Oracle超详细笔记12--安全管理

一、数据库安全性概述

1.数据库的安全性主要包括两个方面的含义：

一方面是防止非法用户对数据库的访问，未授权的用户不能登录数据库；

另一方面是每个数据库用户都有不同的操作权限，只能进行自己权限范围内的操作。

 

2.Oracle数据安全控制机制

用户管理

权限管理

角色管理

表空间设置和配额

用户资源限制

数据库审计   

 

3.Oracle数据库的安全可以分为两类：

系统安全性

系统安全性是指在系统级控制数据库的存取和使用的机制，包括有效的用户名与口令的组合、用户是否被授权可连接数据库、用户创建数据库对象时可以使用的磁盘空间大小、用户的资源限制、是否启动了数据库审计功能，以及用户可进行哪些系统操作等。

数据安全性

数据安全性是指在对象级控制数据库的存取和使用机制，包括用户可存取的模式对象和在该对象上允许进行的操作等。

 

二、用户管理

1.用户管理概述

Oracle数据库初始用户

 SYS：是数据库中具有最高权限的数据库管理员，可以启动、修改和关闭数据库，拥有数据字典；

 SYSTEM：是一个辅助的数据库管理员，不能启动和关闭数据库，但可以进行其他一些管理工作，如创建用户、删除用户等。

SCOTT：是一个用于测试网络连接的用户，其口令为TIGER。

PUBLIC：实质上是一个用户组，数据库中任何一个用户都属于该组成员。要为数据库中每个用户都授予某个权限，只需把权限授予PUBLIC就可以了。

 

2.用户属性

用户身份认证方式

数据库身份认证

操作系统身份认证

网络身份认证

管理员身份认证

默认表空间

当用户在创建数据库对象时，如果没有显式地指明该对象在哪个表空间中存储，系统会自动将该数据库对象存储在当前用户的默认表空间中。

如果没有为用户指定默认表空间，则系统将数据库的默认表空间作为用户的默认表空间。

临时表空间 

当用户进行排序、汇总和执行连接、分组等操作时，系统首先使用内存中的排序区SORT_AREA_SIZE，如果该区域内存不够，则自动使用用户的临时表空间。

在Oracle 11g中，如果没有为用户指定临时表空间，则系统将数据库的默认临时表空间作为用户的临时表空间。

表空间配额

表空间配额限制用户在永久表空间中可以使用的存储空间的大小，默认情况下，新建用户在任何表空间中都没有任何配额。

用户在临时表空间中不需要配额。

概要文件 

每个用户都必须有一个概要文件，从会话级和调用级两个层次限制用户对数据库系统资源的使用，同时设置用户的口令管理策略。如果没有为用户指定概要文件，Oracle将为用户自动指定DEFAULT概要文件。

账户状态

在创建用户的同时，可以设定用户的初始状态，包括用户口令是否过期以及账户是否锁定等。Oracle允许任何时候对帐户进行锁定或解锁。锁定账户后，用户就不能与Oracle数据库建立连接，必须对账户解锁后才允许用户访问数据库。

 

3.创建用户

注意

在创建新用户后，必须为用户授予适当的权限，用户才可以进行相应的数据库操作。例如，授予用户CREATE SESSION权限后，用户才可以连接到数据库。

例 ：

创建一个用户user3，口令为user3，默认表空间为USERS，在该表空间的配额为10 MB，初始状态为锁定。

CREATE USER user3 IDENTIFIED BY user3

DEFAULT TABLESPACE USERS QUOTA 10M ON USERS ACCOUNT LOCK;

例：

创建一个用户user4，口令为user4，默认表空间为USERS，在该表空间的配额为10 MB。口令设置为过期状态，即首次连接数据库时需要修改口令。概要文件为example_profile（假设该概要文件已经创建）。

CREATE USER user4 IDENTIFIED BY user4

DEFAULT TABLESPACE USERS

QUOTA 10M ON USERS

PROFILE example_profile

PASSWORD EXPIRE;

 

4.修改用户

例：

将用户user3的口令修改为newuser3，同时将该用户解锁。

ALTER USER user3

  IDENTIFIED BY newuser3 ACCOUNT UNLOCK;

例：

修改用户user4的默认表空间为ORCLTBS1，在该表空间的配额为20 MB，在USERS表空间的配额为10 MB。

ALTER USER user4

DEFAULT TABLESPACE ORCLTBS1  

QUOTA 20M ON ORCLTBS1  

QUOTA 10M ON USERS;

