一、数据库安全性概述
1.数据库的安全性主要包括两个方面的含义:
一方面是防止非法用户对数据库的访问,未授权的用户不能登录数据库;
另一方面是每个数据库用户都有不同的操作权限,只能进行自己权限范围内的操作。
2.Oracle数据安全控制机制
用户管理
权限管理
角色管理
表空间设置和配额
用户资源限制
数据库审计
3.Oracle数据库的安全可以分为两类:
系统安全性
系统安全性是指在系统级控制数据库的存取和使用的机制,包括有效的用户名与口令的组合、用户是否被授权可连接数据库、用户创建数据库对象时可以使用的磁盘空间大小、用户的资源限制、是否启动了数据库审计功能,以及用户可进行哪些系统操作等。
数据安全性
数据安全性是指在对象级控制数据库的存取和使用机制,包括用户可存取的模式对象和在该对象上允许进行的操作等。
二、用户管理
1.用户管理概述
Oracle数据库初始用户
SYS:是数据库中具有最高权限的数据库管理员,可以启动、修改和关闭数据库,拥有数据字典;
SYSTEM:是一个辅助的数据库管理员,不能启动和关闭数据库,但可以进行其他一些管理工作,如创建用户、删除用户等。
SCOTT:是一个用于测试网络连接的用户,其口令为TIGER。
PUBLIC:实质上是一个用户组,数据库中任何一个用户都属于该组成员。要为数据库中每个用户都授予某个权限,只需把权限授予PUBLIC就可以了。
2.用户属性
用户身份认证方式
数据库身份认证
操作系统身份认证
网络身份认证
管理员身份认证
默认表空间
当用户在创建数据库对象时,如果没有显式地指明该对象在哪个表空间中存储,系统会自动将该数据库对象存储在当前用户的默认表空间中。
如果没有为用户指定默认表空间,则系统将数据库的默认表空间作为用户的默认表空间。
临时表空间
当用户进行排序、汇总和执行连接、分组等操作时,系统首先使用内存中的排序区SORT_AREA_SIZE,如果该区域内存不够,则自动使用用户的临时表空间。
在Oracle 11g中,如果没有为用户指定临时表空间,则系统将数据库的默认临时表空间作为用户的临时表空间。
表空间配额
表空间配额限制用户在永久表空间中可以使用的存储空间的大小,默认情况下,新建用户在任何表空间中都没有任何配额。
用户在临时表空间中不需要配额。
概要文件
每个用户都必须有一个概要文件,从会话级和调用级两个层次限制用户对数据库系统资源的使用,同时设置用户的口令管理策略。如果没有为用户指定概要文件,Oracle将为用户自动指定DEFAULT概要文件。
账户状态
在创建用户的同时,可以设定用户的初始状态,包括用户口令是否过期以及账户是否锁定等。Oracle允许任何时候对帐户进行锁定或解锁。锁定账户后,用户就不能与Oracle数据库建立连接,必须对账户解锁后才允许用户访问数据库。
3.创建用户
注意
在创建新用户后,必须为用户授予适当的权限,用户才可以进行相应的数据库操作。例如,授予用户CREATE SESSION权限后,用户才可以连接到数据库。
例 :
创建一个用户user3,口令为user3,默认表空间为USERS,在该表空间的配额为10 MB,初始状态为锁定。
CREATE USER user3 IDENTIFIED BY user3
DEFAULT TABLESPACE USERS QUOTA 10M ON USERS ACCOUNT LOCK;
例:
创建一个用户user4,口令为user4,默认表空间为USERS,在该表空间的配额为10 MB。口令设置为过期状态,即首次连接数据库时需要修改口令。概要文件为example_profile(假设该概要文件已经创建)。
CREATE USER user4 IDENTIFIED BY user4
DEFAULT TABLESPACE USERS
QUOTA 10M ON USERS
PROFILE example_profile
PASSWORD EXPIRE;
4.修改用户
例:
将用户user3的口令修改为newuser3,同时将该用户解锁。
ALTER USER user3
IDENTIFIED BY newuser3 ACCOUNT UNLOCK;
例:
修改用户user4的默认表空间为ORCLTBS1,在该表空间的配额为20 MB,在USERS表空间的配额为10 MB。
ALTER USER user4
DEFAULT TABLESPACE ORCLTBS1
QUOTA 20M ON ORCLTBS1
QUOTA 10M ON USERS;
用户的锁定与解锁
某个用户暂时离开工作
某个用户永久离开工作
示例
ALTER USER user3 ACCOUNT LOCK;
ALTER USER user3 ACCOUNT UNLOCK;
5.删除用户
基本语法
DROP USER user_name [ CASCADE ];
步骤(使用了cascade-用户已经创建模式对象)
先删除用户所拥有的对象
再删除用户
将参照该用户对象的其他数据库对象标志为INVALID
6.查询用户信息
