=‘SCOTT’;
查看用户拥有哪些对象权利
Sql> select grantee，privilege，owner，table_name from dba_tab_privs where grantee=‘SCOTT’;
3. DBA 用户可以操作全体用户的任意基表(无需授权，包括删除)：
DBA 用户：
SQL> Create table stud02.product(
id number(10),
name varchar2(20));
SQL> drop table stud02.emp;
SQL> create table stud02.employee
as
select * from scott.emp;
4. 实体权限传递(with grant option)：
user01:
SQL> grant select, update on product to user02 with grant option; // user02 得到权限，并可以传递。
5. 实体权限回收：
user01:
SQL>Revoke select, update on product from user02; //传递的权限将全部丢失。
说明
1）如果取消某个用户的对象权限，那么对于这个用户使用 WITH GRANT OPTION 授予权限的
用户来说，同样还会取消这些用户的相同权限，也就是说取消授权时级联的。

角色管理

我在前面的篇幅中说明权限和用户。慢慢的在使用中你会发现一个问题：如果有一组人，他们的所需的权限是一样的，当对他们的权限进行管理的 时候会很不

方便。因为你要对这组中的每个用户的权限都进行管理。
有一个很好的解决办法就是：角色。角色是一组权限的集合，将角色赋给一个用户，这个用户就拥有了这个角色中的所有权限。那么上述问题就
很 好处理了，只要第一次将角色赋给这一组用户，接下来就只要针对角色进行管理就可以了。
以上是角色的一个典型用途。其实，只要明白：角色就是一组权限的集合。

1.建一个角色
sql>create role role1;
2.授权给角色
sql>grant create any table,create procedure to role1;
Sql>grant create session，create table to role1;
Sql>revoke create session，create table from role1;

3.授予角色给用户
sql>grant role1 to user1;
Sql>grant role1 to user1 with admin option;

revoke role1 from user1;

查看系统中所有的角色
Sql>select * from dba_roles;

查看用户被授予了哪些角色
Sql>select grantee，granted_role from dba_role_privs where grantee=‘SCOTT’;
查看角色中包含了哪些系统权限
Sql>select role，privilege from role_sys_privs where role=‘ROLE1’;

查看角色中包含了哪些对象权限
Sql>select role，privilege，from role_tab_privs where role=‘ROLE1’;
将角色授予角色
Sql>grant role1 to role2;

4.查看角色所包含的权限
sql>select * from role_sys_privs;
5.创建带有口令以角色(在生效带有口令的角色时必须提供口令)
sql>create role role1 identified by password1;
6.修改角色：是否需要口令 sql>alter role role1 not identified;
sql>alter role role1 identified by password1;
7.设置当前用户要生效的角色
(注：角色的生效是一个什么概念呢？假设用户 a 有 b1,b2,b3 三个角色，那么如果 b1 未生效，则 b1 所包含的权限对于 a 来讲是不拥有的，只有角色生效了，角色内的权限才作用于用户，最大可生效角色数由参数 MAX_ENABLED_ROLES 设定；在用户登录后，oracle 将所有直接赋给用户的权限和用户默认角色中的权限赋给用户。）
sql>set role role1;//使 role1 生效
sql>set role role,role2;//使 role1,role2 生效
sql>set role role1 identified by password1;//使用带有口令的 role1 生效
sql>set role all;//使用该用户的所有角色生效
sql>set role none;//设置所有角色失效
sql>set role all except role1;//除 role1 外的该用户的所有其它角色生效。
sql>select * from SESSION_ROLES;//查看当前用户的生效的角色。
8.修改指定用户，设置其默认角色
sql>alter user user1 default role role1;
sql>alter user user1 default role all except role1;
详见 oracle 参考文档
9.删除角色
sql>drop role role1;
角色删除后，原来拥用该角色的用户就不再拥有该角色了，相应的权限也就没有了。
说明:
1)无法使用 WITH GRANT OPTION 为角色授予对象权限
2)可以使用 WITH ADMIN OPTION 为角色授予系统权限,取消时不是级联
查看角色中还包含哪些角色
Sql>select role，granted_role from role_role_privs where role=‘DBA’；
备注：授予用户 DBA、RESOURCE 这俩个角色后系统会自动再授予用户 unlimited tablespace