 

用户的锁定与解锁

某个用户暂时离开工作  

某个用户永久离开工作

示例

ALTER USER user3 ACCOUNT LOCK;

ALTER USER user3 ACCOUNT UNLOCK;

 

5.删除用户

基本语法

DROP USER user_name [ CASCADE ];

步骤（使用了cascade-用户已经创建模式对象）

先删除用户所拥有的对象

再删除用户

将参照该用户对象的其他数据库对象标志为INVALID

 

6.查询用户信息

ALL_USERS：包含数据库所有用户的用户名、用户ID和用户创建时间。

DBA_USERS：包含数据库所有用户的详细信息。

USER_USERS：包含当前用户的详细信息。

DBA_TS_QUOTAS：包含所有用户的表空间配额信息。

USER_TS_QUOTAS：包含当前用户的表空间配额信息。

V$SESSION：包含用户会话信息。

V$OPEN_CURSOR：包含用户执行的SQL语句信息。

例：

查看数据库所有用户名及其默认表空间。

SELECT USERNAME,DEFAULT_TABLESPACE

FROM DBA_USERS;

例：

查看数据库中各用户的登录时间、会话号。

SELECT

SID,SERIAL#,LOGON_TIME,USERNAME

FROM V$SESSION;

 

三、权限管理

1.权限管理概述

概念

所谓权限就是执行特定类型SQL命令或访问其他用户的对象的权利。

用户在数据库中可以执行什么样的操作，以及可以对哪些对象进行操作，完全取决于该用户所拥有的权限。

分类

系统权限：

系统权限是指在数据库级别执行某种操作的权限，或针对某一类对象执行某种操作的权限。例如，CREATE SESSION权限、CREATE ANY TABLE权限。

对象权限：

对象权限是指对某个特定的数据库对象执行某种操作的权限。例如，对特定表的插入、删除、修改、查询的权限。

授权方法

直接授权：利用GRANT命令直接为用户授权。

间接授权：先将权限授予角色，然后再将角色授予用户。

 

2.系统权限管理

系统权限分类

一类是对数据库某一类对象的操作能力，通常带有ANY关键字。例如，CREATE ANY INDEX，ALTER ANY INDEX，DROP ANY INDEX 。

另一类系统权限是数据库级别的某种操作能力。例如，CREATE SESSION。

 

系统权限的授权

语法为

GRANT sys_priv_list

TO  user_list|role_list|PUBLIC

[WITH ADMIN OPTION];

参数说明：

sys_priv_list：表示系统权限列表，以逗号分隔；

user_list：表示用户列表，以逗号分隔；

role_list：表示角色列表，以逗号分隔；

PUBLIC：表示对系统中所有用户授权；

WITH ADMIN OPTION：表示允许系统权限接收者再把此权限授予其他用户。

 

系统权限授予时需要注意的几点：

只有DBA才应当拥有ALTER DATABASE 系统权限。

应用程序开发者一般需要拥有CREATE TABLE、CREATE VIEW和CREATE INDEX等系统权限。

普通用户一般只具有CREATE SESSION系统权限。

只有授权时带有WITH ADMIN OPTION子句时，用户才可以将获得的系统权限再授予其他用户，即系统权限的传递性。

 

例：

为PUBLIC用户组授予CREATE SESSION系统权限。

       GRANT CREATE SESSION TO PUBLIC;

为用户user1授予CREATE SESSION，CREATE TABLE，CREATE INDEX系统权限。

        GRANT CREATE SESSION,CREATE TABLE,CREATE VIEW TO user1;

为用户user2授予CREATE SESSION，CREATE TABLE ，CREATE INDEX系统权限。user2获得权限后，为用户user3授予CREATE  TABLE权限。

       GRANT CREATE SESSION,CREATE TABLE,

       CREATE VIEW TO user2 WITH ADMIN OPTION;

       CONNECT user2/user2 @ORCL

       GRANT CREATE TABLE TO user3;

 

系统权限的回收

语法为

REVOKE sys_priv_list

FROM user_list|role_list|PUBLIC;

注意事项

多个管理员授予用户同一个系统权限后，其中一个管理员回收其授予该用户的系统权限时，该用户将不再拥有相应的系统权限。

为了回收用户系统权限的传递性（授权时使用了WITH ADMIN OPTION子句），必须先回收其系统权限，然后再授予其相应的系统权限。

如果一个用户获得的系统权限具有传递性，并且给其他用户授权，那么该用户系统权限被回收后，其他用户的系统权限并不受影响。

 