ALL_USERS:包含数据库所有用户的用户名、用户ID和用户创建时间。
DBA_USERS:包含数据库所有用户的详细信息。
USER_USERS:包含当前用户的详细信息。
DBA_TS_QUOTAS:包含所有用户的表空间配额信息。
USER_TS_QUOTAS:包含当前用户的表空间配额信息。
V$SESSION:包含用户会话信息。
V$OPEN_CURSOR:包含用户执行的SQL语句信息。
例:
查看数据库所有用户名及其默认表空间。
SELECT USERNAME,DEFAULT_TABLESPACE
FROM DBA_USERS;
例:
查看数据库中各用户的登录时间、会话号。
SELECT
SID,SERIAL#,LOGON_TIME,USERNAME
FROM V$SESSION;
三、权限管理
1.权限管理概述
概念
所谓权限就是执行特定类型SQL命令或访问其他用户的对象的权利。
用户在数据库中可以执行什么样的操作,以及可以对哪些对象进行操作,完全取决于该用户所拥有的权限。
分类
系统权限:
系统权限是指在数据库级别执行某种操作的权限,或针对某一类对象执行某种操作的权限。例如,CREATE SESSION权限、CREATE ANY TABLE权限。
对象权限:
对象权限是指对某个特定的数据库对象执行某种操作的权限。例如,对特定表的插入、删除、修改、查询的权限。
授权方法
直接授权:利用GRANT命令直接为用户授权。
间接授权:先将权限授予角色,然后再将角色授予用户。
2.系统权限管理
系统权限分类
一类是对数据库某一类对象的操作能力,通常带有ANY关键字。例如,CREATE ANY INDEX,ALTER ANY INDEX,DROP ANY INDEX 。
另一类系统权限是数据库级别的某种操作能力。例如,CREATE SESSION。
系统权限的授权
语法为
GRANT sys_priv_list
TO user_list|role_list|PUBLIC
[WITH ADMIN OPTION];
参数说明:
sys_priv_list:表示系统权限列表,以逗号分隔;
user_list:表示用户列表,以逗号分隔;
role_list:表示角色列表,以逗号分隔;
PUBLIC:表示对系统中所有用户授权;
WITH ADMIN OPTION:表示允许系统权限接收者再把此权限授予其他用户。
系统权限授予时需要注意的几点:
只有DBA才应当拥有ALTER DATABASE 系统权限。
应用程序开发者一般需要拥有CREATE TABLE、CREATE VIEW和CREATE INDEX等系统权限。
普通用户一般只具有CREATE SESSION系统权限。
只有授权时带有WITH ADMIN OPTION子句时,用户才可以将获得的系统权限再授予其他用户,即系统权限的传递性。
例:
为PUBLIC用户组授予CREATE SESSION系统权限。
GRANT CREATE SESSION TO PUBLIC;
为用户user1授予CREATE SESSION,CREATE TABLE,CREATE INDEX系统权限。
GRANT CREATE SESSION,CREATE TABLE,CREATE VIEW TO user1;
为用户user2授予CREATE SESSION,CREATE TABLE ,CREATE INDEX系统权限。user2获得权限后,为用户user3授予CREATE TABLE权限。
GRANT CREATE SESSION,CREATE TABLE,
CREATE VIEW TO user2 WITH ADMIN OPTION;
CONNECT user2/user2 @ORCL
GRANT CREATE TABLE TO user3;
系统权限的回收
语法为
REVOKE sys_priv_list
FROM user_list|role_list|PUBLIC;
注意事项
多个管理员授予用户同一个系统权限后,其中一个管理员回收其授予该用户的系统权限时,该用户将不再拥有相应的系统权限。
为了回收用户系统权限的传递性(授权时使用了WITH ADMIN OPTION子句),必须先回收其系统权限,然后再授予其相应的系统权限。
如果一个用户获得的系统权限具有传递性,并且给其他用户授权,那么该用户系统权限被回收后,其他用户的系统权限并不受影响。
3.对象权限管理
对象权限分类
在Oracle数据库中共有9种类型的对象权限,不同类型的模式对象有不同的对象权限,而有的对象并没有对象权限,只能通过系统权限进行控制,如簇、索引、触发器、数据库链接等。
对象权限的授权
语法
GRANT obj_priv_list|ALL
ON [schema.]object
TO user_list|role_list
[WITH GRANT OPTION];
参数说明
obj_priv_list:表示对象权限列表,以逗号分隔;
[schema.]object:表示指定的模式对象,默认为当前模式中的对象;
user_list:表示用户列表,以逗号分隔;
role_list:表示角色列表,以逗号分隔;
WITH GRANT OPTION:表示允许对象权限接收者把此对象权限授予其他用户。
例:
将scott模式下的emp表的SELECT,UPDATE,INSERT权限授予user1用户。
GRANT SELECT,INSERT,UPDATE
ON scott.emp TO user1;
将scott模式下的emp表的SELECT,UPDATE,INSERT权限授予user2用户。user2用户再将emp表的SELECT,UPDATE权限授予user3用户。
GRANT SELECT,INSERT,UPDATE
ON scott.emp
TO user2
WITH GRANT OPTION;
CONNECT user2/user2@ORCL
GRANT SELECT,UPDATE
ON scott.emp
TO user3;
对象权限的回收
语法
REVOKE obj_priv_list | ALL ON [schema.]object
FROM user_list|role_list;
注意事项
多个管理员授予用户同一个对象权限后,其中一个管理员回收其授予该用户的对象权限时,该用户不再拥有相应的对象权限。
为了回收用户对象权限的传递性(授权时使用了WITH GRANT OPTION子句),必须先回收其对象权限,然后再授予其相应的对象权限。
如果一个用户获得的对象权限具有传递性(授权时使用了WITH GRANT OPTION子句),并且给其他用户授权,那么该用户的对象权限被回收后,其他用户的对象权限也被回收。
WITH ADMIN OPTION与WITH GRANT OPTION比较
当甲用户授权给乙用户,且激活该选项,则被授权的乙用户具有管理该权限的能力:或者能把得到的权限再授给其他用户丙,或者能回收授出去的权限。当甲用户收回乙用户的权限后,乙用户曾经授给丙用户的权限仍然存在
当甲用户授权给乙用户,且激活该选项,则被授权的乙用户具有管理该权限的能力:或者能把得到的权限再授给其他用户丙,或者能回收授出去的权限。当甲用户收回乙用户的权限后,乙用户曾经授给丙用户的权限也被回收。
4.查询权限信息
DBA_TAB_PRIVS:包含数据库所有对象的授权信息
ALL_TAB_PRIVS:包含数据库所有用户和PUBLIC用户组的对象授权信息
USER_TAB_PRIVS:包含当前用户对象的授权信息
DBA_COL_PRIVS:包含所有字段已授予的对象权限
ALL_COL_PRIVS:包含所有字段已授予的对象权限信息
USER_COL_PRIVS:包含当前用户所有字段已授予的对象权限信息。
DBA_SYS_PRIVS:包含授予用户或角色的系统权限信息
USER_SYS_PRIVS:包含授予当前用户的系统权限信。
四、角色管理
1.Oracle数据库角色概述
所谓角色就是一系列相关权限的集合(对权限的批量管理)
2.预定义角色
预定义角色概述
预定义角色是指在Oracle数据库创建时由系统自动创建的一些常用的角色,这些角色已经由系统授予了相应的权限。
DBA可以直接利用预定义的角色为用户授权,也可以修改预定义角色的权限。
Oracle数据库中有30多个预定义角色。
可以通过数据字典视图DBA_ROLES查询当前数据库中所有的预定义角色,通过DBA_SYS_PRIVS查询各个预定义角色所具有的系统权限。
3.自定义角色
创建角色
语法为
CREATE ROLE role_name [NOT IDENTIFIED][IDENTIFIED BY password];
参数说明
role_name:用于指定自定义角色名称,该名称不能与任何用户名或其他角色相同;
NOT IDENTIFIED:用于指定该角色由数据库授权,使该角色生效时不需要口令;
IDENTIFIED BY password:用于设置角色生效时的认证口令。
例:
CREATE ROLE high_manager_role;
CREATE ROLE middle_manager_role IDENTIFIED BY middlerole;
CREATE ROLE low_manager_role IDENTIFIED BY lowrole;
4.角色权限的授予与回收
说明
给角色授予适当的系统权限、对象权限或已有角色。
在数据库运行过程中,可以为角色增加权限,也可以回收其权限。
给角色授权时应该注意,一个角色可以被授予另一个角色,但不能授予其本身,不能产生循环授权。
例:
GRANT CONNECT,CREATE TABLE,CREATE VIEW TO low_manager_role;
GRANT CONNECT,CREATE TABLE,CREATE VIEW TO middle_manager_role;
GRANT CONNECT,RESOURCE,DBA TO high_manager_role;