3.对象权限管理

对象权限分类

在Oracle数据库中共有9种类型的对象权限，不同类型的模式对象有不同的对象权限，而有的对象并没有对象权限，只能通过系统权限进行控制，如簇、索引、触发器、数据库链接等。

 

对象权限的授权

语法

GRANT obj_priv_list|ALL

ON [schema.]object

TO user_list|role_list

[WITH GRANT OPTION];

参数说明

obj_priv_list：表示对象权限列表，以逗号分隔；

[schema.]object：表示指定的模式对象，默认为当前模式中的对象；

user_list：表示用户列表，以逗号分隔；

role_list：表示角色列表，以逗号分隔；

WITH GRANT OPTION：表示允许对象权限接收者把此对象权限授予其他用户。

 

例：

将scott模式下的emp表的SELECT，UPDATE，INSERT权限授予user1用户。

       GRANT SELECT,INSERT,UPDATE

       ON scott.emp TO user1;

将scott模式下的emp表的SELECT，UPDATE，INSERT权限授予user2用户。user2用户再将emp表的SELECT，UPDATE权限授予user3用户。

        GRANT SELECT,INSERT,UPDATE

        ON scott.emp

        TO user2

        WITH GRANT OPTION;

 

       CONNECT user2/user2@ORCL

       GRANT SELECT,UPDATE

       ON scott.emp

       TO user3;

 

对象权限的回收

语法

REVOKE obj_priv_list | ALL ON [schema.]object

 FROM user_list|role_list;

注意事项

多个管理员授予用户同一个对象权限后，其中一个管理员回收其授予该用户的对象权限时，该用户不再拥有相应的对象权限。

为了回收用户对象权限的传递性（授权时使用了WITH GRANT OPTION子句），必须先回收其对象权限，然后再授予其相应的对象权限。

如果一个用户获得的对象权限具有传递性（授权时使用了WITH GRANT OPTION子句），并且给其他用户授权，那么该用户的对象权限被回收后，其他用户的对象权限也被回收。

 

WITH ADMIN OPTION与WITH GRANT OPTION比较

当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限仍然存在

当甲用户授权给乙用户，且激活该选项，则被授权的乙用户具有管理该权限的能力：或者能把得到的权限再授给其他用户丙，或者能回收授出去的权限。当甲用户收回乙用户的权限后，乙用户曾经授给丙用户的权限也被回收。

 

4.查询权限信息

DBA_TAB_PRIVS：包含数据库所有对象的授权信息

ALL_TAB_PRIVS：包含数据库所有用户和PUBLIC用户组的对象授权信息

USER_TAB_PRIVS：包含当前用户对象的授权信息

DBA_COL_PRIVS：包含所有字段已授予的对象权限

ALL_COL_PRIVS：包含所有字段已授予的对象权限信息

USER_COL_PRIVS：包含当前用户所有字段已授予的对象权限信息。

DBA_SYS_PRIVS：包含授予用户或角色的系统权限信息

USER_SYS_PRIVS：包含授予当前用户的系统权限信。

 

四、角色管理

1.Oracle数据库角色概述

所谓角色就是一系列相关权限的集合(对权限的批量管理)

 

2.预定义角色

预定义角色概述

预定义角色是指在Oracle数据库创建时由系统自动创建的一些常用的角色，这些角色已经由系统授予了相应的权限。

DBA可以直接利用预定义的角色为用户授权，也可以修改预定义角色的权限。

Oracle数据库中有30多个预定义角色。

可以通过数据字典视图DBA_ROLES查询当前数据库中所有的预定义角色，通过DBA_SYS_PRIVS查询各个预定义角色所具有的系统权限。

 

3.自定义角色

创建角色

语法为

CREATE ROLE role_name [NOT IDENTIFIED][IDENTIFIED BY password];

参数说明

role_name：用于指定自定义角色名称，该名称不能与任何用户名或其他角色相同；

NOT IDENTIFIED：用于指定该角色由数据库授权，使该角色生效时不需要口令；

IDENTIFIED BY password：用于设置角色生效时的认证口令。

例：

CREATE ROLE high_manager_role;

CREATE ROLE middle_manager_role IDENTIFIED BY middlerole;

CREATE ROLE low_manager_role IDENTIFIED BY lowrole;

 

4.角色权限的授予与回收

说明

给角色授予适当的系统权限、对象权限或已有角色。

在数据库运行过程中，可以为角色增加权限，也可以回收其权限。

给角色授权时应该注意，一个角色可以被授予另一个角色，但不能授予其本身，不能产生循环授权。

例：

GRANT CONNECT,CREATE TABLE,CREATE VIEW TO low_manager_role;

GRANT CONNECT,CREATE TABLE,CREATE VIEW TO middle_manager_role;

GRANT CONNECT,RESOURCE,DBA TO high_manager_role;

GRANT SELECT,UPDATE,INSERT,DELETE ON scott.emp TO high_manager_role;

 

REVOKE CONNECT FROM low_manager_role;

REVOKE CREATE TABLE,CREATE VIEW FROM middle_manager_role;

REVOKE UPDATE,DELETE ,INSERT ON scott.emp FROM high_manager_role;

 

5.修改角色

概念

修改角色是指修改角色生效或失效时的认证方式，也就是说，是否必须经过Oracle确认才允许对角色进行修改。

修改角色的语法

ALTER ROLE role_name

[NOT IDENTIFIED]|[IDENTIFIED BY password]；

例：

ALTER ROLE high_manager_role IDENTIFIED BY highrole;

ALTER ROLE middle_manager_role NOT IDENTIFIED;

 

6.角色的生效与失效

概念

所谓角色的失效是指角色暂时不可用。当一个角色生效或失效时，用户从角色中获得的权限也生效或失效。因此，通过设置角色的生效或失效，可以动态改变用户的权限。

在进行角色生效或失效设置时，需要输入角色的认证口令，避免非法设置。

语法

SET ROLE [role_name[IDENTIFIED BY password ]]|[ALL [EXCEPT role_name]]|[NONE];

参数说明

role_name：表示进行生效或失效设置的角色名称；

IDENTIFIED BY password：用于设置角色生效或失效时的认证口令；

ALL：表示使当前用户所有角色生效；

EXCEPT role_name：表示除了特定角色外，其余所有角色生效；

NONE：表示使当前用户所有角色失效。

 

例：

SET ROLE NONE;

SET ROLE high_manager_role IDENTIFIED BY highrole;

SET ROLE middle_manager_role,low_manager_low IDENTIFIED BY lowrole;

SET ROLE ALL EXCEPT low_manager_role,middle_manager_role;  

 

7.删除角色

语法结构

DROP ROLE role_name;

说明

如果某个角色不再需要，则可以使用DROP ROLE语句删除角色。角色被删除后，用户通过该角色获得的权限被回收。

 

8.利用角色进行权限管理

给用户或角色授予角色

语法

GRANT role_list TO user_list|role_list；

例：

将CONNECT，high_manager_role角色授予用户user1，将RESOURCE，CONNECT角色授予角色middle_manager_role。

        GRANT CONNECT,high_manager_role TO user1;

        GRANT RESOURCE,CONNECT TO middle_manager_role;

从用户或角色回收角色

语法

REVOKE role_list FROM user_list|role_list；

例：

回收角色middle_manager_role的RESOURCE，CONNECT角色。

SQL>REVOKE RESOURCE,CONNECT FROM middle_manager_role;

用户角色的激活或屏蔽

语法

ALTER USER user_name DEFAULT ROLE

[role_name]|[ALL [EXCEPT role_name]]|

[NONE];

例：

ALTER USER user1 DEFAULT ROLE NONE;

ALTER USER user1 DEFAULT ROLE CONNECT,DBA;

ALTER USER user1 DEFAULT ROLE ALL;

ALTER USER user1 DEFAULT ROLE ALL EXCEPT DBA;

 

9.查询角色信息

DBA_ROLES：包含数据库中所有角色及其描述；

DBA_ROLE_PRIVS：包含为数据库中所有用户和角色授予的角色信息；

USER_ROLE_PRIVS：包含为当前用户授予的角色信息；

ROLE_ROLE_PRIVS：为角色授予的角色信息；

ROLE_SYS_PRIVS：为角色授予的系统权限信息；

ROLE_TAB_PRIVS：为角色授予的对象权限信息；

SESSION_PRIVS：当前会话所具有的系统权限信息；

SESSION_ROLES：当前会话所具有的角色信息。

 

查询角色CONNECT所具有的系统权限信息。

    SELECT *

    FROM ROLE_SYS_PRIVS

    WHERE ROLE='CONNECT';

查询DBA角色被授予的角色信息。

   SELECT *

   FROM  ROLE_ROLE_PRIVS

   WHERE ROLE='DBA';