GRANT SELECT,UPDATE,INSERT,DELETE ON scott.emp TO high_manager_role;
REVOKE CONNECT FROM low_manager_role;
REVOKE CREATE TABLE,CREATE VIEW FROM middle_manager_role;
REVOKE UPDATE,DELETE ,INSERT ON scott.emp FROM high_manager_role;
5.修改角色
概念
修改角色是指修改角色生效或失效时的认证方式,也就是说,是否必须经过Oracle确认才允许对角色进行修改。
修改角色的语法
ALTER ROLE role_name
[NOT IDENTIFIED]|[IDENTIFIED BY password];
例:
ALTER ROLE high_manager_role IDENTIFIED BY highrole;
ALTER ROLE middle_manager_role NOT IDENTIFIED;
6.角色的生效与失效
概念
所谓角色的失效是指角色暂时不可用。当一个角色生效或失效时,用户从角色中获得的权限也生效或失效。因此,通过设置角色的生效或失效,可以动态改变用户的权限。
在进行角色生效或失效设置时,需要输入角色的认证口令,避免非法设置。
语法
SET ROLE [role_name[IDENTIFIED BY password ]]|[ALL [EXCEPT role_name]]|[NONE];
参数说明
role_name:表示进行生效或失效设置的角色名称;
IDENTIFIED BY password:用于设置角色生效或失效时的认证口令;
ALL:表示使当前用户所有角色生效;
EXCEPT role_name:表示除了特定角色外,其余所有角色生效;
NONE:表示使当前用户所有角色失效。
例:
SET ROLE NONE;
SET ROLE high_manager_role IDENTIFIED BY highrole;
SET ROLE middle_manager_role,low_manager_low IDENTIFIED BY lowrole;
SET ROLE ALL EXCEPT low_manager_role,middle_manager_role;
7.删除角色
语法结构
DROP ROLE role_name;
说明
如果某个角色不再需要,则可以使用DROP ROLE语句删除角色。角色被删除后,用户通过该角色获得的权限被回收。
8.利用角色进行权限管理
给用户或角色授予角色
语法
GRANT role_list TO user_list|role_list;
例:
将CONNECT,high_manager_role角色授予用户user1,将RESOURCE,CONNECT角色授予角色middle_manager_role。
GRANT CONNECT,high_manager_role TO user1;
GRANT RESOURCE,CONNECT TO middle_manager_role;
从用户或角色回收角色
语法
REVOKE role_list FROM user_list|role_list;
例:
回收角色middle_manager_role的RESOURCE,CONNECT角色。
SQL>REVOKE RESOURCE,CONNECT FROM middle_manager_role;
用户角色的激活或屏蔽
语法
ALTER USER user_name DEFAULT ROLE
[role_name]|[ALL [EXCEPT role_name]]|
[NONE];
例:
ALTER USER user1 DEFAULT ROLE NONE;
ALTER USER user1 DEFAULT ROLE CONNECT,DBA;
ALTER USER user1 DEFAULT ROLE ALL;
ALTER USER user1 DEFAULT ROLE ALL EXCEPT DBA;
9.查询角色信息
DBA_ROLES:包含数据库中所有角色及其描述;
DBA_ROLE_PRIVS:包含为数据库中所有用户和角色授予的角色信息;
USER_ROLE_PRIVS:包含为当前用户授予的角色信息;
ROLE_ROLE_PRIVS:为角色授予的角色信息;
ROLE_SYS_PRIVS:为角色授予的系统权限信息;
ROLE_TAB_PRIVS:为角色授予的对象权限信息;
SESSION_PRIVS:当前会话所具有的系统权限信息;
SESSION_ROLES:当前会话所具有的角色信息。
查询角色CONNECT所具有的系统权限信息。
SELECT *
FROM ROLE_SYS_PRIVS
WHERE ROLE='CONNECT';
查询DBA角色被授予的角色信息。
SELECT *
FROM ROLE_ROLE_PRIVS
WHERE ROLE='DBA';